Complass – Navigate compliance Complass – Navigate compliance
Lingua IT
Deutsch English Français Italiano Español Nederlands Polski Português
Provare gratis

NIS2, CRA e altro: la Sua azienda è interessata?

Una prima valutazione su NIS2 (§ 28 BSIG), KRITIS, Cyber Resilience Act e regolamento macchine, nonché su ISO 27001, IEC 62443 e TISAX come evidenze volontarie. Per tutti i settori, con particolare profondità per l’industria e l’OT. Senza registrazione, in pochi minuti.

Azienda

Tutte le domande sono facoltative; le domande senza risposta vengono considerate “Non so”. Condizione quadro presunta: attività a titolo oneroso.

1. Dove ha sede la Sua azienda?

La NIS2 recepisce il diritto UE a livello nazionale; questa verifica valuta il recepimento tedesco (BSIG). Il Cyber Resilience Act e il Regolamento macchine si applicano direttamente in tutta l’UE.

2. Settore

Solo per la classificazione e per le indicazioni non vincolanti riportate sotto; per le conseguenze giuridiche conta la domanda 3.

Attività

3. Attività esatta secondo la NIS2 (allegato 1/2 BSIG)

Selezioni l’attività che meglio si adatta. I gruppi corrispondono ai settori degli allegati 1 e 2 BSIG.

Conta ciò che la Sua azienda fa effettivamente, non il settore. Le attività che costituiscono solo una parte trascurabile del Suo business restano escluse (§ 28, comma 3, BSIG). Se nessuna si adatta, selezioni “Nessuna di queste”.

Dimensione

Si intende la Sua azienda come entità giuridica, ad esempio la GmbH, con tutte le sedi insieme, non una singola sede. Se i dati di un gruppo di imprese contano, lo chiediamo nel passaggio successivo. È determinante l’ultimo bilancio d’esercizio.

4. Dipendenti

I dipendenti a tempo pieno contano 1, quelli a tempo parziale e stagionali in proporzione. Non vengono conteggiati gli apprendisti né i dipendenti in congedo di maternità o parentale. Esempio: 40 dipendenti a tempo pieno e 20 a metà tempo fanno 50.

5. Fatturato annuo

Fatturato al netto dell’IVA secondo il conto economico.

6. Totale di bilancio

La somma dell’attivo del Suo bilancio. Si trova nel bilancio d’esercizio o la fornisce il Suo consulente fiscale.

Da 50 dipendenti la Sua azienda è considerata media impresa. Ciò vale anche se fatturato e totale di bilancio superano entrambi i 10 mln €. Se ha dubbi, selezioni “Non so”: il risultato mostrerà allora che cosa verificare.

Gruppo di imprese

7. Gruppo di imprese

Esiste un gruppo quando un’altra impresa detiene almeno il 25 % della Sua azienda, ad esempio una capogruppo, oppure la Sua azienda detiene almeno il 25 % di un’altra. Se la Sua IT è indipendente dal gruppo, contano solo i Suoi dati (§ 28, comma 4, BSIG).

Come contano le partecipazioni e l’IT condiviso
  • Oltre il 50 % o influenza dominante (impresa collegata): i dati contano per intero. Ciò vale per la capogruppo, le Sue controllate e le società sorelle sotto la stessa capogruppo.
  • Dal 25 al 50 % (impresa associata): i dati contano in proporzione, nella misura della partecipazione.
  • Sotto il 25 %: non conta, la Sua azienda è considerata autonoma. Le partecipazioni di investitori di capitale di rischio, business angel o università fino al 50 % in certi casi non contano neppure.
  • IT indipendente significa separata dal punto di vista giuridico, economico e di fatto: sistemi e reti propri, gestione IT propria o un proprio fornitore di servizi, decisioni proprie sulla sicurezza.
  • IT condivisa sono ad esempio un data center di gruppo, una rete comune o un accesso comune (Active Directory) oppure un reparto IT centrale della capogruppo.

Esempio: la capogruppo detiene il 100 % della Sua GmbH, ma la Sua IT funziona in modo completamente separato. In tal caso contano solo i Suoi dati. Deve poter dimostrare l’indipendenza. In caso di dubbio selezioni “IT condivisa”.

Compilare solo se ha selezionato “Parte di un gruppo, IT condiviso”. In tal caso contano i dati del gruppo: tutte le imprese collegate insieme, compresa la Sua, in proporzione per le partecipazioni tra il 25 e il 50 %. In caso di dubbio chieda alla contabilità di gruppo.

Dipendenti del gruppo
Fatturato annuo del gruppo
Totale di bilancio del gruppo

Attività particolari

8. Gestisce un impianto critico (KRITIS)?

Gli impianti critici servono di regola almeno 500.000 persone, ad esempio grandi centrali elettriche, impianti idrici od ospedali a partire da un determinato numero di casi. Le soglie sono indicate nel regolamento BSI-Kritisverordnung. I gestori di solito lo sanno perché sono registrati presso il BSI.

9. Casi particolari (facoltativo, scelta multipla)

Queste attività rientrano nella NIS2 indipendentemente dalle dimensioni: firme, sigilli o marche temporali elettronici (servizi fiduciari), servizi DNS o un dominio di primo livello, reti o servizi di telecomunicazione pubblici. Per banche, assicurazioni e altre imprese finanziarie si applica in via prioritaria DORA.

