Stato del recepimento della NIS2 per Paese: a che punto è ogni Stato membro dell'UE nel 2025
La scadenza della Direttiva NIS2 era il 17 ottobre 2024. Eppure, a giugno 2025, solo una manciata dei 27 Stati membri l'ha recepita pienamente nel diritto nazionale. Se la tua organizzazione opera in più giurisdizioni dell'UE, il panorama della compliance è frammentato, confuso e in rapida evoluzione. Questa pagina monitora tutto, aggiornata mensilmente.
27
Stati membri dell'UE monitorati
160.000+
entità interessate in tutta l'UE
Stima della Commissione europea, 2023
24h
finestra di segnalazione degli incidenti
Direttiva NIS2, articolo 23
Nessuna registrazione richiesta. Aggiungi questa pagina ai preferiti: la aggiorniamo mensilmente.
Tracker del recepimento della NIS2: tutti i 27 Stati membri dell'UE
Ogni scheda qui sotto riflette lo stato attuale di attuazione della NIS2, la legge nazionale di attuazione, l'autorità competente e le eventuali deviazioni significative rispetto ai requisiti minimi della direttiva. Monitorare lo stato del recepimento della NIS2 per Paese è essenziale per le organizzazioni che operano in più giurisdizioni dell'UE: ciò che vale in Belgio può differire in modo significativo da quanto richiesto in Germania. Aggiornato mensilmente dal team di intelligence normativa di Priverion.
Austria
NISG 2024, promulgata a dicembre 2024
L'Austria ha promulgato la sua versione aggiornata della legge sulla sicurezza delle reti e dei sistemi informativi (NISG 2024) alla fine del 2024. La legge amplia in modo significativo l'ambito delle entità regolamentate e designa le autorità settoriali esistenti accanto al CERT nazionale. L'approccio austriaco aggiunge requisiti più stringenti per gli operatori di infrastrutture critiche nei settori dell'energia e dei trasporti, oltre alla base prevista dalla direttiva.
Deviazione principale: requisiti più stringenti per le infrastrutture critiche di energia e trasporti
Fonte: Gazzetta ufficiale federale austriaca, dicembre 2024. Ultimo aggiornamento: giugno 2025
Belgio
Loi NIS2, promulgata ad aprile 2024
Tra i primi Stati membri dell'UE a completare il recepimento. La legge belga rispecchia da vicino la direttiva, ma amplia la definizione di entità essenziali per includere alcuni enti governativi regionali. Il Centre for Cybersecurity Belgium (CCB) funge da autorità nazionale competente con poteri di applicazione.
Deviazione principale: ambito ampliato per includere gli enti governativi regionali
Fonte: Gazzetta ufficiale belga, aprile 2024. Ultimo aggiornamento: giugno 2025
Bulgaria
Nessuna bozza pubblicata, nessuna tempistica stimata
La Bulgaria non ha pubblicato alcuna proposta di legge di recepimento. Si prevede che la State Agency for Electronic Government avrà un ruolo nell'attuazione, ma non è stato avviato alcun processo legislativo formale. La Commissione europea ha avviato una procedura di infrazione. Le organizzazioni che operano in Bulgaria dovrebbero allinearsi ai requisiti di base della direttiva monitorando gli sviluppi.
Deviazione principale: sconosciuta, nessuna bozza disponibile
Fonte: tracker delle procedure di infrazione della Commissione europea. Ultimo aggiornamento: giugno 2025
Croazia
Zakon o kibernetičkoj sigurnosti, promulgata a ottobre 2024
La Croazia ha rispettato la scadenza del 17 ottobre 2024 con la sua legge sulla cybersecurity. La legge si allinea strettamente ai requisiti della NIS2 e designa il Consiglio nazionale per la cybersecurity come organo di coordinamento. La segnalazione degli incidenti segue il quadro della direttiva di preallarme entro 24 ore e notifica entro 72 ore, senza deviazioni significative.
