Direttiva (UE) 2022/2555 · Capo I
Articolo 3
Soggetti essenziali e importanti
Sintesi Articolo 3
Qui si distingue tra soggetti essenziali e soggetti importanti. Sono essenziali, in sintesi, i soggetti dei settori ad alta criticità dell'allegato I che superano i massimali delle medie imprese, insieme a categorie qualificate a prescindere dalla dimensione (prestatori di servizi fiduciari qualificati, registri dei TLD, fornitori di reti pubbliche, alcune amministrazioni centrali, soggetti critici ai sensi della direttiva CER).
Tutti gli altri soggetti che rientrano nell'ambito e non sono qualificati come essenziali sono importanti: è una categoria residuale, non una categoria minore. La differenza non incide sugli obblighi sostanziali di sicurezza, ma sul regime di vigilanza, che per gli essenziali è ex ante e sistematico, mentre per gli importanti è ex post.
Gli Stati membri devono redigere e aggiornare l'elenco dei soggetti, con un primo termine fissato al 17 aprile 2025 e riesami almeno biennali, e comunicarne i dati aggregati alla Commissione e al gruppo di cooperazione. La corretta autoqualificazione è quindi il primo adempimento pratico: da essa discendono tempi, controlli e massimali sanzionatori.
Sintesi editoriale a finalità informativa: non sostituisce il testo ufficiale.
Testo ufficiale
Fonte: EUR-Lex.
1. Ai fini della presente direttiva, sono considerati soggetti essenziali i seguenti:
a) soggetti di cui all'allegato I che superano i massimali per le medie imprese di cui all'articolo 2, paragrafo 1, dell'allegato della raccomandazione 2003/361/CE;
b) prestatori di servizi fiduciari qualificati e registri dei nomi di dominio di primo livello, nonché prestatori di servizi DNS, indipendentemente dalle loro dimensioni;
c) fornitori di reti pubbliche di comunicazione elettronica o di servizi di comunicazione elettronica accessibili al pubblico che si considerano medie imprese ai sensi dell'articolo 2, dell'allegato alla raccomandazione 2003/361/CE;
d) i soggetti della pubblica amministrazione di cui all'articolo 2, paragrafo 2, lettera f), punto i);
e) qualsiasi altro soggetto di cui all'allegato I o II che uno Stato membro identifica come soggetti essenziali ai sensi dell'articolo 2, paragrafo 2, lettere da b) a e);
f) soggetti identificati come soggetti critici ai sensi della direttiva (UE) 2022/2557, di cui all'articolo 2, paragrafo 3 della presente direttiva;
g) se lo Stato membro lo prevede, i soggetti che tale Stato membro ha identificato prima del 16 gennaio 2023 come operatori di servizi essenziali a norma della direttiva (UE) 2016/1148 o del diritto nazionale.
2. Ai fini della presente direttiva, sono considerati soggetti importanti i soggetti di una tipologia elencata negli allegati I o II che non sono considerati soggetti essenziali ai sensi del paragrafo 1 del presente articolo. Ciò comprende soggetti identificati dagli Stati membri come soggetti importanti ai sensi dell'articolo 2, paragrafo 2, lettere da b) a e);
3. Entro il 17 aprile 2025, gli Stati membri definiscono un elenco dei soggetti essenziali ed importanti nonché dei soggetti che forniscono servizi di registrazione dei nomi di dominio. Successivamente, gli Stati membri riesaminano l'elenco periodicamente, almeno ogni due anni e, se opportuno, lo aggiornano.
4. Ai fini della compilazione dell'elenco di cui al paragrafo 3, gli Stati membri impongono alle entità di cui a tale paragrafo di presentare alle autorità competenti almeno le informazioni seguenti:
a) il proprio nome;
b) l'indirizzo e i recapiti aggiornati, compresi gli indirizzi e-mail, le serie di IP e i numeri di telefono;
c) se del caso, i settori e sottosettori pertinenti di cui all'allegato I o II; e
d) se del caso, un elenco degli Stati membri in cui forniscono servizi che rientrano nell'ambito di applicazione della presente direttiva.
I soggetti di cui al paragrafo 3 notificano tempestivamente qualsiasi modifica delle informazioni trasmesse a norma del primo comma del presente paragrafo e in ogni caso entro due settimane dalla data della modifica.
La Commissione, assistita dall'Agenzia dell'Unione europea per la cibersicurezza (ENISA), fornisce senza indebito ritardo orientamenti e modelli relativi agli obblighi di cui al presente paragrafo.
Gli Stati membri possono istituire meccanismi nazionali che consentano alle entità di registrarsi.
5. Entro il 17 aprile 2025 e successivamente ogni due anni, le autorità competenti notificano:
a) alla Commissione e al gruppo di coordinamento, il numero dei soggetti essenziali e importanti elencati ai sensi del paragrafo 3 per ciascun settore e sottosettore di cui all'allegato I o II; e b) alla Commissione informazioni pertinenti sul numero di soggetti essenziali e importanti individuati ai sensi dell'articolo 2, paragrafo 2, lettere da b) a e), sul settore e il sottosettore di cui all'allegato I o II cui appartengono, sul tipo di servizio che forniscono e sulla fornitura, tra quelli stabiliti all'articolo 2, paragrafo 2, lettere da b) a e), ai sensi dei quali sono stati individuati.
6. Sino al 17 aprile 2025 e su richiesta della Commissione, gli Stati membri possono notificare alla Commissione i nomi dei soggetti essenziali e importanti di cui al paragrafo 5, lettera b).