Prodotti e macchine

10. Prodotti con elementi digitali

Si intendono hardware e software collegabili a un dispositivo o a una rete, ad esempio controllori, dispositivi connessi, app o firmware. Chi vende un prodotto con il proprio nome è considerato fabbricante, anche se lo ha costruito un altro.

11. Macchine

Una macchina è modificata sostanzialmente quando, a seguito di una trasformazione, sorgono nuovi pericoli non previsti dal fabbricante. Chi lo fa è considerato a sua volta fabbricante. Ciò vale anche per le macchine che costruisce per la propria attività.

Evidenze volontarie

12. Requisiti dei clienti (facoltativo, scelta multipla)

Selezioni ciò che i clienti richiedono a Lei in contratti, richieste o audit sui fornitori. Il TISAX è richiesto soprattutto dall’industria automobilistica. Anche se NIS2 o CRA non si applicano direttamente a Lei, i clienti interessati trasferiscono spesso contrattualmente i propri obblighi a fornitori e prestatori di servizi.

13. Intelligenza artificiale

Già l’uso di strumenti di IA come ChatGPT o Copilot in azienda comporta obblighi, ad esempio sull’alfabetizzazione in materia di IA del personale. Chi sviluppa sistemi di IA o li distribuisce con il proprio nome ha obblighi nettamente maggiori.

Che cosa significano i framework?

NIS2 (recepita nella legge sul BSI) obbliga i gestori di determinati settori, a partire da una dimensione minima, a gestione dei rischi, registrazione e notifiche. Altro sulla NIS2

KRITIS (legge quadro KRITIS) riguarda i gestori di impianti critici indipendentemente dalle dimensioni e richiede misure di resilienza. Altro sulla legge quadro KRITIS

Cyber Resilience Act richiede a fabbricanti, importatori e distributori di prodotti con elementi digitali la cibersicurezza lungo l’intero ciclo di vita, in tutta l’UE. Altro sul CRA

Regolamento macchine integra la marcatura CE delle macchine con requisiti di cibersicurezza per i controllori, in tutta l’UE. Altro sul Regolamento macchine

ISO 27001, IEC 62443 e TISAX non sono obblighi di legge, ma sono spesso evidenze richieste da clienti o contratti. Altro su ISO 27001 · Altro su IEC 62443

Prima valutazione non vincolante, nessuna consulenza legale. Il risultato si basa esclusivamente sui Suoi dati e su regole standardizzate; non sostituisce né la verifica propria né l’autoidentificazione nei confronti delle autorità. File delle regole 2026.10.3, Al 2026-10-10.
Protezione dei dati: il GDPR riguarda quasi ogni impresa che tratta dati personali. Non fa parte di questa verifica. Con il modulo GDPR attua la protezione dei dati in Complass in modo dimostrabile. Altro sul GDPR

Domande frequenti sulla verifica di applicabilità

Il risultato è giuridicamente vincolante?

No. È una prima valutazione non vincolante basata sui Suoi dati e su regole standardizzate, non una consulenza legale.

I miei dati vengono memorizzati?

No. La valutazione avviene solo nella memoria di lavoro e non viene salvata né registrata da nessuna parte, a meno che non invii espressamente il risultato con una richiesta di demo.

Da dove provengono le soglie?

Dal § 28 BSIG, dal regolamento BSI-Kritisverordnung, dal Cyber Resilience Act e dal Regolamento macchine; i riferimenti sono indicati per ogni risultato.

Che cosa significa “Verifica aperta”?

Con i Suoi dati la questione non può ancora essere risolta in modo definitivo; un dato mancante non porta mai automaticamente a “non interessato”.

La mia azienda non ha sede in Germania. La verifica vale comunque?

Il Cyber Resilience Act e il Regolamento macchine, in quanto regolamenti UE, si applicano direttamente in tutti gli Stati membri (Regolamento macchine dal 20.01.2027). Per la NIS2 ogni Stato membro recepisce la direttiva a livello nazionale; questa verifica valuta solo il recepimento tedesco (BSIG) e mostra al riguardo “Verifica aperta”.

E il GDPR?

Il GDPR riguarda quasi ogni impresa che tratta dati personali. Non fa parte di questa verifica. Con il modulo GDPR attua la protezione dei dati in Complass in modo dimostrabile.

Il Regolamento sull’IA si applica a noi?

Chi utilizza l’IA in azienda deve adottare misure per promuovere l’alfabetizzazione in materia di IA del personale (art. 4 Regolamento IA, nella versione dal 27.07.2026). Non sono prescritti un livello determinato né un certificato, ma le misure dovrebbero poter essere documentate. Ulteriori obblighi dipendono dalla finalità d’uso e si applicano in modo graduale; verifichi lo stato attuale.

Posso salvare o stampare il risultato?

Sì, tramite la funzione di stampa del Suo browser; non esiste un’esportazione PDF lato server.

Che cosa faccio con il risultato?

Per ogni framework trova i primi passi e, in fondo, una proposta di pacchetto adatta; una demo Le mostra Complass sul Suo esempio.

Provate Complass con i vostri dati

Create voi stessi il vostro accesso di prova, se volete con un progetto di esempio per ogni quadro normativo. Se preferite vedere prima Complass, richiedete una demo.

Provare gratis Richiedere una demo