NIS2 per cloud, SaaS, hosting e data center: chi rientra e cosa cambia
Chi offre risorse di calcolo su richiesta o ospita i server di altri è nell'allegato I, come le reti elettriche. Le definizioni, i casi di confine e le regole europee in più.
Per la NIS2 un fornitore di cloud o un data center sta nella stessa lista delle reti elettriche e degli ospedali: le infrastrutture digitali sono nell'allegato I del d.lgs. 138/2024, tra i settori ad alta criticità. Il motivo è semplice: quando si ferma un cloud si fermano, insieme, centinaia di clienti.
Questa guida è per chi offre software in abbonamento, server virtuali, spazio in sala dati o servizi di hosting: cosa intende la legge per cloud e data center, i casi di confine chiariti dall'ACN, le regole europee che si aggiungono e cosa cambia con i clienti.
Cosa intende la legge per cloud e data center
Le definizioni sono nell'articolo 2 del decreto e vanno lette con attenzione, perché decidono tutto.
- Servizio di cloud computing (lett. bbb): un servizio digitale che consente l'amministrazione su richiesta di un insieme scalabile ed elastico di risorse di calcolo condivisibili, con ampio accesso da remoto, anche se le risorse sono distribuite in più luoghi. La direttiva precisa che i modelli comprendono, tra gli altri, il servizio a livello di infrastruttura (IaaS), di piattaforma (PaaS), di software (SaaS) e di rete, nelle forme private, pubbliche, di comunità e ibride (considerando 33).
- Servizio di data center (lett. ccc): strutture dedicate a ospitare in modo centralizzato, interconnettere e far funzionare apparecchiature informatiche e di rete, insieme agli impianti per l'energia e il controllo ambientale.
- Rete di distribuzione dei contenuti (lett. ddd): una rete di server distribuiti geograficamente per rendere contenuti e servizi digitali disponibili e veloci per conto di chi li offre.
Un gestionale venduto in abbonamento online, che gira su risorse condivise e si adatta al numero di utenti, rientra quindi nella definizione di cloud. Lo stesso software installato sui server del cliente, con la sola licenza, no.
Chi rientra: i casi chiariti dall'ACN
| Cosa fate | NIS2? | Riferimento |
|---|---|---|
| Software in abbonamento (SaaS), server virtuali, archiviazione o backup in cloud per altre aziende | Sì, come cloud, se siete almeno media impresa | Art. 2, lett. bbb; FAQ A1.8.1 |
| Spazi, energia, raffreddamento e connettività per i server dei clienti (housing, colocation) | Sì, come data center, se siete almeno media impresa | Art. 2, lett. ccc; FAQ A1.8.1 |
| Rivendita di servizi cloud con una vostra infrastruttura che concorre al servizio, o con un vostro help desk tecnico | Sì: siete assimilati al fornitore | FAQ A1.8.4 |
| Rivendita con sola attività commerciale, amministrativa e contrattuale | No | FAQ A1.8.4 |
| Servizi offerti solo alle società del gruppo o del consorzio | Sì: contano come quelli verso l'esterno | FAQ A1.8.6 |
| Servizi cloud qualificati secondo il Regolamento cloud dell'ACN | Sì, come cloud, se superate la piccola impresa | FAQ A1.8.2 |
| Infrastrutture digitali qualificate o soggette ad adeguamento secondo il Regolamento cloud | Sì, come data center, se superate la piccola impresa | FAQ A1.8.3 |
| Società in house o partecipate che offrono questi servizi | Sì, alle stesse condizioni delle private | FAQ A1.8.5 |
Il decreto non usa mai la parola hosting, e l'ACN non l'ha definita. Conta il servizio concreto: server virtuali attivabili su richiesta sono cloud; spazi e alimentazione per macchine del cliente sono servizi di data center; la gestione da remoto dei server del cliente è un servizio gestito, trattato nella guida per MSP e fornitori IT. E se i domini dei clienti puntano a server DNS autoritativi vostri, siete anche fornitori di servizi DNS, una tipologia che rientra a prescindere dalla dimensione: ne parliamo in telco, DNS e servizi fiduciari.