Deviazione principale: minima, segue da vicino la base della direttiva
Fonte: Gazzetta ufficiale croata, ottobre 2024. Ultimo aggiornamento: giugno 2025
Cipro
Bozza di legge sulla cybersecurity, in esame ministeriale
Cipro ha pubblicato una bozza di legge sulla cybersecurity attualmente in esame ministeriale. Si prevede che la Digital Security Authority (DSA) funga da autorità nazionale competente. La bozza segue da vicino la struttura della direttiva, ma è ancora soggetta a modifiche prima della presentazione in parlamento. La tempistica di promulgazione resta incerta.
Deviazione principale: ancora in esame, possibili modifiche in sospeso
Fonte: documenti di consultazione del governo di Cipro, 2024. Ultimo aggiornamento: giugno 2025
Repubblica Ceca
Zákon o kybernetické bezpečnosti (modificata), promulgata a ottobre 2024
La Repubblica Ceca ha modificato la sua legge sulla cybersecurity esistente per incorporare i requisiti della NIS2, rispettando la scadenza di ottobre. La NUKIB (Agenzia nazionale per la sicurezza informatica e dell'informazione) mantiene il proprio ruolo di autorità centrale con poteri ampliati. L'approccio ceco aggiunge audit obbligatori sulla cybersecurity per le entità essenziali ogni due anni: un requisito che va oltre la direttiva.
Deviazione principale: audit biennali obbligatori sulla cybersecurity per le entità essenziali
Fonte: Raccolta delle leggi ceca, ottobre 2024. Ultimo aggiornamento: giugno 2025
Danimarca
Più leggi settoriali, attuazione graduale in corso
La Danimarca ha adottato un approccio settore per settore al recepimento della NIS2, con strumenti legislativi separati per i diversi settori. Il Centre for Cyber Security (CFCS) coordina i vari settori. Mentre alcune leggi settoriali sono state promulgate, altre restano in iter parlamentare. Questo approccio decentralizzato significa che i requisiti di compliance possono variare per settore e per tempistica.
Deviazione principale: recepimento settore per settore anziché un'unica legge unificata
Fonte: pubblicazioni del Ministero della Difesa danese, 2024. Ultimo aggiornamento: giugno 2025
Estonia
Küberturvalisuse seaduse muutmine, bozza pubblicata, esame parlamentare
L'Estonia, nonostante la sua reputazione di leader digitale, ha mancato la scadenza di ottobre 2024 ma ha pubblicato modifiche complete alla sua legge sulla cybersecurity. La Information System Authority (RIA) continuerà a essere l'autorità principale. La bozza estone include disposizioni per i servizi digitali governativi che estendono l'ambito oltre la base della direttiva.
Deviazione principale: ambito esteso che copre i servizi digitali governativi
Fonte: Ministero estone degli Affari economici, 2024. Ultimo aggiornamento: giugno 2025
Finlandia
Kyberturvallisuuslaki, promulgata a gennaio 2025
La Finlandia ha promulgato la sua legge sulla cybersecurity all'inizio del 2025, leggermente oltre la scadenza. La legge segue da vicino la direttiva e designa Traficom come autorità competente principale. I regolamenti attuativi secondari sono ancora in fase di finalizzazione, in particolare per quanto riguarda le soglie settoriali di segnalazione degli incidenti e le tempistiche di registrazione per le entità importanti.
Deviazione principale: regolamenti secondari per le soglie degli incidenti ancora in sospeso
Fonte: tracker legislativo del governo finlandese, gennaio 2025. Ultimo aggiornamento: giugno 2025
Francia
Projet de loi NIS2, esame parlamentare, previsto per il primo semestre 2025
L'ANSSI francese si prepara attivamente alla NIS2 dal 2023, ma il recepimento legislativo formale è stato ritardato dall'instabilità politica. La bozza di legge è attualmente in esame parlamentare. Si prevede che la Francia amplierà in modo significativo il numero di entità regolamentate da circa 500 sotto la NIS1 a una stima di oltre 15.000 sotto la NIS2. L'approccio applicativo dell'ANSSI privilegia la proporzionalità e il supporto alle organizzazioni di recente inclusione nell'ambito.
