nis2-agile/docs/DESIGN_A2_ONBOARDING.md

# DESIGN — A2: Onboarding aziendale con classificazione NIS2 (autovalutazione preliminare)

> Stato: **DESIGN (pre-implementazione)**. Contesto: segnalazione Simon Fattori, punto accolto A2.
> Data: 2026-06-15. Fonti verificate: `docs/nis2/AmbitiNIS2_ITA.pdf` (matrice ACN settore×dimensione), `Determina333017_sett2025` (commi art.3, soglie, DPR 445, finestra registrazione), `Dir2022_2555_UE_NIS2_ITA` (Racc. 2003/361/CE, soggetti size-independent, esclusione PA). Vedi memoria `reference-dlgs-articles`.

## 0. Principio cardine (vincolante)
L'esito dell'onboarding è una **AUTOVALUTAZIONE PRELIMINARE NON VINCOLANTE**. La **qualifica formale** di soggetto essenziale/importante e la **registrazione** spettano esclusivamente ad **ACN** via piattaforma (Det. 333017/2025: dichiarazione ex **DPR 445/2000** confermata dal punto di contatto; finestra registrazione **1 gennaio – 28 febbraio**; verifiche di coerenza ACN ex art. 14). → Mai etichettare l'esito come "classificazione" o "qualifica"; sempre "**autovalutazione preliminare**" + disclaimer + rinvio alla piattaforma ACN. La classificazione formale e i pareri legali competono a Direzione/Legale del cliente.

## 1. Stato attuale (da ESTENDERE, non riscrivere)
- **Wizard 4 step** (`onboarding.html` = `onboarding-bi.html`): 1) P.IVA → 2) Dati aziendali → 3) Profilo → 4) Classificazione + voluntary.
- **Backend**: `OnboardingController.complete()` → `classifyNis2Entity(sector, employees, turnover)`; `OrganizationController.classifyEntity()` (POST `/api/organizations/classify`).
- **Tabella `organizations`**: `sector` ENUM(17), `entity_type` ENUM('essential','important','not_applicable'), `employee_count`, `annual_turnover_eur`, `voluntary_compliance` TINYINT.
- **Logica attuale**: grande (≥250 dip OR ≥50M€) / media (≥50 dip OR ≥10M€) × settore (lista essenziali/importanti). `VisuraService` mappa ATECO→sector.
- **GAP da colmare**: manca il criterio **bilancio €43M**, le **categorie size-independent**, il **calcolo gruppo/collegate**, i **criteri qualitativi sotto-soglia**, i campi **mission/codice etico**, e il framing **"preliminare/non vincolante"**.

## 2. Matrice di classificazione (VERIFICATA)
**Soglie dimensionali (Racc. 2003/361/CE):** Micro <10 dip & ≤2M€ · Piccola <50 & ≤10M€ · Media <250 & ≤50M€ fatt / ≤43M€ bilancio · **Grande** ≥250 dip **OR** >50M€ fatt **OR** >43M€ bilancio. (NB: il **bilancio** è un terzo criterio oggi assente nel prodotto.)

| Dimensione | Allegato I (alta criticità) | Allegato II (altri settori critici) |
|---|---|---|
| **Grande** | **ESSENZIALE** | IMPORTANTE |
| **Media** | IMPORTANTE | IMPORTANTE |
| **Piccola / micro** | fuori soglia¹ | fuori soglia¹ |

¹ salvo categorie size-independent (§3) e individuazione sotto-soglia (§4).
**Gruppo/collegate**: per imprese non autonome il calcolo è **consolidato** (Racc. 2003/361/CE art. 6 §2; Det. 333017 art. 11 c. 4). L'onboarding deve chiedere l'autonomia e, se gruppo, segnalare che il calcolo va consolidato (no auto-classificazione cieca sulla singola entità).

## 3. Soggetti in ambito A PRESCINDERE DALLA DIMENSIONE (§ size-independent)
Da AmbitiNIS2 + Direttiva Art. 2: **essenziali** indipendentemente dalla taglia → fornitori **DNS** (no root server), registri **TLD**, **IXP**, **servizi fiduciari qualificati**, **reti pubbliche di comunicazione elettronica** e **servizi di comunicazione elettronica accessibili al pubblico**. **Importanti** → servizi fiduciari **non** qualificati, **registrar** di nomi di dominio. **PA** (Allegato III): centrali = essenziali, regionali/locali = importanti — **con esclusione** sicurezza nazionale/difesa/intelligence/ordine pubblico. → L'onboarding deve poter marcare queste categorie e classificarle a prescindere dalle soglie.

## 4. Criteri qualitativi sotto-soglia — ✅ COMMA CONFERMATO
Riferimento **verificato sul testo verbatim** (`docs/nis2/Dlgs138_art3_ambito.md`): **art. 3, comma 9, lett. b/c/d** del D.Lgs. 138/2024:
1. **lett. b** — il soggetto è l'**unico fornitore nazionale** di un servizio essenziale per attività sociali/economiche fondamentali;
2. **lett. c** — una perturbazione del servizio avrebbe **impatto significativo su sicurezza pubblica, incolumità pubblica o salute pubblica**;
3. **lett. d** — una perturbazione comporterebbe un **rischio sistemico significativo** (anche transfrontaliero).

(lett. a = ex operatore servizi essenziali D.Lgs. 65/2018.) La **procedura di individuazione** è il **comma 13** (ACN su proposta delle Autorità di settore), richiamato dal comma 9. → In UI/AI citare "**art. 3, c. 9, lett. b/c/d**" per i criteri e "**individuazione ex art. 3, c. 13**" per la procedura.

