NIS2 per i fornitori cloud: quando un fornitore di servizi di cloud computing rientra nell'ambito
Chi offre un servizio cloud ad altri, che sia infrastruttura, piattaforma o software, è un soggetto importante da 50 dipendenti o con più di 10 milioni di euro sia di fatturato sia di totale di bilancio, e un soggetto essenziale da 250 dipendenti (§ 28 BSIG). Il solo uso di servizi cloud non ti fa rientrare nell'ambito attraverso questa riga. Ai fornitori cloud si applica anche il regolamento di esecuzione (UE) 2024/2690.
Cos'è un servizio di cloud computing
Quattro caratteristiche reggono la definizione: il cliente richiama le risorse su richiesta, le raggiunge tramite la rete, il pool cresce e si riduce con la domanda, e più clienti condividono le risorse.
Corrispondono a potenza di calcolo e archiviazione come servizio (IaaS), a piattaforme come i database come servizio (PaaS) e a software che molti clienti usano tramite la rete (SaaS).
Un singolo server con capacità fissa che gestisci per un solo cliente di solito non ha queste caratteristiche. Può però rientrare in un'altra riga, come servizio di data center o servizio gestito.
§ 2 n. 4 BSIG · Art. 6(30) NIS 2
«servizio di cloud computing»: un servizio digitale che consente l'amministrazione su richiesta di un pool scalabile ed elastico di risorse di calcolo condivisibili e l'ampio accesso remoto a quest'ultimo, anche ove tali risorse sono distribuite in varie ubicazioni.
Da quali dimensioni un fornitore rientra nell'ambito
Soggetto importante: almeno 50 dipendenti, oppure un fatturato annuo e un totale di bilancio superiori a 10 milioni di euro ciascuno.
Soggetto essenziale: almeno 250 dipendenti, oppure più di 50 milioni di euro di fatturato e più di 43 milioni di euro di totale di bilancio. È possibile perché i fornitori cloud sono elencati nell'allegato 1.
A differenza, per esempio, dei servizi DNS o dei servizi fiduciari qualificati, i fornitori cloud non sono inclusi a prescindere dalle dimensioni.
Il calcolo segue la raccomandazione 2003/361/CE. Possono contare anche le imprese associate e collegate.
§ 28(1), (2) e (4) BSIG
Cosa non conta
Usare servizi cloud, come posta elettronica, contabilità o archiviazione di un fornitore, non è offrire un servizio cloud. In quel caso la tua azienda non rientra nell'ambito attraverso questa riga dell'allegato 1. Il fornitore è uno dei tuoi fornitori, di cui tieni conto nelle tue misure se la tua azienda rientra nell'ambito per un altro motivo.
Nemmeno un cloud che la tua azienda gestisce solo per sé è un servizio offerto. Se una società lo gestisce a pagamento per altre società dello stesso gruppo, fallo verificare caso per caso.
Regole più dettagliate per i fornitori cloud
Ai fornitori di servizi di cloud computing si applica anche il regolamento di esecuzione (UE) 2024/2690. Descrive più nel dettaglio i requisiti tecnici per le dieci aree e in questa misura prevale sul BSIG. Essendo un regolamento, si applica con la stessa formulazione in ogni paese dell'UE.
Stabilisce anche quando un incidente presso questi fornitori è significativo e va notificato.
Per i fornitori cloud, lo stabilimento principale nell'UE decide quale paese è competente: il paese in cui vengono prese prevalentemente le decisioni sulla cibersicurezza. Quindi ti registri in un solo paese dell'UE, anche se offri il tuo servizio in più paesi.
§ 30(3) BSIG · Regolamento di esecuzione (UE) 2024/2690 · Art. 26 NIS 2
E il catalogo C5 del BSI?
Il C5 è un catalogo di criteri del BSI per i servizi cloud. La NIS2 non richiede un'attestazione C5. Molti clienti però la chiedono, e un'attestazione esistente può servire come prova per le tue misure.
