NIS2 per i data center: quando un data center rientra nel BSIG
Chi offre servizi di data center ad altri, per esempio colocation, è un soggetto importante da 50 dipendenti o con più di 10 milioni di euro sia di fatturato sia di totale di bilancio, e un soggetto essenziale da 250 dipendenti (§ 28 BSIG). Una sala server solo per la propria azienda non è un servizio offerto. Se un data center sia anche un impianto critico dipende da una soglia a parte.
Cos'è un servizio di data center
Si intende l'intera attività: locali, rack e rete, più la distribuzione dell'energia e il raffreddamento. Gli impianti tecnici dell'edificio fanno parte del servizio.
Che tu affitti spazio, energia e raffreddamento per i server di altri (colocation) o gestisca tu stesso i server non cambia il fatto che si tratti di un servizio di data center.
§ 2 n. 35 BSIG · Art. 6(31) NIS 2
«servizio di data center»: un servizio che comprende strutture, o gruppi di strutture, dedicate a ospitare, interconnettere e far funzionare in modo centralizzato apparecchiature informatiche e di rete che forniscono servizi di conservazione, elaborazione e trasporto di dati insieme a tutti gli impianti e le infrastrutture per la distribuzione dell'energia e il controllo ambientale;
Da quali dimensioni un fornitore rientra nell'ambito
Soggetto importante: almeno 50 dipendenti, oppure un fatturato annuo e un totale di bilancio superiori a 10 milioni di euro ciascuno.
Soggetto essenziale: almeno 250 dipendenti, oppure più di 50 milioni di euro di fatturato e più di 43 milioni di euro di totale di bilancio. È possibile perché i data center sono elencati nell'allegato 1.
A differenza, per esempio, dei servizi DNS o dei servizi fiduciari qualificati, i data center non sono inclusi a prescindere dalle dimensioni.
Il calcolo segue la raccomandazione 2003/361/CE. Possono contare anche le imprese associate e collegate.
§ 28(1), (2) e (4) BSIG
La tua sala server
Se la tua azienda gestisce server solo per sé, non offri un servizio di data center. In quel caso non rientri nell'ambito attraverso questa riga dell'allegato 1.
La tua azienda può comunque rientrare nell'ambito per un altro motivo, per esempio come produttore, impresa alimentare o impresa di gestione dei rifiuti. Allora la sala server è tra i sistemi che proteggi.
Se una società gestisce a pagamento un data center per altre società dello stesso gruppo, fallo verificare caso per caso.
Quando un data center è un impianto critico
A prescindere dalle dimensioni dell'azienda, un data center può essere un impianto critico. Il suo gestore è allora un soggetto essenziale.
Se un impianto sia critico dipende da soglie fissate in un regolamento. Nel regolamento del BSI sulle infrastrutture critiche (BSI-KritisV) il valore per un data center (housing) è di 3,5 megawatt di potenza concordata per contratto.
I gestori di impianti critici hanno due obblighi in più: usano sistemi di rilevamento degli attacchi e dimostrano le loro misure al BSI ogni tre anni.
§ 2 n. 22, § 28(1) n. 1, §§ 31 e 39 BSIG
Regole più dettagliate per i fornitori digitali
Ai fornitori di servizi di data center si applica anche il regolamento di esecuzione (UE) 2024/2690. Descrive più nel dettaglio i requisiti tecnici per le dieci aree e in questa misura prevale sul BSIG.
Stabilisce anche quando un incidente presso questi fornitori è significativo e va notificato.
§ 30(3) BSIG · Regolamento di esecuzione (UE) 2024/2690
Un esempio
Un'azienda inventata: un fornitore regionale di colocation con 60 dipendenti, due sedi e clienti tra le PMI. Per contratto sono concordati 2 megawatt di potenza.
La colocation è un servizio di data center. Con 60 dipendenti l'azienda è un soggetto importante.
Con 2 megawatt è sotto il valore della BSI-KritisV. Su questa base il data center non è un impianto critico.
Si registra presso il BSI e attua le misure previste dal § 30 BSIG, con il livello di dettaglio richiesto dal regolamento di esecuzione (UE) 2024/2690.
L'elenco dei suoi asset parte dagli impianti dell'edificio: allacciamento alla rete elettrica, UPS, alimentazione di emergenza, raffreddamento, protezione antincendio e controllo degli accessi. Seguono rete, rack e monitoraggio.
Come lo fa il percorso guidato
Nel percorso guidato su nisd2.eu il lavoro parte dall'elenco di ciò con cui lavora la tua azienda.
Un passo chiede di processi, software, dispositivi, locali e reti, e di chi li fornisce. Da qui nasce l'elenco dei tuoi asset.
Nel profilo aziendale indichi se gestisci un impianto critico. Solo allora compare il passo sul rilevamento degli attacchi e sulle prove al BSI.
Accanto a ogni passo c'è la norma, spiegata con parole semplici.
Alla fine la direzione approva i documenti nell'app, accedendo con il proprio account.
Domande frequenti
La colocation è un servizio di data center ai sensi della NIS2?
Sì. La colocation mette a disposizione locali, energia e raffreddamento per l'IT di altri. Rientra nella definizione del § 2 n. 35 BSIG.
La NIS2 si applica alla nostra sala server?
Non come servizio di data center, finché la gestisci solo per la tua azienda. Se la tua azienda rientra nell'ambito per un altro motivo, proteggi la sala server nell'ambito delle tue misure.
Da quali dimensioni un data center rientra nell'ambito?
Da 50 dipendenti oppure con un fatturato annuo e un totale di bilancio superiori a 10 milioni di euro ciascuno (§ 28(2) BSIG). Se il data center è un impianto critico, a prescindere dalle dimensioni.
Ogni data center è KRITIS?
No. Un data center è un impianto critico solo sopra una soglia. Nella BSI-KritisV sono 3,5 megawatt di potenza concordata per contratto per l'housing.
Fonti
- Legge sul BSI (BSIG) § 2 nn. 22 e 35, §§ 28, 30, 31, 39, allegato 1, gesetze-im-internet.de/bsig_2025
- Direttiva (UE) 2022/2555 (NIS 2), Art. 6(31) e allegato I, EUR-Lex
- Regolamento di esecuzione (UE) 2024/2690, EUR-Lex
- BSI-KritisV, allegato 4, gesetze-im-internet.de/bsi-kritisv
- Raccomandazione 2003/361/CE della Commissione, EUR-Lex
In pratica
Dove compare nel percorso guidato
Il percorso guidato ne fa dei passi da compilare, con la legge spiegata accanto a ciascuno. Apri un passo per vedere la sua schermata, compilata per un'azienda di fantasia.
Il percorso è in tedesco e in inglese.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Quanto costa il percorso guidato
4800 € netti all'anno, più IVA
Rimborso entro 30 giorniCon fattura, da pagare entro 30 giorni. Annullamento entro i primi 30 giorni: fattura annullata o rimborso.
Implementazione guidata della NIS 2, passo dopo passo
Una cronologia di modifiche e approvazioni da mostrare alla tua autorità di vigilanza
Scadenze e promemoria per ogni requisito
Questionario di sicurezza per i tuoi fornitori
Esportazione in PDF o CSV in qualsiasi momento
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
