Stato del recepimento della NIS2 per Paese: a che punto è ogni Stato membro dell'UE nel 2025
La scadenza della Direttiva NIS2 era il 17 ottobre 2024. Eppure, a giugno 2025, solo una manciata dei 27 Stati membri l'ha recepita pienamente nel diritto nazionale. Se la tua organizzazione opera in più giurisdizioni dell'UE, il panorama della compliance è frammentato, confuso e in rapida evoluzione. Questa pagina monitora tutto, aggiornata mensilmente.
27
Stati membri dell'UE monitorati
160.000+
entità interessate in tutta l'UE
Stima della Commissione europea, 2023
24h
finestra di segnalazione degli incidenti
Direttiva NIS2, articolo 23
Nessuna registrazione richiesta. Aggiungi questa pagina ai preferiti: la aggiorniamo mensilmente.
Tracker del recepimento della NIS2: tutti i 27 Stati membri dell'UE
Ogni scheda qui sotto riflette lo stato attuale di attuazione della NIS2, la legge nazionale di attuazione, l'autorità competente e le eventuali deviazioni significative rispetto ai requisiti minimi della direttiva. Monitorare lo stato del recepimento della NIS2 per Paese è essenziale per le organizzazioni che operano in più giurisdizioni dell'UE: ciò che vale in Belgio può differire in modo significativo da quanto richiesto in Germania. Aggiornato mensilmente dal team di intelligence normativa di Priverion.
Austria
NISG 2024, promulgata a dicembre 2024
L'Austria ha promulgato la sua versione aggiornata della legge sulla sicurezza delle reti e dei sistemi informativi (NISG 2024) alla fine del 2024. La legge amplia in modo significativo l'ambito delle entità regolamentate e designa le autorità settoriali esistenti accanto al CERT nazionale. L'approccio austriaco aggiunge requisiti più stringenti per gli operatori di infrastrutture critiche nei settori dell'energia e dei trasporti, oltre alla base prevista dalla direttiva.
Deviazione principale: requisiti più stringenti per le infrastrutture critiche di energia e trasporti
Fonte: Gazzetta ufficiale federale austriaca, dicembre 2024. Ultimo aggiornamento: giugno 2025
Belgio
Loi NIS2, promulgata ad aprile 2024
Tra i primi Stati membri dell'UE a completare il recepimento. La legge belga rispecchia da vicino la direttiva, ma amplia la definizione di entità essenziali per includere alcuni enti governativi regionali. Il Centre for Cybersecurity Belgium (CCB) funge da autorità nazionale competente con poteri di applicazione.
Deviazione principale: ambito ampliato per includere gli enti governativi regionali
Fonte: Gazzetta ufficiale belga, aprile 2024. Ultimo aggiornamento: giugno 2025
Bulgaria
Nessuna bozza pubblicata, nessuna tempistica stimata
La Bulgaria non ha pubblicato alcuna proposta di legge di recepimento. Si prevede che la State Agency for Electronic Government avrà un ruolo nell'attuazione, ma non è stato avviato alcun processo legislativo formale. La Commissione europea ha avviato una procedura di infrazione. Le organizzazioni che operano in Bulgaria dovrebbero allinearsi ai requisiti di base della direttiva monitorando gli sviluppi.
Deviazione principale: sconosciuta, nessuna bozza disponibile
Fonte: tracker delle procedure di infrazione della Commissione europea. Ultimo aggiornamento: giugno 2025
Croazia
Zakon o kibernetičkoj sigurnosti, promulgata a ottobre 2024
La Croazia ha rispettato la scadenza del 17 ottobre 2024 con la sua legge sulla cybersecurity. La legge si allinea strettamente ai requisiti della NIS2 e designa il Consiglio nazionale per la cybersecurity come organo di coordinamento. La segnalazione degli incidenti segue il quadro della direttiva di preallarme entro 24 ore e notifica entro 72 ore, senza deviazioni significative.