Deviazione principale: ampliamento significativo dell'ambito; applicazione basata sulla proporzionalità
Fonte: dichiarazioni pubbliche dell'ANSSI, dicembre 2024. Ultimo aggiornamento: giugno 2025
Germania
NIS2-Umsetzungsgesetz (NIS2UmsuCG), previsto per il 2025
Il recepimento della NIS2 in Germania è stato ritardato dal collasso della coalizione di governo alla fine del 2024. La bozza del NIS2UmsuCG amplia in modo significativo il numero di entità nell'ambito (stimato in oltre 29.000 organizzazioni) e introduce disposizioni più stringenti sulla responsabilità del management. Il BSI (Ufficio federale per la sicurezza delle informazioni) fungerà da autorità centrale con poteri di applicazione ampliati.
Deviazione principale: ambito ampliato a ~29.000 entità; responsabilità del management più stringente
Fonte: bozza legislativa del BMI, luglio 2024. Ultimo aggiornamento: giugno 2025
Grecia
Bozza di legge sulla cybersecurity, in esame presso la commissione parlamentare
La Grecia ha pubblicato una bozza di legge che recepisce la NIS2, attualmente in esame presso la commissione parlamentare competente. La National Cybersecurity Authority, istituita nel 2022, è designata come autorità competente. La bozza include disposizioni specifiche per i settori marittimo e turistico, che riflettono le priorità economiche della Grecia, estendendo leggermente i requisiti oltre la base della direttiva per questi settori.
Deviazione principale: requisiti aggiuntivi per i settori marittimo e turistico
Fonte: Ministero greco della Governance digitale, 2024. Ultimo aggiornamento: giugno 2025
Ungheria
Decreto governativo 418/2024, promulgato a ottobre 2024
L'Ungheria ha recepito la NIS2 tramite un decreto governativo anziché un atto parlamentare autonomo, consentendo un'attuazione più rapida. La Direzione generale nazionale per la difesa informatica funge da autorità principale. L'approccio ungherese include requisiti aggiuntivi di registrazione per le entità, che vanno leggermente oltre il minimo previsto dalla direttiva.
Deviazione principale: requisiti aggiuntivi di registrazione delle entità
Fonte: Gazzetta ufficiale ungherese, ottobre 2024. Ultimo aggiornamento: giugno 2025
Irlanda
Nessuna bozza pubblicata, prevista per il 2025
Nonostante ospiti la sede europea di molte grandi aziende tecnologiche, l'Irlanda non ha ancora pubblicato una bozza di legge di recepimento. Si prevede che il NCSC Ireland funga da autorità competente. Data l'importanza dell'Irlanda come hub per il trattamento dei dati, l'eventuale legge nazionale potrebbe avere un impatto sproporzionato sui fornitori di servizi tecnologici e cloud operanti in tutta Europa. La Commissione europea ha avviato una procedura di infrazione.
Deviazione principale: sconosciuta, impatto significativo previsto per il settore tecnologico
Fonte: procedure di infrazione della Commissione europea, novembre 2024. Ultimo aggiornamento: giugno 2025
Italia
Decreto Legislativo NIS2, promulgato a ottobre 2024, attuazione in corso
L'Italia ha pubblicato il proprio decreto di recepimento a ottobre 2024, rispettando tecnicamente la scadenza. Tuttavia, disposizioni attuative fondamentali (comprese i requisiti di registrazione delle entità e le procedure dettagliate di segnalazione degli incidenti) sono ancora in fase di finalizzazione tramite normativa secondaria. L'ACN (Agenzia per la Cybersicurezza Nazionale) guida l'attuazione con tappe di compliance graduali fino al 2025. L'approccio italiano include un gold-plating nei requisiti di gestione del rischio della supply chain.
