Il vostro dossier documentale
NIS2 in 5 giorni

Autenticazione a più fattori (MFA)

« Per quali servizi imponete l'MFA? Posta elettronica, VPN, RDP, amministrazione di rete e cloud, account con privilegi. »

Sicurezza della posta elettronica

« Quali controlli utilizzate contro la falsificazione delle e-mail (SPF, DKIM, DMARC)? Avete disattivato i protocolli obsoleti (IMAP, POP3, SMTP non protetti)? »

Piano di risposta agli incidenti

« Qual è il vostro piano di risposta agli incidenti e in quanto tempo ci notifichereste un incidente di cibersicurezza? »

Subappalto e catena di approvvigionamento

« Ricorrete a subappaltatori di quarto livello? Accetterete clausole contrattuali che impongano la conformità a NIS2 (controlli, notifica delle violazioni, diritto di audit)? »

Backup e continuità operativa

« Vengono eseguiti i backup? L'integrità e le procedure di ripristino sono verificate almeno una volta all'anno? »

Governance della sicurezza

« La vostra politica di sicurezza delle informazioni si basa su un riferimento riconosciuto (NIST, ISO 27001)? »

Chi è interessato?

La direttiva riguarda le imprese "medie" o "grandi" (ai sensi del diritto europeo) attive in un elenco di settori considerati critici: energia, trasporti, sanità, banche, acqua, digitale, pubblica amministrazione da un lato; servizi postali, rifiuti, chimica, agroalimentare, manifattura, ricerca dall'altro. Uno Stato può includervi anche strutture più piccole se svolgono un ruolo chiave.

Che cosa NIS2 vi impone davvero

In parole semplici: mettere in atto misure di sicurezza "proporzionate", saper individuare i propri rischi, proteggere i propri dati, rilevare un attacco, reagire e ripartire dopo l'evento. A ciò si aggiungono la sicurezza fisica dei locali, il controllo degli accessi e delle autorizzazioni, e la verifica della sicurezza dei propri prestatori di servizi e fornitori.

In caso di imprevisto, tempi precisi

Se si verifica un incidente "significativo", occorre avvisare l'autorità in tre tempi: un preallarme rapido entro 24 ore, una notifica più dettagliata entro 72 ore, poi una relazione finale entro un mese. Anche i clienti interessati devono essere informati senza indugio delle misure da adottare da parte loro.

Le sanzioni, senza drammatizzare

Il massimale delle sanzioni pecuniarie è fissato dalla direttiva: fino a 10 M€ o al 2 % del fatturato mondiale (se superiore) per i soggetti "essenziali"; fino a 7 M€ o all'1,4 % del fatturato mondiale per i soggetti "importanti". Sono massimali di legge, non un conto automatico, e la sanzione arriva solo dopo una scala di misure correttive - vedere il dettaglio più avanti.

Le date da ricordare

La direttiva è in vigore dal 16 gennaio 2023. Ogni Stato membro doveva aver recepito i propri obblighi nel diritto nazionale entro il 17 ottobre 2024 al più tardi, per un'applicazione effettiva dal 18 ottobre 2024, data in cui il precedente testo NIS1 è stato abrogato.

In Francia, chi guida il dossier

L'ANSSI è l'autorità designata per accompagnare l'adeguamento a NIS2. Ha pubblicato un "Référentiel Cyber France" (ReCyF, disponibile dal 17 marzo 2026) e propone una piattaforma "MonEspaceNIS2" nonché un "ClubSSI" per aiutare le imprese a orientarsi.

Che cosa accade già presso i nostri vicini

In Germania l'autorità BSI indica che il termine legale di registrazione delle imprese interessate è già scaduto: quelle che non vi hanno ancora provveduto devono farlo senza attendere. Un segnale concreto che il movimento europeo è già in marcia, ben oltre i testi.