Deviazione principale: minima, segue da vicino la base della direttiva
Fonte: Gazzetta ufficiale croata, ottobre 2024. Ultimo aggiornamento: giugno 2025
Cipro
Bozza di legge sulla cybersecurity, in esame ministeriale
Cipro ha pubblicato una bozza di legge sulla cybersecurity attualmente in esame ministeriale. Si prevede che la Digital Security Authority (DSA) funga da autorità nazionale competente. La bozza segue da vicino la struttura della direttiva, ma è ancora soggetta a modifiche prima della presentazione in parlamento. La tempistica di promulgazione resta incerta.
Deviazione principale: ancora in esame, possibili modifiche in sospeso
Fonte: documenti di consultazione del governo di Cipro, 2024. Ultimo aggiornamento: giugno 2025
Repubblica Ceca
Zákon o kybernetické bezpečnosti (modificata), promulgata a ottobre 2024
La Repubblica Ceca ha modificato la sua legge sulla cybersecurity esistente per incorporare i requisiti della NIS2, rispettando la scadenza di ottobre. La NUKIB (Agenzia nazionale per la sicurezza informatica e dell'informazione) mantiene il proprio ruolo di autorità centrale con poteri ampliati. L'approccio ceco aggiunge audit obbligatori sulla cybersecurity per le entità essenziali ogni due anni: un requisito che va oltre la direttiva.
Deviazione principale: audit biennali obbligatori sulla cybersecurity per le entità essenziali
Fonte: Raccolta delle leggi ceca, ottobre 2024. Ultimo aggiornamento: giugno 2025
Danimarca
Più leggi settoriali, attuazione graduale in corso
La Danimarca ha adottato un approccio settore per settore al recepimento della NIS2, con strumenti legislativi separati per i diversi settori. Il Centre for Cyber Security (CFCS) coordina i vari settori. Mentre alcune leggi settoriali sono state promulgate, altre restano in iter parlamentare. Questo approccio decentralizzato significa che i requisiti di compliance possono variare per settore e per tempistica.
Deviazione principale: recepimento settore per settore anziché un'unica legge unificata
Fonte: pubblicazioni del Ministero della Difesa danese, 2024. Ultimo aggiornamento: giugno 2025
Estonia
Küberturvalisuse seaduse muutmine, bozza pubblicata, esame parlamentare
L'Estonia, nonostante la sua reputazione di leader digitale, ha mancato la scadenza di ottobre 2024 ma ha pubblicato modifiche complete alla sua legge sulla cybersecurity. La Information System Authority (RIA) continuerà a essere l'autorità principale. La bozza estone include disposizioni per i servizi digitali governativi che estendono l'ambito oltre la base della direttiva.
Deviazione principale: ambito esteso che copre i servizi digitali governativi
Fonte: Ministero estone degli Affari economici, 2024. Ultimo aggiornamento: giugno 2025
Finlandia
Kyberturvallisuuslaki, promulgata a gennaio 2025
La Finlandia ha promulgato la sua legge sulla cybersecurity all'inizio del 2025, leggermente oltre la scadenza. La legge segue da vicino la direttiva e designa Traficom come autorità competente principale. I regolamenti attuativi secondari sono ancora in fase di finalizzazione, in particolare per quanto riguarda le soglie settoriali di segnalazione degli incidenti e le tempistiche di registrazione per le entità importanti.
Deviazione principale: regolamenti secondari per le soglie degli incidenti ancora in sospeso
Fonte: tracker legislativo del governo finlandese, gennaio 2025. Ultimo aggiornamento: giugno 2025
Francia
Projet de loi NIS2, esame parlamentare, previsto per il primo semestre 2025
L'ANSSI francese si prepara attivamente alla NIS2 dal 2023, ma il recepimento legislativo formale è stato ritardato dall'instabilità politica. La bozza di legge è attualmente in esame parlamentare. Si prevede che la Francia amplierà in modo significativo il numero di entità regolamentate da circa 500 sotto la NIS1 a una stima di oltre 15.000 sotto la NIS2. L'approccio applicativo dell'ANSSI privilegia la proporzionalità e il supporto alle organizzazioni di recente inclusione nell'ambito.
