La qualificazione come soggetto NIS2 non è un adempimento tecnico: è una valutazione giuridica che si fonda sulle soglie della raccomandazione europea sulle PMI, sui rapporti di gruppo, sull'art. 3 del D.Lgs. 138/2024 e sugli atti dell'Agenzia per la cybersicurezza nazionale, e che impegna direttamente gli organi di amministrazione. Lo Studio la affronta in tandem con GM Consulting, che mette a disposizione uno strumento di verifica preliminare.
Il D.Lgs. 138/2024 si applica alle singole persone giuridiche, non ai gruppi, e richiede che tre condizioni ricorrano insieme: la giurisdizione italiana, il superamento dei massimali della piccola impresa e lo svolgimento di un'attività riconducibile alle tipologie degli Allegati I e II. È l'ordine che la stessa Agenzia indica nel processo di autovalutazione, e la dimensione è il secondo passo, non il primo.
Un'impresa con trecento dipendenti che non opera in quei settori resta fuori dal perimetro, salvo individuazione da parte dell'Autorità; una piccola società di un grande gruppo può invece esservi attratta per effetto dell'aggregazione dei dati o dei servizi che rende a un soggetto NIS del gruppo. Per questo la verifica non si esaurisce nella lettura di un elenco.
Le soglie sono quelle della raccomandazione 2003/361/CE, nella lettura resa dall'Agenzia per la cybersicurezza nazionale nelle FAQ sull'ambito di applicazione: la classe dimensionale si determina quando sono soddisfatti insieme il criterio degli occupati e almeno uno dei due parametri contabili; si sale di classe se si superano entrambi i parametri contabili oppure il solo criterio degli occupati. Il totale di bilancio è il totale dell'attivo dello stato patrimoniale, non l'utile né il patrimonio netto.
Nei gruppi il calcolo è consolidato: i dati delle imprese collegate si sommano per intero, quelli delle associate in proporzione alla quota. Una piccola società di un grande gruppo è, ai fini NIS, una grande impresa. Due regole del decreto intervengono su questo risultato, in direzioni opposte.
GM Consulting S.r.l., società di consulenza direzionale con cui lo Studio opera in convenzione, ha pubblicato un calcolatore del perimetro NIS2 che applica la lettura dell'Agenzia ai dati dell'impresa e del gruppo e restituisce la classe dimensionale e l'esito preliminare. Il calcolo avviene interamente nel browser e nessun dato viene trasmesso o conservato.
Lo strumento è di GM Consulting e offre una valutazione preliminare, non un parere: serve a capire in pochi minuti se la questione merita un approfondimento. Dove l'esito dipende da rapporti di gruppo, dall'art. 3 c. 10 o dalla clausola di salvaguardia, la qualificazione va costruita su norme e documenti, ed è qui che interviene lo Studio. È il senso del lavoro in tandem fra le due strutture: la parte consulenziale e tecnica a GM, la parte giuridica allo Studio, su autonomo mandato del cliente, con fatturazione e copertura assicurativa separate.
Il decreto pone in capo agli organi di amministrazione e direttivi l'approvazione delle misure di gestione del rischio, la sorveglianza sulla loro attuazione e un obbligo di formazione, e prevede una responsabilità per le violazioni. Le sanzioni amministrative pecuniarie arrivano a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali e a 7 milioni o all'1,4% per i soggetti importanti, con conseguenze ulteriori in caso di inosservanza delle diffide.
Chi non si registra pur rientrando nel perimetro è esposto più del soggetto iscritto che non abbia completato le misure: la verifica dell'ambito, documentata, è il primo atto di tutela dell'organo amministrativo.
Il calcolatore dà una risposta definitiva? No. È uno strumento di GM Consulting per una valutazione preliminare, costruito sulla lettura dell'Agenzia; la qualificazione definitiva risulta dalla registrazione sulla piattaforma e dalla comunicazione dell'Autorità. Nei gruppi e nei casi di confine serve una verifica sui documenti.
La mia società è piccola ma appartiene a un gruppo: devo registrarmi? Dipende dai dati aggregati e dai rapporti con le altre società. Se l'aggregazione porta oltre i massimali della piccola impresa, sì, salvo che ricorrano i presupposti della clausola di salvaguardia; se la società rende servizi informatici o di sicurezza a un soggetto NIS del gruppo, sì a prescindere dalla dimensione.
Quando si dichiara la dimensione? In sede di registrazione o aggiornamento annuale sulla piattaforma dell'Agenzia, fra il 1° gennaio e il 28 febbraio, con i dati di occupati, fatturato e bilancio calcolati con l'aggregazione di gruppo. La dichiarazione è resa dal Punto di contatto ai sensi del d.P.R. 445/2000.
Che cosa fa lo Studio e che cosa fa GM Consulting? GM Consulting cura la parte consulenziale e tecnica, compreso lo strumento di verifica preliminare; lo Studio rende parere, assistenza e difesa su autonomo mandato del cliente. Le due strutture sono distinte sotto il profilo giuridico e organizzativo e operano in convenzione.