NIS2: soggetti essenziali e soggetti importanti

La NIS2 suddivide i soggetti regolamentati in due categorie: essenziali e importanti. I soggetti essenziali comprendono settori quali l’energia, i trasporti, il settore bancario, la sanità e le infrastrutture digitali: si pensi a questi settori come alla struttura portante della società, nei quali una violazione potrebbe causare perturbazioni diffuse. I soggetti importanti comprendono i servizi postali, la gestione dei rifiuti, le sostanze chimiche, la produzione alimentare e la fabbricazione; si tratta comunque di settori critici, ma caratterizzati da un rischio sistemico inferiore. La distinzione fondamentale è che i soggetti essenziali sono sottoposti a una vigilanza più rigorosa, che comprende controlli proattivi ex ante, mentre per i soggetti importanti è prevista una vigilanza ex post meno intensa.

Per evitare di confonderli, si ricordi che i settori «essenziali» sono quelli il cui malfunzionamento bloccherebbe la vita quotidiana: interruzioni dell’elettricità, assenza di trasporti o impossibilità di accedere agli ospedali. Per i settori importanti, si pensi a servizi vitali ma dotati di una maggiore ridondanza, come l’approvvigionamento alimentare o la raccolta dei rifiuti. Un’insidia d’esame frequente consiste nell’indicare i «fornitori digitali» come importanti: sono invece essenziali. Un’altra insidia: la «pubblica amministrazione» è essenziale soltanto a livello nazionale, non locale. Se una domanda presenta un settore, ci si chieda anzitutto: «Una grave interruzione in questo settore farebbe notizia e impedirebbe alle persone di lavorare?». Se la risposta è sì, probabilmente è essenziale.

Ci si metta alla prova con una rapida classificazione mentale: energia, sanità e settore bancario — essenziali; servizi postali, sostanze chimiche e fabbricazione — importanti. In caso di dubbio, aiuta il mnemonico «E-BIT»: i settori essenziali sono Banking, Infrastructure (digitale) e Transport, ossia settore bancario, infrastrutture digitali e trasporti. Tutto il resto previsto dalla NIS2 è importante. Questa distinzione è la fonte di confusione più comune nelle domande d’esame sull’ambito di applicazione della NIS2.