Deviazione principale: ampliamento significativo dell'ambito; applicazione basata sulla proporzionalità
Fonte: dichiarazioni pubbliche dell'ANSSI, dicembre 2024. Ultimo aggiornamento: giugno 2025
Germania
NIS2-Umsetzungsgesetz (NIS2UmsuCG), previsto per il 2025
Il recepimento della NIS2 in Germania è stato ritardato dal collasso della coalizione di governo alla fine del 2024. La bozza del NIS2UmsuCG amplia in modo significativo il numero di entità nell'ambito (stimato in oltre 29.000 organizzazioni) e introduce disposizioni più stringenti sulla responsabilità del management. Il BSI (Ufficio federale per la sicurezza delle informazioni) fungerà da autorità centrale con poteri di applicazione ampliati.
Deviazione principale: ambito ampliato a ~29.000 entità; responsabilità del management più stringente
Fonte: bozza legislativa del BMI, luglio 2024. Ultimo aggiornamento: giugno 2025
Grecia
Bozza di legge sulla cybersecurity, in esame presso la commissione parlamentare
La Grecia ha pubblicato una bozza di legge che recepisce la NIS2, attualmente in esame presso la commissione parlamentare competente. La National Cybersecurity Authority, istituita nel 2022, è designata come autorità competente. La bozza include disposizioni specifiche per i settori marittimo e turistico, che riflettono le priorità economiche della Grecia, estendendo leggermente i requisiti oltre la base della direttiva per questi settori.
Deviazione principale: requisiti aggiuntivi per i settori marittimo e turistico
Fonte: Ministero greco della Governance digitale, 2024. Ultimo aggiornamento: giugno 2025
Ungheria
Decreto governativo 418/2024, promulgato a ottobre 2024
L'Ungheria ha recepito la NIS2 tramite un decreto governativo anziché un atto parlamentare autonomo, consentendo un'attuazione più rapida. La Direzione generale nazionale per la difesa informatica funge da autorità principale. L'approccio ungherese include requisiti aggiuntivi di registrazione per le entità, che vanno leggermente oltre il minimo previsto dalla direttiva.
Deviazione principale: requisiti aggiuntivi di registrazione delle entità
Fonte: Gazzetta ufficiale ungherese, ottobre 2024. Ultimo aggiornamento: giugno 2025
Irlanda
Nessuna bozza pubblicata, prevista per il 2025
Nonostante ospiti la sede europea di molte grandi aziende tecnologiche, l'Irlanda non ha ancora pubblicato una bozza di legge di recepimento. Si prevede che il NCSC Ireland funga da autorità competente. Data l'importanza dell'Irlanda come hub per il trattamento dei dati, l'eventuale legge nazionale potrebbe avere un impatto sproporzionato sui fornitori di servizi tecnologici e cloud operanti in tutta Europa. La Commissione europea ha avviato una procedura di infrazione.
Deviazione principale: sconosciuta, impatto significativo previsto per il settore tecnologico
Fonte: procedure di infrazione della Commissione europea, novembre 2024. Ultimo aggiornamento: giugno 2025
Italia
Decreto Legislativo NIS2, promulgato a ottobre 2024, attuazione in corso
L'Italia ha pubblicato il proprio decreto di recepimento a ottobre 2024, rispettando tecnicamente la scadenza. Tuttavia, disposizioni attuative fondamentali (comprese i requisiti di registrazione delle entità e le procedure dettagliate di segnalazione degli incidenti) sono ancora in fase di finalizzazione tramite normativa secondaria. L'ACN (Agenzia per la Cybersicurezza Nazionale) guida l'attuazione con tappe di compliance graduali fino al 2025. L'approccio italiano include un gold-plating nei requisiti di gestione del rischio della supply chain.
