La legge di recepimento NIS2 (NIS2UmsuCG) è in vigore dal 06.12.2025 — senza periodo transitorio. Circa 29.500 imprese ricadono come «strutture particolarmente importanti» o «importanti» sotto il BSIG riformulato, e il § 30 par. 2 BSIG richiede loro espressamente concetti per la sicurezza del personale, il controllo degli accessi e la sicurezza della catena di fornitura. Il § 38 BSIG rende la direzione personalmente responsabile dell’attuazione. Chi finora ha inteso «sicurezza del personale» come una policy sulle password, non ha adempiuto l’obbligo — richiesto è un concetto che verifica le persone, non solo gli account.
Chi è rilevato — e quale termine è già decorso
L’ambito di applicazione risulta dal § 28 BSIG: sono rilevate le strutture particolarmente importanti e importanti di un’ampia gamma di settori — nettamente più imprese rispetto al vecchio regime KRITIS. Molte aziende di medie dimensioni sono interessate senza saperlo. L’obbligo di registrazione ai sensi del § 33 BSIG doveva essere adempiuto entro il 06.03.2026; chi non ha ancora verificato la propria rilevanza dovrebbe recuperarlo ora e documentarlo. Per gli operatori di impianti critici si aggiunge parallelamente la legge quadro KRITIS con termini propri — cfr. Legge quadro KRITIS 2026: obblighi e termini.
Cosa richiede concretamente il § 30 BSIG
Il § 30 par. 2 BSIG traduce l’art. 21 par. 2 lett. i della direttiva NIS2 (UE) 2022/2555 nel diritto tedesco e nomina le categorie di misure che ogni struttura deve coprire — tra cui espressamente:
- Sicurezza del personale: concetti che affrontano il rischio derivante dal fattore umano — dall’assunzione attraverso i cambi di ruolo fino all’uscita.
- Controllo degli accessi: chi riceve quali autorizzazioni, chi decide in merito, come vengono revocate?
- Sicurezza della catena di fornitura: l’inclusione di fornitori di servizi e subfornitori nel proprio concetto di sicurezza.
Colpisce la sequenza: il legislatore colloca la dimensione del personale accanto a quella tecnica. Una struttura che può esibire firewall e patch management, ma non sa spiegare come garantisce l’integrità delle persone con accessi privilegiati, semplicemente non ha lavorato una categoria di obblighi.
Dall’obbligo astratto al concetto di screening
«Concetti per la sicurezza del personale» resta astratto nella legge — sul piano operativo si dimostra valida una struttura lungo tre occasioni:
- Assunzione: verifica basata sul rischio prima dell’inizio dell’attività, scaglionata secondo la criticità del ruolo (amministratori, personale di centrali operative, funzioni chiave con maggiore intensità rispetto a ruoli senza accesso privilegiato).
- Cambio di ruolo: chi passa internamente a una funzione critica non è mai stato verificato per quella funzione — il passaggio è una propria occasione di verifica.
- Fornitori di servizi: gli esterni con accesso ai sistemi non passano dall’onboarding HR e altrimenti sfuggono a ogni maglia; l’obbligo di catena di fornitura del § 30 BSIG li include espressamente nel concetto.
Un modello metodologico è offerto dalla prassi di attuazione nel settore KRITIS — la guida all’attuazione dei background check è trasferibile alle strutture NIS2. Importante per i ruoli con verifica amministrativa: la verifica di sicurezza statale non adempie l’obbligo dell’operatore — per la delimitazione cfr. Verifica di sicurezza statale vs. screening proprio.
La dimensione della responsabilità: § 38 BSIG
Il § 38 BSIG obbliga la direzione ad approvare le misure di gestione dei rischi ai sensi del § 30 BSIG e a sorvegliarne l’attuazione — un obbligo personale del livello direttivo che non può essere integralmente delegato. Per amministratori delegati e consigli di amministrazione ciò significa: la domanda «come garantiamo la sicurezza del personale?» deve trovare risposta a livello direttivo e la risposta deve essere documentata. Una lacuna in una categoria di misure nominata per legge è difficile da spiegare in caso di necessità — soprattutto quando l’incidente è venuto dall’interno e una verifica non è mai avvenuta.
Raccomandazione operativa
Procedete in tre passaggi: primo, chiarite e documentate rilevanza e stato di registrazione ai sensi dei §§ 28, 33 BSIG. Secondo, rispecchiate i concetti di sicurezza esistenti rispetto alle categorie di misure del § 30 par. 2 BSIG — con una risposta onesta alla domanda se «sicurezza del personale» per voi sia più di una policy nell’intranet. Terzo, impostate un concetto di screening scaglionato per assunzione, cambio di ruolo e fornitori di servizi e presentatelo alla direzione per l’approvazione. Indicium supporta con report software verificabili con fonti datate e controllo finale umano (art. 22 GDPR) — a partire da €79 a report; esempi specifici per settore si trovano in Settori.
Questo articolo non costituisce una consulenza giuridica.