NIS2 Art. 26: Giurisdizione e territorialità (guida per management)
In breve
L’Art. 26 stabilisce quale Stato membro è competente per vigilanza e enforcement NIS2: in generale conta dove l’entità è “stabilita”, ma esistono eccezioni per specifiche tipologie di soggetti e servizi.
Impatto pratico: la giurisdizione influenza a chi ci si registra, a chi si notifica e con chi si gestiscono ispezioni e richieste.
Regola generale e eccezioni
| Caso | Regola pratica per la giurisdizione | Decisione di governance |
|---|---|---|
| Regola generale | Competenza dello Stato membro in cui l’entità è stabilita. | Identificare l’entità legale in ambito NIS2 e il Paese di stabilimento. |
| Operatori telecom | Competenza dello Stato membro in cui i servizi sono forniti. | Valutare giurisdizioni multiple se i servizi sono erogati in più Paesi. |
| Alcuni servizi digitali/ICT (es. cloud, data center, CDN, managed service/MSSP, marketplace, search engine, social) |
Competenza dello Stato membro del “main establishment” nell’UE (logica one-stop per queste categorie). | Determinare formalmente il main establishment e mantenere evidenze. |
| Pubblica amministrazione | Competenza dello Stato membro che ha istituito l’ente. | Allineare governance e responsabilità con l’ente istitutivo. |
Errore comune: scegliere “il Paese più comodo” senza un razionale documentato; in audit o incidente, questa scelta viene verificata con attenzione.
Come determinare il “main establishment”
Per le categorie “digital/ICT” indicate dall’Art. 26, il main establishment (nell’UE) è collegato soprattutto a dove vengono prese prevalentemente le decisioni sulle misure di gestione del rischio cyber; se ciò non è determinabile o non avviene nell’UE, si guarda a dove si svolgono le operazioni cyber, e in ultima istanza a dove si trova l’insediamento con più dipendenti nell’UE.
Evidenze consigliate (minime)
- Delibera interna che identifica il main establishment e l’owner (CISO/CRO/Legal).
- Organigramma e RACI che mostrano dove risiede la governance cyber e chi decide su controlli/mitigazioni.
- Indirizzi e contratti che provano “stabile organizzazione” e struttura operativa nell’UE.
Caso non-UE: rappresentante in UE
Se un soggetto delle categorie “digital/ICT” del paragrafo 1(b) non è stabilito nell’UE ma offre servizi nell’UE, deve designare un rappresentante nell’Unione, situato in uno degli Stati membri in cui offre i servizi; la giurisdizione ricade nello Stato membro del rappresentante.
La designazione del rappresentante non impedisce azioni legali verso l’entità stessa, e in assenza di rappresentante uno Stato membro in cui il servizio è offerto può intraprendere azioni per l’infrazione della direttiva.
- Mandato scritto al rappresentante con poteri e responsabilità (inclusa gestione contatti e reporting).
- Playbook “autorità/CSIRT”: chi risponde, in quanto tempo, con quali dati e approvazioni.
Checklist governance (CEO / IT / Compliance)
CEO / Direzione
- Nominare un owner (es. CISO + Legal) per decisione e mantenimento della giurisdizione NIS2.
- Approvare la scelta del main establishment (quando applicabile) e la strategia su eventuali Paesi multipli.
- Richiedere KPI: % entità “classificate”, % contratti con clausole di cooperazione con autorità, tempi medi di risposta.
IT / Security
- Mantenere l’elenco dei servizi e dei Paesi di erogazione (utile per verificare competenze e possibili giurisdizioni).
- Preparare i contatti operativi e un canale unico per richieste autorità/CSIRT (con escalation interna).
- Allineare logging, incident handling e reporting a processi “multi-country” quando necessari.
Compliance / Legal
- Documentare i criteri di “stabilimento” e “main establishment” e mantenerli aggiornati a fronte di riorganizzazioni.
- Se non-UE: predisporre mandato del rappresentante e verificare coerenza (Paese rappresentante = Paese giurisdizione).
- Gestire richieste di mutua assistenza tra autorità (quando applicabile) con tracciamento e controllo scadenze.
FAQ
Se l’azienda opera in più Stati membri, si può avere più di una giurisdizione?
Sì, può accadere in base al tipo di entità e alla regola applicabile; per alcune categorie digital/ICT la logica è accentrata sul main establishment, mentre in altri casi la competenza può essere collegata al Paese in cui il servizio è fornito.
Cosa conviene avere pronto prima di un incidente?
Un “Jurisdiction Pack”: decisione formalizzata (stabilimento/main establishment), contatti autorità/CSIRT e un playbook per gestire richieste e notifiche senza ritardi.