Deviazione principale: gestione del rischio della supply chain più stringente; attuazione graduale
Fonte: Gazzetta Ufficiale italiana, ottobre 2024. Ultimo aggiornamento: giugno 2025
Lettonia
Kiberdrošības likums, promulgata a settembre 2024
La Lettonia è stata uno dei primi Paesi a recepire la direttiva, promulgando la sua legge sulla cybersecurity prima della scadenza di ottobre 2024. CERT.LV funge da CSIRT nazionale con responsabilità di coordinamento ampliate. La legge lettone segue da vicino la direttiva con deviazioni minime, offrendo una base di compliance chiara per le entità operanti nei Paesi baltici.
Deviazione principale: minima, segue da vicino la base della direttiva
Fonte: Gazzetta ufficiale lettone, settembre 2024. Ultimo aggiornamento: giugno 2025
Lituania
Kibernetinio saugumo įstatymas (modificata), promulgata a ottobre 2024
La Lituania ha modificato la sua legge sulla cybersecurity esistente per rispettare la scadenza della NIS2. Il National Cyber Security Centre (NKSC) mantiene il proprio ruolo principale. L'approccio lituano aggiunge uno schema nazionale di certificazione della cybersecurity per i fornitori di infrastrutture critiche, andando oltre la base della direttiva e riflettendo l'attenzione del Paese alla resilienza della supply chain data la sua posizione geopolitica.
Deviazione principale: schema nazionale di certificazione dei fornitori per le infrastrutture critiche
Fonte: atti del Seimas lituano, ottobre 2024. Ultimo aggiornamento: giugno 2025
Lussemburgo
Projet de loi NIS2, bozza pubblicata, esame parlamentare
Il Lussemburgo ha pubblicato la sua bozza di legge di recepimento della NIS2, attualmente in esame parlamentare. Dato il ruolo del Lussemburgo come importante hub di servizi finanziari, la bozza include disposizioni specifiche che coordinano la compliance NIS2 con i requisiti esistenti del DORA (Digital Operational Resilience Act). Si prevede che l'ILR e la CSSF condividano le responsabilità di autorità competente nei vari settori.
Deviazione principale: quadro coordinato di compliance NIS2-DORA per il settore finanziario
Fonte: atti della Camera dei deputati del Lussemburgo, 2024. Ultimo aggiornamento: giugno 2025
Malta
Nessuna bozza pubblicata, prevista per il 2025
Malta non ha ancora pubblicato una proposta di legge di recepimento. Si prevede che la Malta Information Technology Agency (MITA) e la Critical Infrastructure Protection Directorate avranno un ruolo nell'attuazione. Dati i settori igaming e fintech in crescita di Malta, che potrebbero entrambi rientrare nell'ambito della NIS2, un recepimento tempestivo è commercialmente rilevante. La Commissione europea ha avviato una procedura di infrazione.
Deviazione principale: sconosciuta, potenziale impatto sui settori igaming e fintech
Fonte: tracker delle procedure di infrazione della Commissione europea. Ultimo aggiornamento: giugno 2025
Paesi Bassi
Cyberbeveiligingswet (Cbw), bozza presentata, prevista per il primo semestre 2025
I Paesi Bassi hanno pubblicato la loro bozza di legge sulla cybersecurity (Cbw) per sostituire la vigente Wbni, ma l'approvazione parlamentare resta in sospeso. L'approccio olandese designa i regolatori settoriali come autorità competenti anziché un unico organo centrale: il che significa regolatori diversi per energia, sanità, trasporti e infrastrutture digitali. Questo modello decentralizzato aggiunge complessità per le organizzazioni multi-settore operanti nei Paesi Bassi.