Deviazione principale: gestione del rischio della supply chain più stringente; attuazione graduale
Fonte: Gazzetta Ufficiale italiana, ottobre 2024. Ultimo aggiornamento: giugno 2025
Lettonia
Kiberdrošības likums, promulgata a settembre 2024
La Lettonia è stata uno dei primi Paesi a recepire la direttiva, promulgando la sua legge sulla cybersecurity prima della scadenza di ottobre 2024. CERT.LV funge da CSIRT nazionale con responsabilità di coordinamento ampliate. La legge lettone segue da vicino la direttiva con deviazioni minime, offrendo una base di compliance chiara per le entità operanti nei Paesi baltici.
Deviazione principale: minima, segue da vicino la base della direttiva
Fonte: Gazzetta ufficiale lettone, settembre 2024. Ultimo aggiornamento: giugno 2025
Lituania
Kibernetinio saugumo įstatymas (modificata), promulgata a ottobre 2024
La Lituania ha modificato la sua legge sulla cybersecurity esistente per rispettare la scadenza della NIS2. Il National Cyber Security Centre (NKSC) mantiene il proprio ruolo principale. L'approccio lituano aggiunge uno schema nazionale di certificazione della cybersecurity per i fornitori di infrastrutture critiche, andando oltre la base della direttiva e riflettendo l'attenzione del Paese alla resilienza della supply chain data la sua posizione geopolitica.
Deviazione principale: schema nazionale di certificazione dei fornitori per le infrastrutture critiche
Fonte: atti del Seimas lituano, ottobre 2024. Ultimo aggiornamento: giugno 2025
Lussemburgo
Projet de loi NIS2, bozza pubblicata, esame parlamentare
Il Lussemburgo ha pubblicato la sua bozza di legge di recepimento della NIS2, attualmente in esame parlamentare. Dato il ruolo del Lussemburgo come importante hub di servizi finanziari, la bozza include disposizioni specifiche che coordinano la compliance NIS2 con i requisiti esistenti del DORA (Digital Operational Resilience Act). Si prevede che l'ILR e la CSSF condividano le responsabilità di autorità competente nei vari settori.
Deviazione principale: quadro coordinato di compliance NIS2-DORA per il settore finanziario
Fonte: atti della Camera dei deputati del Lussemburgo, 2024. Ultimo aggiornamento: giugno 2025
Malta
Nessuna bozza pubblicata, prevista per il 2025
Malta non ha ancora pubblicato una proposta di legge di recepimento. Si prevede che la Malta Information Technology Agency (MITA) e la Critical Infrastructure Protection Directorate avranno un ruolo nell'attuazione. Dati i settori igaming e fintech in crescita di Malta, che potrebbero entrambi rientrare nell'ambito della NIS2, un recepimento tempestivo è commercialmente rilevante. La Commissione europea ha avviato una procedura di infrazione.
Deviazione principale: sconosciuta, potenziale impatto sui settori igaming e fintech
Fonte: tracker delle procedure di infrazione della Commissione europea. Ultimo aggiornamento: giugno 2025
Paesi Bassi
Cyberbeveiligingswet (Cbw), bozza presentata, prevista per il primo semestre 2025
I Paesi Bassi hanno pubblicato la loro bozza di legge sulla cybersecurity (Cbw) per sostituire la vigente Wbni, ma l'approvazione parlamentare resta in sospeso. L'approccio olandese designa i regolatori settoriali come autorità competenti anziché un unico organo centrale: il che significa regolatori diversi per energia, sanità, trasporti e infrastrutture digitali. Questo modello decentralizzato aggiunge complessità per le organizzazioni multi-settore operanti nei Paesi Bassi.
Deviazione principale: applicazione decentralizzata tra i regolatori settoriali
Fonte: consultazione del Ministero della Giustizia olandese, settembre 2024. Ultimo aggiornamento: giugno 2025
Polonia
Nowelizacja ustawy o KSC, bozza pubblicata, iter parlamentare
La Polonia ha pubblicato modifiche alla sua legge sul sistema nazionale di cybersecurity (ustawa o KSC), ma l'iter parlamentare è stato ritardato. La bozza amplia in modo significativo le entità nell'ambito e introduce un nuovo sistema nazionale di classificazione degli incidenti di cybersecurity. NASK e i CSIRT settoriali condivideranno le responsabilità. L'approccio polacco include requisiti rafforzati per le entità della pubblica amministrazione.