Una semplificazione è allo studio

La Commissione europea ha presentato nel 2026 una proposta ("pacchetto omnibus") per alleggerire la conformità a NIS2, in particolare per le strutture più piccole: circa 28 700 imprese sarebbero interessate da tale alleggerimento, di cui 6 200 micro e piccole imprese.

Una clinica privata o un laboratorio di analisi

Rientra nel settore «Sanità» dell'Allegato I non appena si tratta di una struttura sanitaria ai sensi del diritto europeo, se supera la soglia dimensionale media.

Un subfornitore automobilistico o un costruttore di macchinari

Rientra nel settore «Industria manifatturiera» dell'Allegato II (veicoli, apparecchiature elettriche, macchinari, elettronica) oltre la soglia dimensionale.

Un fornitore di cloud o una società di servizi gestiti (MSP/MSSP)

Fa parte delle «Infrastrutture digitali» o della «Gestione dei servizi TIC» dell'Allegato I: interessata a partire dalla dimensione media (soggetto importante), soggetto essenziale se è grande. Unica eccezione di dimensione: se è anche prestatore di servizi fiduciari qualificato, registro dei nomi di dominio o fornitore DNS.

Un ente territoriale o un ente pubblico regionale

Rientra nel settore «Pubblica amministrazione» dell'Allegato I se lo Stato membro lo designa, in particolare quando l'interruzione dei suoi servizi avrebbe un impatto significativo sulle attività societali o economiche critiche.

Un trasformatore agroalimentare o un grossista

Rientra nella «Produzione, trasformazione e distribuzione di alimenti» dell'Allegato II qualora eserciti un'attività all'ingrosso o una produzione/ trasformazione industriale.

Un'impresa «fuori dai 18 settori», ma fornitore di un soggetto interessato

Non rientra direttamente nel perimetro NIS2, ma può esservi spinta per contratto: vedere la sezione «Effetto a catena» più sopra in questa pagina.

D. Che cos'è la direttiva NIS2, in una frase?

È il testo europeo che ha sostituito, dal 18 ottobre 2024, la precedente legge del 2016 sulla cibersicurezza: la Commissione europea lo descrive come un testo che «eleva il livello comune di ambizione dell'UE in materia di cibersicurezza, tramite un ambito di applicazione più ampio, norme più chiare e strumenti di controllo rafforzati».

D. Sono una PMI: sono davvero interessato dalle soglie dimensionali?

Il testo mira anzitutto alle imprese «medie» o «grandi» ai sensi del diritto europeo, un criterio giuridico preciso che rimanda alla Raccomandazione 2003/361/CE (in pratica: a partire da 50 dipendenti, oppure da più di 10 M EUR di fatturato e di bilancio congiuntamente), attive in uno dei 18 settori elencati. Al di sotto non siete in linea di principio direttamente soggetti, salvo che il vostro Stato includa strutture più piccole ritenute essenziali, o che forniate un soggetto che lo è (effetto a catena, vedere più sopra in questa pagina).

D. Come dirigente, posso essere ritenuto personalmente responsabile?

Sì, ed è il punto meno noto del testo: la sintesi giuridica ufficiale della direttiva precisa che l'organo di gestione deve approvare le misure di gestione dei rischi e sorvegliarne l'attuazione, e che può essere ritenuto responsabile in caso di inadempienza. La cibersicurezza non è quindi solo un tema informatico: è una questione di governance che risale fino al dirigente.

D. Come sapere concretamente se la mia impresa deve registrarsi?

Ogni Stato membro deve tenere aggiornato un elenco ufficiale dei soggetti essenziali e importanti, riesaminato ogni due anni (prima scadenza europea: 17 aprile 2025). In Francia l'ANSSI mette a disposizione uno strumento gratuito di autovalutazione online, «MonEspaceNIS2», che risponde direttamente alla domanda «sono interessato?».

