NIS2 gestione dei rifiuti e servizi postali: chi rientra?

Un operatore della raccolta rifiuti in Lombardia con 90 dipendenti gestisce giri, pesa e fatturazione su tre sistemi collegati. Il magazzino di un corriere a Bologna dipende da un'unica piattaforma di smistamento e da un portale cloud per il tracciamento. Nessuno dei due titolari ha mai notificato un incidente. Entrambi appartengono ormai a un settore che l'UE definisce "critico", e i loro clienti lo chiedono già.

È la domanda dietro NIS2 e la gestione dei rifiuti, e dietro i servizi postali. Entrambi i settori compaiono nell'allegato II della Direttiva (UE) 2022/2555, gli "altri settori critici". In Italia la direttiva è recepita dal D.Lgs. 138/2024, in vigore dal 16 ottobre 2024. Il testo è più stretto di quanto temano i clienti e più ampio di quanto sperino.

Cosa copre davvero l'allegato II

Il punto 1 dell'allegato II riguarda i servizi postali e di corriere: i fornitori di servizi postali ai sensi dell'articolo 2, punto 1 bis, della Direttiva 97/67/CE, "compresi i fornitori di servizi di corriere". I corrieri sono quindi citati espressamente. Reti di pacchi, corrieri dell'ultimo miglio e operatori postali tradizionali rientrano nella stessa voce.

Il punto 3 riguarda la gestione dei rifiuti: le imprese che svolgono la gestione dei rifiuti ai sensi dell'articolo 3, punto 9, della Direttiva 2008/98/CE. Vi rientrano raccolta, trasporto, recupero e smaltimento. Un raccoglitore, un trasportatore, un impianto di selezione e un gestore di discarica possono essere tutti inclusi.

L'eccezione che decide la maggior parte dei casi rifiuti

La voce rifiuti esclude le imprese "per le quali la gestione dei rifiuti non è la principale attività economica". È la frase più utile per i colloqui con i clienti.

Un produttore che tratta i propri scarti di lavorazione non rientra per questo motivo. Un commerciante di rottami la cui attività prevalente è raccogliere e trattare rifiuti, forse sì. Basta una domanda: questa impresa guadagna soprattutto dalla gestione dei rifiuti? Documentate la risposta e le prove.

Per i servizi postali non esiste un'eccezione equivalente. Chi offre servizi postali o di corriere come attività d'impresa verifica subito le soglie dimensionali.

La soglia dimensionale: media e oltre

NIS2 si applica a soggetti di medie e grandi dimensioni nei settori elencati. In pratica: almeno 50 dipendenti oppure oltre 10 milioni di euro di fatturato annuo o di totale di bilancio. Le microimprese e le piccole imprese restano di norma fuori.

I soggetti dell'allegato II sono soggetti importanti, non essenziali. Questo incide sulla vigilanza: l'Agenzia per la Cybersicurezza Nazionale (ACN) può intervenire dopo un incidente o una segnalazione, invece di controllare in modo sistematico. Gli obblighi non diventano più leggeri.

Cosa prevede il decreto italiano

Il D.Lgs. 138/2024 fa dell'ACN l'autorità competente e il CSIRT Italia. I soggetti sopra la soglia dimensionale devono registrarsi sulla piattaforma digitale dell'ACN, di norma in una finestra annuale. Tenete traccia scritta dell'autovalutazione su settore e dimensioni: non basta il codice ATECO, conta l'attività effettivamente svolta.

Le misure di sicurezza seguono l'articolo 21 della direttiva, con dieci ambiti: analisi dei rischi, gestione degli incidenti, continuità operativa, sicurezza della catena di approvvigionamento, acquisizione e manutenzione sicure, valutazione dell'efficacia, igiene informatica e formazione, crittografia, controllo degli accessi e gestione degli asset, autenticazione a più fattori o comunicazioni sicure. Vedete la nostra guida alle dieci misure dell'articolo 21. L'ACN pubblica le proprie determinazioni sugli adempimenti: verificate sempre i termini aggiornati.