Deviazione principale: nuovo sistema di classificazione degli incidenti; ambito della pubblica amministrazione ampliato
Fonte: Ministero polacco degli Affari digitali, 2024. Ultimo aggiornamento: giugno 2025
Portogallo
Nessuna bozza pubblicata, nessuna tempistica stimata
Il Portogallo è tra gli Stati membri senza alcuna bozza di legge pubblicamente disponibile per il recepimento della NIS2. Si prevede che il National Cybersecurity Centre (CNCS) funga da autorità competente, ma non è stata comunicata alcuna tempistica formale per l'azione legislativa. Le organizzazioni che operano in Portogallo dovrebbero monitorare attentamente gli sviluppi e valutare nel frattempo l'allineamento ai requisiti di base della direttiva.
Deviazione principale: sconosciuta, nessuna bozza disponibile
Fonte: tracker delle procedure di infrazione della Commissione europea. Ultimo aggiornamento: giugno 2025
Romania
Proiect de lege NIS2, bozza in esame governativo
La Romania ha pubblicato una bozza di legge di recepimento della NIS2 attualmente in esame governativo prima della presentazione in parlamento. Il DNSC (National Cyber Security Directorate) è designato come autorità competente. La bozza include disposizioni per un programma nazionale di esercitazioni di cybersecurity e valutazioni del rischio obbligatorie per le entità che gestiscono infrastrutture critiche, estendendosi leggermente oltre la base della direttiva.
Deviazione principale: programma nazionale obbligatorio di esercitazioni di cybersecurity
Fonte: portale legislativo del governo rumeno, 2024. Ultimo aggiornamento: giugno 2025
Slovacchia
Zákon o kybernetickej bezpečnosti (modifica): bozza pubblicata
La Slovacchia ha pubblicato modifiche alla sua legge sulla cybersecurity, attualmente in iter legislativo. La National Security Authority (NBU) è designata come autorità competente centrale. La bozza slovacca segue da vicino la direttiva, ma include una tempistica accelerata di registrazione delle entità che richiede la conformità entro 90 giorni dalla promulgazione della legge.
Deviazione principale: requisito accelerato di registrazione delle entità entro 90 giorni
Fonte: Ministero slovacco degli Investimenti, dello Sviluppo regionale e dell'Informatizzazione, 2024. Ultimo aggiornamento: giugno 2025
Slovenia
Zakon o informacijski varnosti (ZInfV-1): promulgata fine 2024, misure secondarie in sospeso
La Slovenia ha promulgato la sua versione aggiornata della legge sulla sicurezza delle informazioni alla fine del 2024, ma le misure attuative secondarie sono ancora in fase di sviluppo. L'Ufficio del governo della Repubblica di Slovenia per la sicurezza delle informazioni (URSIV) funge da organo di coordinamento. La legge copre i requisiti fondamentali della NIS2, ma rinvia diversi dettagli operativi a regolamenti attuativi previsti per il 2025.
Deviazione principale: attuazione graduale con misure secondarie in sospeso
Fonte: Gazzetta ufficiale slovena, 2024. Ultimo aggiornamento: giugno 2025
Spagna
Anteproyecto de Ley NIS2: bozza pubblicata, esame del Consiglio di Stato
La Spagna ha pubblicato la sua bozza di legge di recepimento della NIS2 (anteproyecto), in esame presso il Consiglio di Stato prima della presentazione in parlamento. CCN-CERT e INCIBE condividono le responsabilità di autorità competente a seconda del tipo di entità. La bozza spagnola introduce uno schema nazionale di certificazione della compliance e include disposizioni specifiche per i settori del turismo e dell'ospitalità.
