Attuare NIS2.

La legge tedesca di attuazione NIS2 e rafforzamento della cybersicurezza (NIS2UmsuCG) recepisce la direttiva (UE) 2022/2555 nel diritto tedesco. È entrata in vigore il 06.12.2025, senza periodo transitorio per le misure di gestione dei rischi. Gli obblighi figurano nella nuova versione della legge sul BSI. Il § 28 BSIG definisce i soggetti particolarmente importanti o importanti in base a settore, dimensioni aziendali e alcuni casi particolari.

L'obbligo principale è stabilito dal § 30 Abs. 1 BSIG: misure tecniche e organizzative adeguate, proporzionate ed efficaci che evitino compromissioni della disponibilità, integrità e riservatezza dei sistemi utilizzati per i servizi e limitino gli effetti degli incidenti di sicurezza. Il § 30 Abs. 2 BSIG elenca dieci misure minime. Per i fornitori di servizi digitali, come cloud, data center e servizi gestiti, prevalgono le disposizioni tecniche del regolamento di esecuzione (UE) 2024/2690. I gestori di impianti critici hanno obblighi aggiuntivi ai sensi dei § 31 e § 39 BSIG.

Il § 38 Abs. 1 BSIG obbliga la direzione ad attuare le misure e sorvegliarne l'attuazione. In caso di violazione, il § 38 Abs. 2 BSIG ne prevede la responsabilità verso il proprio soggetto per i danni causati con dolo o colpa, secondo le norme del diritto societario applicabile (responsabilità interna). Il § 38 Abs. 3 BSIG richiede inoltre che i suoi membri partecipino regolarmente a corsi di formazione. Si applicano anche l'obbligo di registrazione del § 33 BSIG e gli obblighi di notifica del § 32 BSIG.

Le violazioni dei § 30 e § 32 BSIG, compresa l'assenza della documentazione prevista dal § 30 Abs. 1 Satz 3 BSIG, sono punite con sanzioni amministrative ai sensi del § 65 BSIG. Il massimo è di 10 milioni di euro per i soggetti particolarmente importanti e 7 milioni per quelli importanti. Se il fatturato mondiale totale dell'impresa supera 500 milioni di euro, il limite dipende invece dal fatturato: fino al 2 per cento per i soggetti particolarmente importanti e all'1,4 per cento per quelli importanti. Da tale soglia di fatturato risulta sempre l'importo maggiore.

In Germania le imprese soggette a NIS2 sono classificate secondo il § 28 BSIG: contano il tipo concreto di soggetto, le dimensioni aziendali e le regole particolari di inclusione. Gli allegati 1 e 2 elencano le attività interessate. La sola denominazione del settore non risponde quindi alla domanda, così come il numero di dipendenti senza esaminare l'attività.

La verifica di applicabilità considera la singola entità giuridica e i suoi servizi. Ai sensi del § 28 Abs. 4 BSIG occorre considerare anche imprese associate e collegate; la disposizione prevede un'eccezione per le imprese indipendenti sotto il profilo informatico. La verifica comprende le norme settoriali speciali del § 28 Abs. 5 e 6 BSIG. Il BSI raccomanda di documentare la decisione e le sue basi anche quando l'organizzazione non rientra nell'ambito di applicazione.

Il BSIG associa l'obbligo di documentazione ai poteri di vigilanza delle autorità. Il § 61 BSIG riguarda i soggetti particolarmente importanti; il § 62 BSIG consente la verifica dei soggetti importanti in presenza di elementi pertinenti. Un certificato volontario può sostenere la documentazione, ma secondo l'inquadramento del BSI non sostituisce la prova di tutti gli obblighi legali. Resta decisivo quali soggetti, servizi e misure siano effettivamente coperti dalla singola evidenza.

ISO 27001 e IT-Grundschutz possono sostenere l'organizzazione della sicurezza delle informazioni; il BSI descrive la certificazione ISO come una base utile per attuare il BSIG. Registrazione, canali legali di notifica e obblighi della direzione richiedono una valutazione separata. Per le entità finanziarie soggette a DORA occorre verificare le eccezioni del § 28 Abs. 6 BSIG.

Una misura attuata ma non documentata non può essere dimostrata al BSI. Il § 30 Abs. 1 Satz 3 BSIG rende quindi la documentazione un obbligo autonomo. Secondo il proprio pacchetto informativo sull'obbligo di documentazione, il BSI si aspetta che le decisioni a favore e contro le misure siano registrate con motivazioni, derivino dall'analisi dei rischi e mostrino come la direzione ha sorvegliato l'attuazione.

Per i soggetti particolarmente importanti, il BSI può disporre audit, verifiche o certificazioni e richiedere evidenze ai sensi del § 61 BSIG, secondo il § 61 Abs. 3 BSIG non prima di tre anni dall'entrata in vigore. Per i soggetti importanti effettua verifiche ai sensi del § 62 BSIG se vi sono fatti che indicano una violazione. Le modalità dettagliate con cui il BSI esaminerà le evidenze non sono ancora definite. È certo che ciò che si vuole presentare in caso di verifica deve essere stato prodotto in precedenza.

L'attuazione diventa dimostrabile quando sono collegati tre elementi: il requisito di legge, la misura che lo soddisfa e l'evidenza che ne prova l'attuazione, ciascuno con responsabili e data.

Una certificazione ISO/IEC 27001 è una buona base a questo scopo, ma secondo il BSI non dimostra la conformità a NIS2. Ambito di applicazione, trattamento dei rischi, obblighi di notifica e obblighi della direzione possono differire e vanno verificati separatamente.

Se non avete ancora chiarito se il vostro soggetto rientra nel § 28 BSIG, iniziate dalla verifica gratuita di applicabilità. Registrate il risultato con la motivazione. Nel pacchetto informativo sull'obbligo di documentazione il BSI raccomanda di documentare la verifica anche in caso di esito negativo e può richiedere tale documentazione ai sensi del § 33 Abs. 4 BSIG.

Se siete soggetti alla normativa e registrati, iniziate dalla misura 1. Le dieci misure costituiscono il contenuto minimo; l'analisi dei rischi determina il livello di attuazione di ciascuna. La verifica di attuazione mostra in pochi minuti il vostro avanzamento su ognuna delle dieci misure e le lacune ancora presenti.