Gli organi di amministrazione approvano le misure, ne rispondono e seguono una formazione. Per un'impresa di autotrasporto familiare o un operatore postale regionale, spesso è la prima volta che un amministratore risponde formalmente del rischio informatico.

Dove questi settori sono esposti

La tecnologia operativa nel trattamento dei rifiuti si dimentica facilmente. Pese, comandi delle presse, monitoraggio del biogas di discarica e telematica di flotta sono tutti in rete. Un ransomware che blocca la fatturazione della pesa ferma lo stesso giorno gli incassi della raccolta.

Per poste e corrieri il punto di pressione è la piattaforma di smistamento e tracciamento. Molti corrieri poggiano su un solo fornitore SaaS. Se cade, il magazzino si ferma. È una questione di catena di approvvigionamento ai sensi dell'articolo 21, paragrafo 2, lettera d, e la prima cosa che esaminerà un questionario del cliente.

Entrambi i settori dipendono anche da subappaltatori: corrieri autonomi, partner di trasporto, strumenti esterni di pianificazione dei giri. Un elenco scritto di questi fornitori, con clausole di sicurezza nel contratto, costa poco e quasi non esiste mai. Il nostro articolo sulla sicurezza della catena di approvvigionamento NIS2 mostra come costruirlo.

La notifica degli incidenti funziona allo stesso modo

Un incidente significativo richiede un preallarme entro 24 ore, una notifica dell'incidente entro 72 ore e una relazione finale entro un mese. In Italia la notifica va al CSIRT Italia. I clienti di solito non hanno un processo per la prima ora, figurarsi per il primo giorno. Un breve esercizio da tavolo sulle scadenze di notifica rende subito. Se sono coinvolti dati personali, resta separato il percorso verso il Garante.

Sanzioni per i soggetti importanti

L'articolo 34 della direttiva fissa per i soggetti importanti un massimo di almeno 7 milioni di euro o almeno l'1,4 % del fatturato mondiale annuo, se superiore. Sono i tetti della direttiva; il decreto nazionale determina le cifre definitive. Il quadro completo è nel nostro articolo sulle sanzioni NIS2.

La situazione cambia da paese a paese

La direttiva è la stessa ovunque, ma gli obblighi del vostro cliente dipendono dalla legge nazionale e dall'autorità. In Italia il decreto è in vigore e l'ACN è operativa. Altri Stati membri sono in ritardo. Se il cliente ha sedi in Francia, Spagna o Germania, verificate la situazione aggiornata paese per paese. La cronologia di attuazione nell'UE è un buon punto di partenza.

Un ordine di lavoro pratico per questi clienti

Partite dall'ambito. Scrivete una nota di una pagina con la voce di settore, la verifica dell'attività principale per i rifiuti, i dati dimensionali e la conclusione. Autorità e clienti chiedono esattamente questo.

Poi eseguite una gap analysis sulle dieci misure e date priorità a inventario dei fornitori, contatti per gli incidenti e test dei backup. È lì che la maggior parte dei clienti rifiuti e postali è più debole. Per una base rapida, il quick scan di NIS2Certify offre una valutazione di preparazione da rivedere con il cliente in un incontro.

Infine, mettete su carta l'orologio dell'incidente: chi decide cosa è significativo, chi chiama l'autorità, chi scrive la notifica a 72 ore. Un piano di una pagina testato vale più di una policy di 40 pagine che nessuno legge.

L'ambito dipende dal soggetto, dal paese e dai fatti. Il vostro compito è rendere la decisione difendibile. Se il settore chimico ha insegnato qualcosa ai consulenti, è che le questioni di ambito dell'allegato II si vincono con la documentazione, non con le ipotesi. Per un primo controllo generale: la NIS2 si applica alla mia organizzazione?