Deviazione principale: certificazione nazionale della compliance; disposizioni per il settore turistico
Fonte: Ministero spagnolo della Trasformazione digitale, 2024. Ultimo aggiornamento: giugno 2025
Svezia
Cybersäkerhetslag: promulgata inizio 2025, regolamenti secondari in corso
La Svezia ha promulgato la sua legge sulla cybersecurity all'inizio del 2025 dopo un'approfondita indagine governativa. La MSB (Agenzia svedese per la protezione civile e la preparazione alle emergenze) funge da autorità centrale di coordinamento, con i regolatori settoriali che gestiscono l'applicazione. I regolamenti secondari che specificano i requisiti dettagliati di compliance per le diverse categorie di entità sono ancora in fase di finalizzazione, con completamento previsto entro metà 2025.
Deviazione principale: modello di applicazione tramite regolatori settoriali; regolamenti secondari in sospeso
Fonte: relazioni ufficiali del governo svedese, 2024. Ultimo aggiornamento: giugno 2025
200+
Ore risparmiate nella documentazione di compliance
Medtec ha risparmiato oltre 200 ore preparandosi alla certificazione ISO 27001 sostituendo la documentazione manuale con flussi di lavoro di compliance automatizzati, entro il primo anno su Priverion.
60%
Meno tempo amministrativo per la compliance
Un produttore aeronautico ha ridotto del 60% il tempo amministrativo per la compliance nei primi 6 mesi, con prezzi prevedibili basati sulle entità, non su trappole di espansione per utente o per modulo.
3 mesi
In anticipo sui tempi per la ISO 27001
Medtec ha completato la preparazione alla ISO 27001 con tre mesi di anticipo rispetto alla tempistica prevista, utilizzando i pacchetti di evidenze pronti per l'audit e la documentazione automatizzata di Priverion.
Perché i team del mid-market passano da OneTrust a Priverion
Le piattaforme privacy enterprise sono state concepite per i budget e la complessità delle Fortune 500. Se gestisci la compliance tra 5 e 50 controllate, ti serve qualcosa di diverso, non qualcosa di più piccolo.
Tipica piattaforma enterprise
Cosa ottieni con OneTrust
Prezzi per modulo e per utente
I costi crescono in modo imprevedibile man mano che aggiungi controllate, utenti o funzionalità. Le discussioni sul budget avvengono ogni trimestre, non ogni anno.
Sede negli USA, hosting globale
I dati possono essere trattati negli USA o in altre giurisdizioni extraeuropee. Dopo Schrems II, ciò crea un'esposizione legale costante per i trasferimenti transfrontalieri.
Oltre 200 integrazioni, poca profondità
Numero di connettori impressionante, ma molti richiedono configurazione personalizzata e manutenzione continua che mettono sotto pressione i team IT del mid-market.
Pensato per i buyer Fortune 500
Ricco di funzionalità, ma travolgente per team di meno di 20 persone. I RPD riferiscono di passare settimane nell'onboarding solo per configurare moduli di cui non hanno bisogno.
Implementazione di mesi
Le implementazioni enterprise richiedono di norma 6-12 mesi prima che i team vedano valore. I costi dei servizi professionali si accumulano rapidamente.
Pensato per il mid-market multi-entità
Cosa ottieni con Priverion
Prezzi prevedibili in base al numero di società
Nessuna licenza per utente, nessun upsell per modulo. Un'unica piattaforma, tutte le funzionalità incluse. Il tuo CFO ottiene un numero che non cambia a metà anno.
Sviluppato e ospitato in Svizzera, garantito
Tutti i dati trattati all'interno dell'infrastruttura svizzera. La residenza dei dati in Europa non è un'opzione di configurazione: è
▸ Informazioni su questa pagina: riferimenti, definizioni e FAQ
Punti chiave: Tracker dello stato di recepimento della NIS2
La Direttiva NIS2 (Direttiva (UE) 2022/2555) richiedeva a tutti i 27 Stati membri dell'UE di recepire i suoi requisiti di cybersecurity nel diritto nazionale entro il 17 ottobre 2024. A metà 2025, solo un numero ristretto di Paesi ha completato pienamente il recepimento. La Commissione europea ha avviato procedure di infrazione contro 23 Stati membri. Questo tracker monitora i progressi legislativi di ciascun Paese, le autorità competenti e le deviazioni rispetto alla base della direttiva, aggiornato mensilmente dal team di intelligence normativa di Priverion.
