# Il divario di registrazione NIS2: cosa rivela sull'incertezza di ambito > SwissGRC® analizza lo scarto di circa 10.000 registrazioni NIS2 in Germania e cosa mostra sulla determinazione dell'applicabilità. L'articolo si rivolge ad aziende e responsabili GRC e spiega perché il perimetro va valutato e documentato per iscritto. - URL: https://swissgrc.com/it/divario-registrazione-nis2-incertezza-ambito/ - Editore: SwissGRC® - Pubblicato: 2026-08-21 - Ultimo aggiornamento: 2026-08-21 ## Punti chiave - Il governo tedesco aveva previsto circa 29.500 soggetti interessati dalla NIS2, sulla base di un calcolo dell'Ufficio federale di statistica. - Rispetto a tale previsione mancano ancora circa 10.000 notifiche presso il BSI. - L'applicabilità della NIS2 richiede due criteri da soddisfare insieme: appartenenza a uno dei 18 settori degli allegati del BSIG e soglia dimensionale. - Nessuna autorità comunica alle aziende la classificazione: i soggetti interessati devono autoidentificarsi. - Una valutazione unica non basta, perché classificazione settoriale, strutture di gruppo e soglie cambiano nel tempo. - Le aziende svizzere con filiali, succursali o relazioni commerciali significative nell'UE dovrebbero verificare se la NIS2 si applica a loro. Il governo tedesco aveva inizialmente stimato che quasi 30.000 aziende avrebbero dovuto registrarsi come infrastrutture critiche ai sensi della NIS2. In realtà, circa 10.000 notifiche mancano ancora rispetto a tale previsione, come riporta Golem. Il governo stesso non descrive questo scarto come una lacuna in senso stretto. Questa valutazione merita un approfondimento, perché dice qualcosa sulla natura stessa della determinazione del perimetro di applicabilità. In breve Lo scarto di circa 10.000 aziende tra il numero di soggetti interessati dalla NIS2 previsto dal governo tedesco e il numero effettivamente registrato presso il BSI mostra che determinare la propria applicabilità è un processo impegnativo che richiede documentazione. Le aziende dovrebbero rendere tracciabile per iscritto la propria valutazione settoriale e delle soglie, anziché affidarsi a un giudizio istintivo. 29.500soggetti soggetti interessati dalla NIS2 previsti dal governo tedesco, sulla base di un calcolo dell’Ufficio federale di statistica it-daily.net, NIS2: Nach Nachfrist weiter zu wenig Registrierungen 10.000aziende scarto tra i soggetti attesi e quelli effettivamente registrati it-daily.net, NIS2: Nach Nachfrist weiter zu wenig Registrierungen 18settori settori rilevanti per la classificazione NIS2 secondo gli allegati del BSIG mars-solutions.de, NIS-2-Registrierung: Frist abgelaufen, Lücke bleibt ## Quanto è ampio lo scarto tra i soggetti attesi e quelli registrati ai sensi della NIS2? La previsione di circa 29.500 soggetti tenuti alla registrazione si basava su un calcolo dell’Ufficio federale di statistica. Il numero effettivo di notifiche è rimasto ben al di sotto di tale cifra. La previsione di 29.500 soggetti interessati si basava su un calcolo dell’Ufficio federale di statistica (Statistisches Bundesamt), su cui il governo tedesco si è basato nell’approvare la legge di recepimento della NIS2. Anche dopo una proroga concessa, lo scarto è rimasto. Attualmente mancano circa 10.000 registrazioni rispetto alla previsione, dopo che soltanto circa 11.500 operatori si erano registrati correttamente entro la scadenza originariamente fissata. È notevole il modo in cui il governo inquadra questo scarto: non come prova di una mancata registrazione sistematica, ma come una questione aperta sul fatto che la stima originaria fosse essa stessa troppo elevata. Questa incertezza sul piano statistico rispecchia un’incertezza che esiste anche sul piano aziendale. ## Perché le aziende non possono semplicemente dedurre se sono interessate? L’applicabilità della NIS2 deriva da una combinazione di appartenenza settoriale e soglia dimensionale, che ogni azienda deve valutare e documentare autonomamente, senza alcuna notifica preventiva da parte delle autorità. L’applicabilità deriva da due criteri che devono essere entrambi soddisfatti: l’appartenenza settoriale e le dimensioni aziendali, laddove i relativi allegati elencano 18 settori, tra cui energia, trasporti, sanità, acqua, infrastrutture digitali, servizi IT, chimica, alimentare e manifatturiero. Non esiste un’assegnazione