Dimensione, status e giurisdizione
Per cloud, data center e CDN vale la regola dimensionale: si entra dalla media impresa in su (art. 3, c. 2), contando il gruppo. Le soglie sono in a chi si applica la NIS2. Siccome il settore è nell'allegato I, la dimensione decide lo status: importanti le medie imprese, essenziali le grandi (art. 6, c. 1, lett. a), con 43 misure e 116 requisiti di base, ispezioni anche senza indizi e sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale.
La giurisdizione segue regole proprie (art. 5). Per questi fornitori decide lo stabilimento principale nell'Unione: siete sotto la legge italiana se siete stabiliti solo in Italia, se in Italia avete lo stabilimento principale tra quelli che avete in più Stati, oppure se, senza stabilimenti nell'Unione, avete designato in Italia il vostro rappresentante (FAQ A1.8.1). Lo stabilimento principale si cerca tra le sedi della singola società, senza contare quelle delle società collegate (FAQ AMB.ES.1).
L'autorità di settore è il Ministero delle imprese e del made in Italy (art. 11, c. 2, lett. c); registrazione, vigilanza e sanzioni sono dell'ACN.
Le regole in più: il regolamento (UE) 2024/2690
A cloud, data center e CDN che sono soggetti NIS si applica anche il regolamento di esecuzione (UE) 2024/2690, direttamente applicabile dal 7 novembre 2024. Aggiunge requisiti tecnici dettagliati, cadenze annuali per riesaminare politica di sicurezza, valutazione dei rischi e assegnazione dei ruoli (allegato, punti 1.1.2, 2.1.4 e 10.1.3) e, soprattutto, soglie proprie per dire quando un incidente è significativo.
| Fornitore | Incidente significativo, tra l'altro, se… |
|---|---|
| Cloud (art. 7) | il servizio è completamente indisponibile per più di 30 minuti; la disponibilità è limitata per oltre il 5% degli utenti nell'Unione o oltre 1 milione di utenti, se è meno, per più di un'ora; integrità, riservatezza o autenticità dei dati sono compromesse da un'azione che si sospetta malevola |
| Data center (art. 8) | il servizio di un data center è completamente indisponibile; la disponibilità è limitata per più di un'ora; i dati sono compromessi da un'azione che si sospetta malevola; l'accesso fisico al data center è compromesso |
| CDN (art. 9) | la rete è completamente indisponibile per più di 30 minuti; o le stesse soglie del cloud su disponibilità e dati |
| Tutti (artt. 3 e 4) | perdita finanziaria diretta oltre 500.000 euro o, se inferiore, il 5% del fatturato annuo; furto di segreti commerciali; accesso non autorizzato malevolo che può causare gravi perturbazioni; incidenti ripetuti con la stessa causa in sei mesi |
Le interruzioni programmate e la manutenzione pianificata non contano (art. 3, par. 2). Come queste soglie si combinino con i tipi di incidente fissati dall'ACN, da IS-1 a IS-4, non è ancora stato chiarito da documenti ufficiali: la lettura prudente è applicare entrambe le serie di regole. Le misure dell'ACN sono spiegate in le misure di sicurezza di base.
Con i clienti: fornitore rilevante per definizione
Se avete clienti soggetti NIS, il vostro servizio è per loro una «fornitura ICT»: uno dei criteri per cui devono indicarvi all'ACN come fornitore rilevante nell'aggiornamento annuale, dal 15 aprile al 31 maggio (det. ACN 314287/2026, art. 18; FAQ FRN.4). Le loro misure di sicurezza, poi, li obbligano a:
- tenere l'inventario dei servizi erogati dai fornitori, «ivi inclusi i servizi cloud» (ID.AM-04);
- valutare il rischio che portate e mettere requisiti di sicurezza nei contratti nuovi, rinnovati o prorogati (GV.SC-07 e GV.SC-05);
- verificare periodicamente che quei requisiti siano rispettati.