Deviazione principale: applicazione decentralizzata tra i regolatori settoriali
Fonte: consultazione del Ministero della Giustizia olandese, settembre 2024. Ultimo aggiornamento: giugno 2025
Polonia
Nowelizacja ustawy o KSC, bozza pubblicata, iter parlamentare
La Polonia ha pubblicato modifiche alla sua legge sul sistema nazionale di cybersecurity (ustawa o KSC), ma l'iter parlamentare è stato ritardato. La bozza amplia in modo significativo le entità nell'ambito e introduce un nuovo sistema nazionale di classificazione degli incidenti di cybersecurity. NASK e i CSIRT settoriali condivideranno le responsabilità. L'approccio polacco include requisiti rafforzati per le entità della pubblica amministrazione.
Deviazione principale: nuovo sistema di classificazione degli incidenti; ambito della pubblica amministrazione ampliato
Fonte: Ministero polacco degli Affari digitali, 2024. Ultimo aggiornamento: giugno 2025
Portogallo
Nessuna bozza pubblicata, nessuna tempistica stimata
Il Portogallo è tra gli Stati membri senza alcuna bozza di legge pubblicamente disponibile per il recepimento della NIS2. Si prevede che il National Cybersecurity Centre (CNCS) funga da autorità competente, ma non è stata comunicata alcuna tempistica formale per l'azione legislativa. Le organizzazioni che operano in Portogallo dovrebbero monitorare attentamente gli sviluppi e valutare nel frattempo l'allineamento ai requisiti di base della direttiva.
Deviazione principale: sconosciuta, nessuna bozza disponibile
Fonte: tracker delle procedure di infrazione della Commissione europea. Ultimo aggiornamento: giugno 2025
Romania
Proiect de lege NIS2, bozza in esame governativo
La Romania ha pubblicato una bozza di legge di recepimento della NIS2 attualmente in esame governativo prima della presentazione in parlamento. Il DNSC (National Cyber Security Directorate) è designato come autorità competente. La bozza include disposizioni per un programma nazionale di esercitazioni di cybersecurity e valutazioni del rischio obbligatorie per le entità che gestiscono infrastrutture critiche, estendendosi leggermente oltre la base della direttiva.
Deviazione principale: programma nazionale obbligatorio di esercitazioni di cybersecurity
Fonte: portale legislativo del governo rumeno, 2024. Ultimo aggiornamento: giugno 2025
Slovacchia
Zákon o kybernetickej bezpečnosti (modifica): bozza pubblicata
La Slovacchia ha pubblicato modifiche alla sua legge sulla cybersecurity, attualmente in iter legislativo. La National Security Authority (NBU) è designata come autorità competente centrale. La bozza slovacca segue da vicino la direttiva, ma include una tempistica accelerata di registrazione delle entità che richiede la conformità entro 90 giorni dalla promulgazione della legge.
Deviazione principale: requisito accelerato di registrazione delle entità entro 90 giorni
Fonte: Ministero slovacco degli Investimenti, dello Sviluppo regionale e dell'Informatizzazione, 2024. Ultimo aggiornamento: giugno 2025
Slovenia
Zakon o informacijski varnosti (ZInfV-1): promulgata fine 2024, misure secondarie in sospeso
La Slovenia ha promulgato la sua versione aggiornata della legge sulla sicurezza delle informazioni alla fine del 2024, ma le misure attuative secondarie sono ancora in fase di sviluppo. L'Ufficio del governo della Repubblica di Slovenia per la sicurezza delle informazioni (URSIV) funge da organo di coordinamento. La legge copre i requisiti fondamentali della NIS2, ma rinvia diversi dettagli operativi a regolamenti attuativi previsti per il 2025.
Deviazione principale: attuazione graduale con misure secondarie in sospeso
Fonte: Gazzetta ufficiale slovena, 2024. Ultimo aggiornamento: giugno 2025
Spagna
Anteproyecto de Ley NIS2: bozza pubblicata, esame del Consiglio di Stato
La Spagna ha pubblicato la sua bozza di legge di recepimento della NIS2 (anteproyecto), in esame presso il Consiglio di Stato prima della presentazione in parlamento. CCN-CERT e INCIBE condividono le responsabilità di autorità competente a seconda del tipo di entità. La bozza spagnola introduce uno schema nazionale di certificazione della compliance e include disposizioni specifiche per i settori del turismo e dell'ospitalità.