esterna da parte di un’autorità. I soggetti interessati devono autoidentificarsi; non vi sono comunicazioni ufficiali né richieste da parte di un’autorità. L’associazione delle utility municipali indica chiaramente la causa: il motivo principale dello scarto di registrazione esistente risiede nella complessità della valutazione di applicabilità. Laddove l’autovalutazione senza un meccanismo di riscontro costituisce la base, la qualità della metodologia di valutazione interna diventa il fattore decisivo. ## Cosa significa questo per la qualità della propria valutazione del perimetro? Una valutazione unica e informale non è sufficiente, poiché la classificazione settoriale, le strutture di gruppo e le soglie possono cambiare nel tempo e devono essere documentate in modo tracciabile. L’esperienza tedesca dimostra che anche le aziende dotate di risorse di conformità possono valutare erroneamente la classificazione, o semplicemente trascurare che parte della propria attività rientra in un settore regolamentato. Ciò riguarda non solo le aziende con un legame evidente con le infrastrutture critiche, ma anche fornitori e prestatori di servizi la cui classificazione emerge solo attraverso i rapporti di filiera. Un’azienda che effettua la propria valutazione di applicabilità una sola volta, senza rinnovarla ad ogni modifica rilevante, rischia di uscire o entrare silenziosamente nel perimetro di applicazione. Per la funzione GRC, ciò significa che la determinazione del perimetro stesso dovrebbe essere trattata come un oggetto di controllo, con responsabilità chiare e revisione ricorrente. L’articolo “Rethinking cyber resilience in the context of NIS2” descrive come questo requisito possa essere integrato in un concetto di resilienza già esistente. ## Cosa significa questo per le aziende al di fuori della Germania? Le aziende svizzere con filiali, succursali o relazioni commerciali significative nell’UE dovrebbero verificare se l’applicabilità della NIS2 derivi da tale collegamento. Lo scarto di registrazione è un fenomeno tedesco, ma il problema di fondo della determinazione del perimetro non lo è. Ogni Stato membro dell’UE recepisce la NIS2 con propri termini e procedure, il che comporta ulteriori passaggi di valutazione per le aziende operanti a livello transfrontaliero. L’analisi “NIS2 resolution in the Bundestag: pressure to act for companies” delinea le conseguenze derivanti dal recepimento tedesco per le relazioni commerciali transfrontaliere. Per la Svizzera stessa, la discussione su una legge autonoma sulla resilienza informatica procede in parallelo, con una propria sistematica. L’articolo “Federal Council announces new cyber resilience law” descrive lo stato attuale di questa iniziativa. ## Come possono le aziende migliorare concretamente la propria valutazione del perimetro? Il primo passo consiste in un’analisi scritta e documentata dei settori e delle soglie, approvata dalla direzione e aggiornata ad ogni modifica strutturale rilevante. L’analisi dovrebbe registrare quale attività è assegnata a quale settore, quali indicatori dimensionali sono stati utilizzati e chi è responsabile della valutazione. Questa documentazione serve non solo alla chiarezza interna, ma anche come prova nei confronti delle autorità di vigilanza e dei partner commerciali, che a loro volta richiedono sempre più spesso tali evidenze. L’articolo “ISMS: people, processes and technology are decisive” mostra come tale valutazione possa essere integrata in un sistema di gestione già esistente. Il responsabile della conformità o del rischio dovrebbe completare l’analisi del perimetro prima del prossimo riesame di direzione del sistema di gestione della sicurezza delle informazioni e sottoporla per approvazione al responsabile della governance. Si tratta di un primo passo gestibile e verificabile, attuabile indipendentemente dalle dimensioni dell’azienda. Per la pratica ## Punti chiave - Lo scarto tra i soggetti attesi e quelli registrati ai sensi della NIS2 indica principalmente un’incertezza metodologica nella determinazione del perimetro, non necessariamente un rifiuto diffuso. - L’appartenenza settoriale e la soglia dimensionale devono essere valutate insieme, senza che alcuna autorità comunichi preventivamente la classificazione. - Una valutazione unica non basta, poiché le strutture