**Esito quando scattano**: **NON auto-assegnare** essenziale/importante (Allegato IV ACN: i sotto-soglia sono individuati caso per caso dall'Autorità). Il prodotto segnala "**potenziale soggetto individuabile ex art. 3 c. 9/c. 13 — rinvio ad ACN**".

**Esito quando scattano**: **NON auto-assegnare** essenziale/importante (Allegato IV ACN: i sotto-soglia possono essere individuati importanti *o* essenziali, caso per caso, dall'Autorità). Il prodotto segnala solo "**potenziale soggetto individuabile — rinvio ad ACN**".

## 5. Data model (nuova migration `040_onboarding_classification.sql`, additiva)
`ALTER TABLE organizations ADD`:
- `total_balance_eur` DECIMAL(15,2) NULL — bilancio (3° criterio dimensionale)
- `is_autonomous` TINYINT(1) DEFAULT 1 — impresa autonoma? (no → calcolo consolidato/gruppo da rivedere)
- `size_independent_category` ENUM('none','dns','tld','ixp','trust_qualified','trust_unqualified','ecomm_public_network','ecomm_public_service','domain_registrar','pa_central','pa_regional_local') DEFAULT 'none'
- `crit_sole_supplier` TINYINT(1) NULL · `crit_public_impact` TINYINT(1) NULL · `crit_systemic_risk` TINYINT(1) NULL — risposte ai 3 criteri qualitativi
- `mission` TEXT NULL — contesto organizzativo (input GV.OC / registro sistemi rilevanti)
- `has_code_of_ethics` TINYINT(1) DEFAULT 0 + `code_of_ethics_note` VARCHAR(255) NULL — **facoltativo, best practice** (NON obbligo NIS2)
- `designation_basis` ENUM('dimensional','size_independent','sub_threshold_candidate','voluntary','out_of_scope') NULL
- `self_assessment_status` ENUM('preliminary','acn_confirmed') DEFAULT 'preliminary'

`entity_type` ENUM resta **invariato** ('essential','important','not_applicable') per compatibilità; il dettaglio "candidato sotto-soglia" è in `designation_basis`.

## 6. Logica di classificazione v2 (decision tree — `classifyNis2Entity()`)
```
1. SE size_independent_category != none:
     -> essential/important secondo categoria (trust_qualified=essential, trust_unqualified=important,
        dns/tld/ixp/ecomm_public_*=essential, domain_registrar=important, pa_central=essential,
        pa_regional_local=important);  designation_basis = size_independent
2. ALTRIMENTI calcola classe dimensionale da dip / fatturato / BILANCIO (+ se !is_autonomous: WARNING gruppo)
3.   settore Allegato I:  grande->essential ; media->important
     settore Allegato II: media|grande->important
4.   ALTRIMENTI (piccola/micro o settore fuori): out_of_scope -> mostra i 3 criteri qualitativi (§4).
        SE almeno 1 = sì -> designation_basis = sub_threshold_candidate, entity_type = not_applicable
        (NON essential/important), messaggio "possibile individuazione ACN".
5. voluntary_compliance resta disponibile per out_of_scope che aderiscono volontariamente.
TUTTI gli esiti: self_assessment_status = preliminary + disclaimer (§0).
```

## 7. UI flow (estensione del wizard esistente)
- **Step 2 (Dati aziendali)** +: `total_balance_eur`; domanda **autonomia/gruppo**; sezione **"Categorie speciali NIS2"** (checkbox: fornitore DNS/TLD/IXP, servizi fiduciari [qualif/non], rete o servizio TLC pubblico, registrar domini, PA centrale/locale); **mission** (textarea, label "contesto organizzativo — alimenta il registro dei sistemi rilevanti, misura GV.OC"); **codice etico** (toggle opzionale, badge "facoltativo — buona prassi, non richiesto dalla NIS2").
- **Step 4 (Esito)**: **griglia settore×dimensione** con la cella risultante evidenziata; badge **"Autovalutazione preliminare — non vincolante"**; SE sotto-soglia → blocco con le **3 domande qualitative** (principi, "individuazione dell'Autorità") → esito "potenziale individuazione, rinvio ACN"; **disclaimer ACN** (Det. 333017, DPR 445/2000, finestra 1/1–28/2, verifiche art. 14) + link/CTA "registrazione sulla piattaforma ACN".

## 8. PREREQUISITI prima dell'implementazione (gating)
1. ✅ **Comma confermato** sul testo verbatim (criteri = art. 3 **c. 9 lett. b/c/d**; procedura individuazione = **c. 13**; size-independent = **c. 5**; dimensionale = **c. 2**) → estratto in `docs/nis2/Dlgs138_art3_ambito.md`. **Prereq risolto: A2 non è più bloccato.**
2. (Facoltativo — grounding KB completo) ingestare il **PDF integrale** del D.Lgs. 138/2024: NON auto-fetchabile da GU/Normattiva (solo metadati/indice), serve il PDF fornito manualmente → `docs/nis2/` + KB. Non blocca A2.
3. Decidere il trattamento **gruppo/collegate** (almeno warning + flag `is_autonomous`).

## 9. Cosa NON cambia (compatibilità)
`entity_type` ENUM (3 valori) invariato · `voluntary_compliance` invariato · init dei 13 compliance controls invariato · flusso visura/CertiSource/lookup-piva invariato · `classify` endpoint retro-compatibile (campi nuovi opzionali).