Deviazione principale: certificazione nazionale della compliance; disposizioni per il settore turistico
Fonte: Ministero spagnolo della Trasformazione digitale, 2024. Ultimo aggiornamento: giugno 2025
Svezia
Cybersäkerhetslag: promulgata inizio 2025, regolamenti secondari in corso
La Svezia ha promulgato la sua legge sulla cybersecurity all'inizio del 2025 dopo un'approfondita indagine governativa. La MSB (Agenzia svedese per la protezione civile e la preparazione alle emergenze) funge da autorità centrale di coordinamento, con i regolatori settoriali che gestiscono l'applicazione. I regolamenti secondari che specificano i requisiti dettagliati di compliance per le diverse categorie di entità sono ancora in fase di finalizzazione, con completamento previsto entro metà 2025.
Deviazione principale: modello di applicazione tramite regolatori settoriali; regolamenti secondari in sospeso
Fonte: relazioni ufficiali del governo svedese, 2024. Ultimo aggiornamento: giugno 2025
200+
Ore risparmiate nella documentazione di compliance
Medtec ha risparmiato oltre 200 ore preparandosi alla certificazione ISO 27001 sostituendo la documentazione manuale con flussi di lavoro di compliance automatizzati, entro il primo anno su Priverion.
60%
Meno tempo amministrativo per la compliance
Un produttore aeronautico ha ridotto del 60% il tempo amministrativo per la compliance nei primi 6 mesi, con prezzi prevedibili basati sulle entità, non su trappole di espansione per utente o per modulo.
3 mesi
In anticipo sui tempi per la ISO 27001
Medtec ha completato la preparazione alla ISO 27001 con tre mesi di anticipo rispetto alla tempistica prevista, utilizzando i pacchetti di evidenze pronti per l'audit e la documentazione automatizzata di Priverion.
Perché i team del mid-market passano da OneTrust a Priverion
Le piattaforme privacy enterprise sono state concepite per i budget e la complessità delle Fortune 500. Se gestisci la compliance tra 5 e 50 controllate, ti serve qualcosa di diverso, non qualcosa di più piccolo.
Tipica piattaforma enterprise
Cosa ottieni con OneTrust
Prezzi per modulo e per utente
I costi crescono in modo imprevedibile man mano che aggiungi controllate, utenti o funzionalità. Le discussioni sul budget avvengono ogni trimestre, non ogni anno.
Sede negli USA, hosting globale
I dati possono essere trattati negli USA o in altre giurisdizioni extraeuropee. Dopo Schrems II, ciò crea un'esposizione legale costante per i trasferimenti transfrontalieri.
Oltre 200 integrazioni, poca profondità
Numero di connettori impressionante, ma molti richiedono configurazione personalizzata e manutenzione continua che mettono sotto pressione i team IT del mid-market.
Pensato per i buyer Fortune 500
Ricco di funzionalità, ma travolgente per team di meno di 20 persone. I RPD riferiscono di passare settimane nell'onboarding solo per configurare moduli di cui non hanno bisogno.
Implementazione di mesi
Le implementazioni enterprise richiedono di norma 6-12 mesi prima che i team vedano valore. I costi dei servizi professionali si accumulano rapidamente.
Pensato per il mid-market multi-entità
Cosa ottieni con Priverion
Prezzi prevedibili in base al numero di società
Nessuna licenza per utente, nessun upsell per modulo. Un'unica piattaforma, tutte le funzionalità incluse. Il tuo CFO ottiene un numero che non cambia a metà anno.
Sviluppato e ospitato in Svizzera, garantito
Tutti i dati trattati all'interno dell'infrastruttura svizzera. La residenza dei dati in Europa non è un'opzione di configurazione: è