Che cos'è la Direttiva NIS2?
La Direttiva NIS2 (formalmente Direttiva (UE) 2022/2555) è il quadro rivisto dell'Unione europea per raggiungere un livello comune elevato di cybersecurity in tutti gli Stati membri. Ha sostituito l'originaria Direttiva NIS (2016/1148) ed è stata pubblicata nella Gazzetta ufficiale dell'Unione europea il 27 dicembre 2022. La NIS2 amplia in modo significativo l'ambito dei settori regolamentati da 7 a 18, introduce soglie basate sulle dimensioni per la classificazione delle entità e impone tempistiche più stringenti di segnalazione degli incidenti e accountability dell'organo di gestione. Fonte: EUR-Lex, Direttiva (UE) 2022/2555
Che cos'è il recepimento nel diritto dell'UE?
Il recepimento è il processo con cui gli Stati membri dell'UE incorporano le disposizioni di una direttiva dell'UE nei propri quadri giuridici nazionali. A differenza dei regolamenti dell'UE, direttamente applicabili, le direttive richiedono a ciascuno Stato membro di adottare una legislazione nazionale che raggiunga gli obiettivi della direttiva, pur consentendo flessibilità nei metodi di attuazione. Fonte: EUR-Lex, Tipi di diritto dell'UE
Qual era la scadenza per il recepimento della NIS2?
L'articolo 41 della Direttiva NIS2 fissava al 17 ottobre 2024 la scadenza entro cui tutti i 27 Stati membri dell'UE dovevano adottare e pubblicare le misure nazionali necessarie a conformarsi alla direttiva. Gli Stati membri erano inoltre tenuti ad applicare tali misure a partire dal 18 ottobre 2024. A novembre 2024, la Commissione europea ha inviato lettere di costituzione in mora a 23 Stati membri che non avevano notificato il pieno recepimento. Fonte: EUR-Lex, Direttiva NIS2, articolo 41
Quante entità sono interessate dalla NIS2?
Secondo la valutazione d'impatto della Commissione europea del 2023, oltre 160.000 entità in tutta l'UE rientrano nell'ambito ampliato della NIS2. La direttiva copre 18 settori, tra cui energia, trasporti, settore bancario, sanità, acqua potabile, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione e spazio. Il rapporto NIS Investments 2024 dell'ENISA ha rilevato che il budget mediano per la cybersecurity delle entità nell'ambito della NIS2 era pari a circa 1,4 milioni di euro, ovvero circa il 9% della spesa IT totale. Fonte: ENISA, NIS Investments Report 2024
Quali sono i requisiti di segnalazione degli incidenti della NIS2?
L'articolo 23 della NIS2 stabilisce un quadro di segnalazione degli incidenti in più fasi: le entità devono emettere un preallarme entro 24 ore da quando vengono a conoscenza di un incidente significativo, seguito da una notifica completa dell'incidente entro 72 ore e da una relazione finale entro un mese. L'ENISA coordina la risposta agli incidenti transfrontalieri attraverso la rete EU-CyCLONe. Secondo il rapporto Threat Landscape 2024 dell'ENISA, il ransomware e gli attacchi DDoS sono rimasti le due principali categorie di minacce per i settori regolamentati dalla NIS. Fonte: ENISA, Threat Landscape 2024
Cosa succede se uno Stato membro non recepisce la NIS2 in tempo?
Ai sensi dell'articolo 258 del Trattato sul funzionamento dell'Unione europea (TFUE), la Commissione europea può avviare procedure di infrazione contro gli Stati membri che non recepiscono le direttive entro la scadenza. A novembre 2024, la Commissione ha inviato lettere formali di costituzione in mora a 23 dei 27 Stati membri per non aver notificato il recepimento completo della NIS2. Se la non conformità persiste, la Commissione può deferire i casi alla Corte di giustizia dell'Unione europea, che può imporre sanzioni pecuniarie. Fonte: EUR-Lex, Direttiva NIS2
La NIS2 si applica alle aziende extra-UE?