di gruppo, i campi di attività e le cifre chiave cambiano nel tempo. - Le aziende svizzere con esposizione all’UE dovrebbero valutare la propria applicabilità indipendentemente dalla discussione tedesca. - Un’analisi del perimetro scritta e documentata, approvata dalla direzione, rappresenta il primo passo verificabile. FAQ ## Domande frequenti Cos’è lo scarto di registrazione NIS2? Il governo tedesco prevedeva che circa 29.500 aziende fossero soggette alla registrazione NIS2, sulla base di un calcolo dell’Ufficio federale di statistica. Entro la scadenza originaria, tuttavia, si erano registrati soltanto circa 11.500 operatori, e ancora oggi mancano circa 10.000 notifiche rispetto alla previsione. Il governo non considera ciò una prova di mancata registrazione, ma anche una possibile sovrastima della cifra originaria. Quali criteri determinano se un’azienda è interessata dalla NIS2? L’applicabilità deriva da due criteri che devono essere entrambi soddisfatti: l’appartenenza a uno dei 18 settori elencati, come energia, trasporti, sanità o servizi IT, e il raggiungimento di determinate soglie dimensionali aziendali. Non esiste una classificazione esterna da parte di un’autorità; le aziende devono autoidentificarsi. Le aziende svizzere devono preoccuparsi della NIS2? La NIS2 è una normativa dell’UE che si applica direttamente solo alle aziende all’interno degli Stati membri. Le aziende svizzere con filiali, succursali o relazioni commerciali significative nell’UE dovrebbero comunque verificare se l’applicabilità derivi da tale collegamento. Per la Svizzera stessa, è in discussione parallelamente una legge autonoma sulla resilienza informatica. Perché una valutazione unica dell’applicabilità della NIS2 non è sufficiente? La classificazione settoriale, le strutture di gruppo e le soglie possono cambiare nel tempo, ad esempio a seguito di crescita, ristrutturazioni o nuove linee di business. Un’azienda che effettua la valutazione di applicabilità una sola volta rischia di uscire o entrare inosservatamente nel perimetro di applicazione. La valutazione dovrebbe pertanto essere rinnovata e documentata ad ogni modifica rilevante. Come dovrebbe essere documentata un’analisi del perimetro NIS2? La documentazione dovrebbe registrare quale attività è assegnata a quale settore, quali indicatori dimensionali sono stati utilizzati e chi è responsabile della valutazione. Dovrebbe essere approvata dalla direzione e aggiornata in occasione di modifiche strutturali rilevanti. Questa documentazione serve anche come prova nei confronti delle autorità e dei partner commerciali. Fonti 1. [NIS-2-regulierte Unternehmen](https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/nis-2-regulierte-unternehmen_node.html)Bundesamt für Sicherheit in der Informationstechnik (BSI) ## Domande frequenti ### Che cos'è il divario di registrazione NIS2 in Germania? Il governo tedesco prevedeva circa 29.500 soggetti interessati, ma rispetto a questa cifra mancano ancora circa 10.000 notifiche. Il governo non lo descrive come una lacuna in senso stretto e considera aperta la questione se la stima originaria fosse troppo elevata. ### Quali criteri stabiliscono se un'azienda rientra nella NIS2? Devono essere soddisfatti due criteri: l'appartenenza a uno dei 18 settori degli allegati, come energia, trasporti, sanità o servizi IT, e il raggiungimento della soglia dimensionale. Non c'è un'assegnazione da parte di un'autorità, quindi le aziende devono autoidentificarsi. ### Perché una sola valutazione di applicabilità della NIS2 non basta? La classificazione settoriale, le strutture di gruppo e le soglie possono cambiare nel tempo. Chi valuta una sola volta rischia di uscire o entrare silenziosamente nel perimetro di applicazione. ### Come si documenta l'analisi del perimetro NIS2? L'analisi scritta registra quale attività è assegnata a quale settore, quali indicatori dimensionali sono stati usati e chi è responsabile della valutazione. Viene approvata dalla direzione e aggiornata a ogni modifica strutturale rilevante. ### Le aziende svizzere devono verificare la NIS2? Sì, se hanno filiali, succursali o relazioni commerciali significative nell'UE, perché l'applicabilità può derivare da tale collegamento. In Svizzera procede inoltre in parallelo la discussione su una legge autonoma sulla resilienza informatica.