Roadmap NIS2 per amministratori delegati

Verifica le soglie (dipendenti, fatturato, settore) per confermare se il tuo soggetto è classificato come 'essenziale' o 'importante'.

Base giuridica:

§28 BSIG

Responsabile:

Amministratore delegato

Impegno:

2 minuti

Scadenza:

ora

Ti registri presso l'autorità NIS2 di ogni Stato membro dell'UE in cui operi: non solo la Germania. 'Operare in' significa stabilimento fisico: la tua società, una succursale, un ufficio o tuoi dipendenti presenti sul posto in quel paese. Le sole vendite transfrontaliere non contano. Esempio: una GmbH tedesca con un ufficio a Vienna si registra presso il BSI (DE) e la NIS-Stelle (AT).

Base giuridica:

NIS2 Art. 27 · §33 BSIG (DE)

Responsabile:

Il responsabile IT presenta, l'amministratore delegato firma

Impegno:

~1 ora per paese + configurazione dell'identità nazionale (ad esempio ELSTER in DE: 5-10 giorni lavorativi)

Scadenza:

Si applicano scadenze nazionali: DE: 06.03.2026 scaduta; l'obbligo permane

Elenco completo dei sistemi, delle applicazioni e dei dati da cui dipendono le tue operazioni: e i rischi associati a ciascuno. Entrambi costituiscono il fondamento di ogni altro obbligo NIS2 e sono la prima cosa che un auditor chiede di vedere. Nella piattaforma NISD2, il tuo responsabile IT e il tuo CISO costruiscono e mantengono l'inventario e il registro dei rischi, e il flusso di segnalazione degli incidenti (24h / 72h / 1 mese ai sensi del §32 BSIG) è integrato automaticamente.

Base giuridica:

§30(2) BSIG · NIS2 Art. 21(2)(a)

Responsabile:

Il responsabile IT produce, l'amministratore delegato firma (§38(1) BSIG)

Impegno:

~1 giorno per la prima stesura · mantenuto in continuo, approvato annualmente

Scadenza:

1° trimestre

Inventario dei tuoi fornitori diretti, collegato al tuo registro degli asset (quale fornitore gestisce quale sistema). Gestione continua del rischio di cibersicurezza: non un questionario una tantum: postura di sicurezza per fornitore, notifiche di incidenti ricevute tramite il loro portale fornitori, punteggio di rischio. La piattaforma include il questionario standard ancorato a NIS2 (open source, MIT + CC BY 4.0) e mantiene l'inventario.

Base giuridica:

§30(2)(4) BSIG · NIS2 Art. 21(2)(d)

Responsabile:

Acquisti / IT producono, l'amministratore delegato firma

Impegno:

~½ giorno per la prima stesura · mantenuto in continuo

Scadenza:

1°-2° trimestre

Le dieci aree di misura ai sensi di NIS2 Art. 21: gestione degli incidenti, continuità operativa (backup, ripristino), formazione, controllo degli accessi, crittografia, gestione delle vulnerabilità e delle patch, sicurezza di rete, monitoraggio, contratti con i fornitori, comunicazioni. La piattaforma copre tutte e dieci con modelli, acquisizione automatica delle evidenze e un audit trail completo; tu approvi il riepilogo annuale.

Base giuridica:

§30(2) Nr. 1-10 BSIG · NIS2 Art. 21

Responsabile:

Il responsabile IT / CISO attua, l'amministratore delegato approva annualmente

Impegno:

in continuo, insieme al normale lavoro IT

Scadenza:

dal 2° trimestre in poi