D. La Francia è in ritardo? Che cosa cambia per me oggi?

Sì: la legge francese di recepimento non è ancora pubblicata, ben oltre la scadenza europea. Nel luglio 2026 la Commissione europea ha del resto deferito la Francia alla Corte di giustizia dell'UE per non aver notificato le proprie misure di recepimento (vedere il calendario dettagliato più sopra). In concreto: nessuna sanzione «NIS2 francese» è ancora possibile finché il decreto non è uscito, ma il giorno in cui sarà pubblicato, le imprese già pronte non avranno nulla da recuperare.

D. Che cosa cambia davvero rispetto alla precedente legge NIS1?

NIS1 (2016) si limitava a energia, trasporti, sanità, finanza, acqua e digitale. NIS2 amplia fortemente questo perimetro: vi si aggiungono ora le comunicazioni elettroniche destinate al pubblico, le reti sociali e le piattaforme digitali, la gestione dei rifiuti, la fabbricazione di prodotti critici, i servizi postali e la pubblica amministrazione. Molte imprese finora fuori dal radar rientrano ora nell'ambito di applicazione.

D. È previsto un alleggerimento per le piccole strutture?

Sì, allo studio: la Commissione europea ha presentato nel 2026 un pacchetto di semplificazione per ridurre l'onere amministrativo legato a NIS2, in particolare per i soggetti più piccoli. Circa 28 700 imprese sarebbero interessate da tale alleggerimento, di cui 6 200 micro e piccole imprese. Il testo non è ancora adottato in via definitiva: da monitorare, senza attendere per prepararsi.

Sanzione amministrativa pecuniaria massima: almeno 10 000 000 EUR OPPURE almeno il 2 % del fatturato mondiale dell'esercizio precedente - si applica l'importo più elevato dei due.

Sanzione amministrativa pecuniaria massima: almeno 7 000 000 EUR OPPURE almeno l'1,4 % del fatturato mondiale dell'esercizio precedente - stessa logica, si applica l'importo più elevato.

Chi sanziona?

Ogni Stato membro designa una o più «autorità competenti» incaricate della vigilanza e dell'esecuzione della direttiva. In Francia, questo ruolo è affidato all'ANSSI.

L'estremo rimedio - solo per i soggetti essenziali

Se le misure precedenti restano senza effetto, l'autorità può chiedere a un tribunale la sospensione temporanea di una certificazione o di un'autorizzazione, o addirittura di allontanare temporaneamente un dirigente (amministratore delegato o rappresentante legale) dalle sue funzioni, fino alla messa in conformità. Questa escalation estrema riguarda SOLO i soggetti essenziali, non i soggetti importanti.

L'importo non è automatico

La legge impone di tenere conto, caso per caso: della gravità e della durata della violazione, della recidiva, del danno causato, del dolo o della colpa, delle misure adottate per limitare il pregiudizio, dell'adesione a codici di condotta o certificazioni, del livello di cooperazione con l'autorità. Due imprese nella stessa situazione non ricevono automaticamente la stessa sanzione.

I dirigenti, personalmente responsabili

Il testo prevede esplicitamente che le persone fisiche che dirigono il soggetto (amministratore delegato, rappresentante legale) possano essere ritenute responsabili in caso di inadempimento dei loro obblighi di conformità - per i soggetti essenziali come per i soggetti importanti.

E se si tratta anche di una fuga di dati?

Se l'incidente costituisce anche una violazione di dati personali, l'autorità NIS2 deve informarne senza indugio l'autorità GDPR competente (la CNIL in Francia). I due regimi si coordinano - non è un cumulo automatico di sanzioni, ma uno scambio di informazioni tra autorità.

Esempi con cifre? Non ancora, onestamente

Alla data di questo monitoraggio, nessuna decisione di sanzione NIS2 resa pubblica è stata trovata in una fonte ufficiale. Il dispositivo dipende dalla legge di recepimento di ciascuno Stato membro, in fase di definizione. Segno che il movimento è avviato: in Germania l'autorità BSI indica che il termine legale di registrazione dei soggetti interessati è già scaduto.