Un esempio
Un'azienda inventata: un fornitore di software per le risorse umane che circa 900 clienti usano tramite la rete. 60 dipendenti, 12 milioni di euro di fatturato.
Il software gira per tutti i clienti su un'unica piattaforma condivisa che cresce con la domanda. È un servizio di cloud computing.
Con 60 dipendenti l'azienda è un soggetto importante.
Si registra presso il BSI, perché le decisioni sulla cibersicurezza vengono prese in Germania.
Attua le misure previste dal § 30 BSIG, con il livello di dettaglio richiesto dal regolamento di esecuzione (UE) 2024/2690.
L'elenco dei suoi asset comprende l'applicazione, i database, gli account di hosting, l'accesso dei clienti e i fornitori, come il gestore del data center.
Come lo fa il percorso guidato
Nel percorso guidato su nisd2.eu il lavoro parte dall'elenco di ciò con cui lavora la tua azienda.
Un passo chiede di processi, software, dispositivi, locali e reti, e di chi li fornisce. Da qui nasce l'elenco dei tuoi asset.
Un passo mostra in quale paese dell'UE ti registri, con la regola per i fornitori digitali come il cloud.
Accanto a ogni passo c'è la norma, spiegata con parole semplici.
Alla fine la direzione approva i documenti nell'app, accedendo con il proprio account.
Domande frequenti
Il SaaS è un servizio di cloud computing ai sensi della NIS2?
Di solito sì, se molti clienti usano il software tramite la rete su una piattaforma condivisa e scalabile. Corrisponde alla definizione dell'Art. 6(30) NIS 2 e del § 2 n. 4 BSIG.
Usiamo soltanto servizi cloud. Siamo un fornitore cloud?
No. Usare servizi cloud non è offrirli. La tua azienda può rientrare nell'ambito per un altro motivo; in quel caso il fornitore cloud è uno dei tuoi fornitori.
Da quali dimensioni un fornitore cloud rientra nell'ambito?
Da 50 dipendenti oppure con un fatturato annuo e un totale di bilancio superiori a 10 milioni di euro ciascuno (§ 28(2) BSIG). Da 250 dipendenti, oppure con più di 50 milioni di euro di fatturato e più di 43 milioni di euro di totale di bilancio, è un soggetto essenziale.
Dove si registra un fornitore cloud attivo in più paesi dell'UE?
Nel paese dell'UE del suo stabilimento principale, dove vengono prese prevalentemente le decisioni sulla cibersicurezza (Art. 26 NIS 2).
Fonti
- Legge sul BSI (BSIG) § 2 n. 4, §§ 28 e 30, allegato 1, gesetze-im-internet.de/bsig_2025
- Direttiva (UE) 2022/2555 (NIS 2), Art. 6(30), Art. 26 e allegato I, EUR-Lex
- Regolamento di esecuzione (UE) 2024/2690, EUR-Lex
- Raccomandazione 2003/361/CE della Commissione, EUR-Lex
- BSI: catalogo di criteri C5, bsi.bund.de
In pratica
Dove compare nel percorso guidato
Il percorso guidato ne fa dei passi da compilare, con la legge spiegata accanto a ciascuno. Apri un passo per vedere la sua schermata, compilata per un'azienda di fantasia.
Il percorso è in tedesco e in inglese.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Quanto costa il percorso guidato
4800 € netti all'anno, più IVA
Rimborso entro 30 giorniCon fattura, da pagare entro 30 giorni. Annullamento entro i primi 30 giorni: fattura annullata o rimborso.
Implementazione guidata della NIS 2, passo dopo passo
Una cronologia di modifiche e approvazioni da mostrare alla tua autorità di vigilanza
Scadenze e promemoria per ogni requisito
Questionario di sicurezza per i tuoi fornitori
Esportazione in PDF o CSV in qualsiasi momento
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
