La mia software house rientra nella NIS2?

Sviluppo software e NIS2: cosa dicono gli allegati del D.Lgs. 138/2024

Il D.Lgs. 138/2024, che recepisce in Italia la direttiva NIS2 (Dir. UE 2022/2555 sulla cibersicurezza), si applica alle aziende che svolgono le attività elencate nei suoi allegati (art. 3, comma 1). Per l'IT le voci sono queste:

• Infrastrutture digitali (allegato I, n. 8): tra le altre, servizi di cloud computing, di data center e reti di distribuzione dei contenuti (CDN).
• Gestione dei servizi TIC business-to-business (allegato I, n. 9): servizi gestiti e servizi di sicurezza gestiti.
• Fornitori di servizi digitali (allegato II, n. 6): mercati online, motori di ricerca, social network, registrazione di nomi di dominio.

Sviluppare software su commessa o vendere licenze non è una voce a sé. Se vendi software che il cliente installa, la norma che ti riguarda direttamente è il Cyber Resilience Act.

Servizi gestiti, cloud e data center: tre casi pratici

Il decreto chiama fornitore di servizi gestiti chi installa, gestisce, fa funzionare o manutiene prodotti, reti, infrastrutture o applicazioni dei clienti, con assistenza o amministrazione attiva presso il cliente o a distanza (art. 2, lett. iii). Il servizio di cloud computing è un servizio digitale che permette di amministrare su richiesta un insieme scalabile ed elastico di risorse di calcolo condivisibili, con ampio accesso remoto (art. 2, lett. bbb).

Tre esempi ipotetici:

• Sviluppi e consegni. Realizzi un'applicazione su commessa, la consegni e il cliente la installa e la gestisce da solo. Nessuna voce degli allegati descrive questa attività.
• Sviluppi e gestisci. Oltre a sviluppare il gestionale, con un contratto di assistenza lo amministri tu sui server del cliente: aggiornamenti, backup, utenze, monitoraggio. È l'attività descritta dalla definizione di servizio gestito: amministrazione attiva, a distanza, di un'applicazione del cliente.
• Vendi in abbonamento. Offri una piattaforma SaaS che gira sulla tua infrastruttura. Il decreto non nomina il SaaS: va confrontato con la definizione di cloud computing, caso per caso, con un legale.

Le soglie NIS2 per una software house

Per queste attività il decreto si applica solo a chi supera le soglie della piccola impresa (art. 3, comma 2) fissate dalla Raccomandazione 2003/361/CE. Gli occupati si contano in unità lavorative-anno: un part-time vale una frazione (allegato, art. 5).

* Indicazione di massima (art. 3 e art. 6 del decreto). L'Agenzia per la cybersicurezza nazionale (ACN) può includere un'azienda di qualsiasi dimensione in casi specifici, per esempio quando è un elemento sistemico della catena di approvvigionamento, anche digitale, di soggetti essenziali o importanti (art. 3, comma 9, lett. f).

Esempio ipotetico: una software house con 40 occupati e 6 milioni di fatturato che gestisce i sistemi dei clienti è una piccola impresa e di regola resta fuori. Con 60 occupati diventa media impresa e rientra come soggetto importante.

Software house in un gruppo: i dati si sommano

Se la tua società fa parte di un gruppo, per le soglie si sommano di regola i dati delle società collegate (art. 3, comma 4), cioè quelle legate da un rapporto di controllo, per esempio la maggioranza dei voti (Racc. 2003/361/CE, allegato, art. 3, par. 3). Una software house di 15 persone controllata da un gruppo grande può quindi non essere una piccola impresa ai fini NIS2.

C'è poi una regola che vale qualunque sia la dimensione: il decreto si applica alla società collegata a un soggetto essenziale o importante se gli fornisce servizi informatici o di sicurezza, anche gestiti, se ne gestisce i sistemi da cui dipendono i servizi o se ne cura le operazioni di sicurezza (art. 3, comma 10). È il caso tipico della società IT interna di un gruppo che opera nella sanità, nell'energia o nei trasporti.

Se non rientri, la NIS2 arriva dai clienti

I clienti soggetti alla NIS2 devono curare la sicurezza dei rapporti con i fornitori diretti e valutarne vulnerabilità, qualità dei prodotti e procedure di sviluppo sicuro (art. 24, comma 2, lett. d, e comma 3). Per una software house che lavora per una banca, un ospedale o un'utility questo può significare questionari di sicurezza, tempi di notifica degli incidenti nei contratti e audit. Ogni impegno firmato diventa un obbligo contrattuale verso quel cliente.

Se invece rientri, gli obblighi (registrazione, misure, notifiche, sanzioni) li vediamo in un articolo dedicato.

Cosa verificare

1. Amministri, gestisci o manutieni da remoto sistemi o applicazioni dei clienti, oppure offri servizi in cloud o di data center?
2. Superi le soglie della piccola impresa, contando in unità lavorative-anno e sommando le società collegate del gruppo?
3. Fornisci servizi informatici o di sicurezza a una società del tuo gruppo soggetta alla NIS2?
4. La tua RC professionale indica tra le attività assicurate anche i servizi gestiti e cloud che offri davvero? Lo verifichi nelle condizioni di polizza.
5. I requisiti di sicurezza e i tempi di notifica che i clienti NIS2 ti chiedono nei contratti sono compatibili con quello che riesci a garantire?

Per approfondire: NIS2, GDPR, CRA e DORA · Polizza cyber per software house · RC professionale e cyber.

Fonti

1. D.Lgs. 4 settembre 2024, n. 138 (recepimento della direttiva NIS2), Normattiva: artt. 2, 3, 6, 24; allegati I e II.
2. Raccomandazione 2003/361/CE della Commissione (definizione di microimprese, piccole e medie imprese), EUR-Lex: allegato, artt. 2, 3, 5.

Contenuto informativo, non consulenza legale: se la tua azienda rientri nella NIS2 va valutato con un legale sulle attività concrete.