Aspettatevi quindi allegati di sicurezza ai contratti, questionari, richieste di report su disponibilità, backup e test di ripristino, e clausole su chi avvisa chi in caso di incidente. Avere un pacchetto standard già pronto fa risparmiare tempo a voi e ai clienti: il punto di vista del cliente è in NIS2 e fornitori.
Un incidente concreto: il SaaS violato
Una società media offre un software in abbonamento per presenze e paghe a qualche centinaio di aziende. Un attaccante ruba la password di un tecnico dell'assistenza, la cui utenza amministrativa non aveva l'autenticazione a più fattori, entra nella console di produzione e copia i dati dei dipendenti di alcuni clienti.
- Per il regolamento 2024/2690 è significativo: dati compromessi da un'azione che si sospetta malevola (art. 7) e accesso non autorizzato malevolo (art. 3).
- Per i tipi dell'ACN è un IS-1, perdita di riservatezza verso l'esterno di dati di cui il fornitore ha il controllo.
- Pre-notifica al CSIRT Italia entro 24 ore, notifica entro 72 ore, relazione finale entro un mese.
Come responsabile del trattamento dei dati personali, il fornitore deve anche informare i clienti senza ingiustificato ritardo (art. 33, par. 2, del GDPR), e i clienti valutano la notifica al Garante. I clienti che sono soggetti NIS, a loro volta, notificano al CSIRT se l'incidente è significativo anche per i loro servizi (FAQ ISB.F.2). Se invece l'incidente colpisce sistemi del cliente ospitati nel vostro cloud, per l'ACN notificano entrambi, salvo che offriate solo infrastruttura (IaaS) o hosting dell'infrastruttura del cliente: allora notifica solo il cliente (FAQ ISB.F.3). La causa di questo caso, un'utenza amministrativa senza secondo fattore, è proprio ciò che la misura PR.AA-03 chiede di evitare sui sistemi rilevanti. I tempi sono in la notifica degli incidenti.
Da dove partire
- Classificate i servizi con le definizioni: cloud, data center, CDN, servizi gestiti, DNS, sola rivendita.
- Calcolate la dimensione con l'ultimo esercizio chiuso, gruppo compreso, e verificate dove è il vostro stabilimento principale.
- Se siete dentro, preparate la registrazione e mettete insieme misure dell'ACN e regolamento 2024/2690, con le cadenze annuali.
- Scrivete le soglie di incidente per ciascun servizio, così il turno di reperibilità sa quando scatta la notifica.
- Preparate il pacchetto per i clienti: allegato di sicurezza, procedura di avviso degli incidenti, report periodici.
La verifica gratuita vi dice in pochi minuti se siete dentro e perché. Pilot vi guida poi negli adempimenti e, se servite clienti NIS, ognuno di loro può darvi un link personale da cui caricare i report che vi chiede, con un promemoria prima della scadenza: iniziate gratis. Per un affiancamento c'è la consulenza NIS2 dello Studio.
Domande frequenti
Pilot vi guida in otto tappe: capite se la NIS2 vi riguarda, preparate registrazione, misure e procedure per gli incidenti, e tenete i documenti in regola con uno scadenzario che vi avvisa prima. Non sostituisce un consulente o un legale: vi fa arrivare preparati.
Preferite essere seguiti da un ingegnere? La consulenza NIS2 dello Studio
Un'azienda di fantasia, Meccanica Rossi, dalla verifica alla registrazione ACN, alle misure, a un incidente simulato e al piano dei primi 90 giorni: per ogni passo cosa chiede la legge e cosa fare in pratica.
Guardate il webinar gratis