Sì. La NIS2 ha una portata extraterritoriale. L'articolo 26 richiede alle entità extra-UE che forniscono servizi all'interno dell'UE e rientrano nell'ambito di designare un rappresentante in uno degli Stati membri in cui operano. Ciò rispecchia il requisito del rappresentante previsto dall'articolo 27 del GDPR. La mancata designazione di un rappresentante non esonera l'entità dagli obblighi della NIS2. Fonte: EUR-Lex, Direttiva NIS2, articolo 26
Qual è la differenza tra entità essenziali e importanti ai sensi della NIS2?
La NIS2 classifica le entità in due categorie in base al settore e alle dimensioni. Le entità essenziali includono gli operatori di settori quali energia, trasporti, settore bancario, sanità, acqua potabile, infrastrutture digitali e pubblica amministrazione. Le entità importanti coprono settori come servizi postali, gestione dei rifiuti, prodotti chimici, produzione alimentare e manifatturiero. Entrambe le categorie devono conformarsi agli stessi obblighi di gestione del rischio di cybersecurity e di segnalazione degli incidenti (articoli 21 e 23). Tuttavia, le entità essenziali sono soggette a una vigilanza proattiva, ex ante (comprese audit periodiche e ispezioni in loco) mentre le entità importanti sono soggette a una vigilanza reattiva, ex post, attivata da evidenze di non conformità. Fonte: EUR-Lex, Direttiva NIS2, articoli 32-33
Statistiche e cronologia del recepimento della NIS2
- 17 ottobre 2024 Scadenza di recepimento per tutti i 27 Stati membri dell'UE (NIS2 articolo 41)
- Novembre 2024 La Commissione europea invia lettere di costituzione in mora a 23 Stati membri per mancato recepimento
- 160.000+ entità stimate nell'ambito in tutta l'UE (Commissione europea, 2023)
- 18 settori coperti dalla NIS2, in aumento rispetto ai 7 della Direttiva NIS originaria
- 24 ore scadenza del preallarme per gli incidenti significativi (NIS2 articolo 23)
- 72 ore scadenza per la notifica completa dell'incidente (NIS2 articolo 23)
- 10 milioni di euro o 2% del fatturato globale sanzione amministrativa massima per le entità essenziali (NIS2 articolo 34)
- 7 milioni di euro o 1,4% del fatturato globale sanzione amministrativa massima per le entità importanti (NIS2 articolo 34)
NIS2 vs. Direttiva NIS originaria: Confronto
| Aspetto | Direttiva NIS (2016/1148) | Direttiva NIS2 (2022/2555) |
|---|---|---|
| Settori nell'ambito | 7 settori | 18 settori |
| Classificazione delle entità | Operatori di servizi essenziali (OES) + Fornitori di servizi digitali (DSP) | Entità essenziali + Entità importanti (soglie basate sulle dimensioni) |
| Segnalazione degli incidenti | Senza indebito ritardo | Preallarme 24h, notifica 72h, relazione finale 1 mese |
| Sanzioni massime | Stabilite dagli Stati membri (molto variabili) | 10 mln € / 2% fatturato (essenziali); 7 mln € / 1,4% fatturato (importanti) |
| Accountability del management | Non affrontata esplicitamente | Gli organi di gestione devono approvare e supervisionare le misure di cybersecurity (articolo 20) |
| Sicurezza della supply chain | Disposizioni limitate | Valutazioni obbligatorie del rischio della supply chain (articolo 21(2)(d)) |
| Modello di vigilanza | Variabile per Stato membro | Ex ante per le essenziali; ex post per le entità importanti |
| Coordinamento transfrontaliero | Gruppo di cooperazione + rete CSIRT | Rafforzato: EU-CyCLONe + revisioni tra pari + divulgazione coordinata delle vulnerabilità |
