Cos'è NIS2? La direttiva europea sulla cybersicurezza e cosa significa per la tua organizzazione

Cos'è NIS2?

NIS2 (formalmente la Direttiva sulla Sicurezza delle Reti e dei Sistemi Informativi 2) è una normativa dell'UE progettata per innalzare il livello base di cybersicurezza tra gli Stati membri. Ha sostituito la Direttiva NIS originale (NIS1) del 2016, che aveva un ambito più limitato e un'applicazione incoerente tra i vari Paesi.

L'obiettivo principale è semplice: le organizzazioni che gestiscono infrastrutture critiche o forniscono servizi essenziali devono gestire attivamente il rischio informatico, segnalare tempestivamente gli incidenti ed essere in grado di dimostrare che le proprie misure di sicurezza sono effettivamente in atto, non solo sulla carta.

Perché è stata introdotta NIS2?

La direttiva NIS originale (NIS1) lasciava lacune significative. La copertura era limitata, gli Stati membri implementavano i requisiti in modo diverso e la supervisione variava notevolmente. Nel frattempo, il panorama delle minacce informatiche è cambiato considerevolmente: attacchi ransomware agli ospedali, compromissioni della catena di fornitura e intrusioni sponsorizzate da Stati sono diventati eventi ricorrenti in tutta Europa.

NIS2 è stata introdotta per affrontare tre debolezze specifiche di NIS1: ambito di applicazione incoerente, applicazione frammentata e attenzione insufficiente al rischio della catena di fornitura. Il risultato è una direttiva che copre più settori, stabilisce requisiti più chiari e conferisce alle autorità nazionali poteri di applicazione più forti.

A chi si applica NIS2?

NIS2 si applica alle organizzazioni medie e grandi in 18 settori critici, suddivise in due categorie.

I soggetti essenziali includono le organizzazioni operanti nei settori energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi TIC, pubblica amministrazione e spazio. Questi soggetti sono sottoposti a una supervisione proattiva, che comprende audit regolari e ispezioni in loco.

I soggetti importanti includono le organizzazioni operanti nei servizi postali e di corriere, gestione dei rifiuti, chimica, produzione alimentare, manifatturiero, fornitori digitali e ricerca. Questi sono sottoposti a una supervisione reattiva, il che significa che i controlli vengono generalmente attivati dopo un incidente o l'evidenza di una non conformità.

La soglia dimensionale generalmente copre le organizzazioni con 50 o più dipendenti oppure un fatturato annuo superiore a 10 milioni di euro. Anche le organizzazioni più piccole possono rientrare nell'ambito di applicazione se operano in aree particolarmente critiche.

Rispetto a NIS1, l'ambito di applicazione è notevolmente più ampio. Molte organizzazioni che in precedenza non erano soggette alla normativa sulla cybersicurezza ora rientrano nel suo campo di applicazione.

NIS2 si applica alla mia organizzazione?

Un buon punto di partenza è rispondere a quattro domande:

1. La tua organizzazione fornisce servizi nell'UE?

2. Opera in uno dei settori elencati nell'Allegato I o nell'Allegato II della direttiva?

3. È generalmente classificata come organizzazione di medie o grandi dimensioni (50+ dipendenti o fatturato di 10+ milioni di euro)?

4. Un'eccezione speciale o una designazione nazionale la fa rientrare nell'ambito di applicazione indipendentemente dalle dimensioni?

Soddisfare questi criteri generali non determina automaticamente il tuo status legale. L'ambito di applicazione può dipendere dai servizi specifici che offri, dalle regole di proprietà aziendale, dalla legislazione nazionale e dal fatto che la tua organizzazione sia stata individualmente designata come critica.

Non sei sicuro se la tua organizzazione sia coperta? Completa l'Autovalutazione di Conformità NIS2 per identificare il tuo probabile ambito di applicazione e le lacune iniziali di conformità.

Requisiti chiave di NIS2

NIS2 stabilisce uno standard minimo per le misure di cybersicurezza. Le organizzazioni che rientrano nell'ambito di applicazione devono affrontare quattro aree:

Gestione del rischio: Policy per l'analisi e la gestione dei rischi per le reti e i sistemi informativi, inclusa la gestione degli incidenti, la continuità operativa e la gestione delle crisi.

Segnalazione degli incidenti: Gli incidenti significativi devono essere segnalati all'autorità nazionale competente entro 24 ore dal rilevamento (notifica iniziale), seguiti da un rapporto più dettagliato entro 72 ore e da un rapporto finale entro un mese.

Sicurezza della catena di fornitura: Le organizzazioni devono valutare le pratiche di cybersicurezza dei propri fornitori e prestatori di servizi, non solo i propri controlli interni.

Governance e responsabilità della Direzione: La Direzione è direttamente responsabile dell'approvazione delle misure di cybersicurezza e può essere ritenuta personalmente responsabile in caso di non conformità. Si tratta di un cambiamento significativo rispetto al modo in cui la responsabilità della cybersicurezza è stata tradizionalmente attribuita.

Scadenze di conformità NIS2

La scadenza di recepimento per gli Stati membri era il 17 ottobre 2024. Solo quattro Stati membri l'hanno rispettata. La Commissione Europea ha avviato procedure di infrazione contro 23 Stati membri nel novembre 2024, arrivando a pareri motivati contro 19 di essi nel maggio 2025.

Da allora, il recepimento è progredito notevolmente. A metà 2026, 23 dei 27 Stati membri hanno recepito integralmente NIS2, con l'applicazione ora operativa nella maggior parte dell'UE. I quattro Stati membri rimanenti, Francia, Irlanda, Paesi Bassi e Spagna, sono stati deferiti alla Corte di Giustizia dell'Unione Europea dalla Commissione Europea.

Indipendentemente dallo stato di recepimento a livello locale, le organizzazioni non dovrebbero considerare l'attuazione nazionale incompleta come un motivo per rinviare. La direzione è chiara, l'applicazione seguirà, e il lavoro operativo (mappatura dei controlli, assegnazione delle responsabilità, raccolta delle evidenze) richiede tempo.

NIS2 è in vigore da ottobre 2024. Le tappe fondamentali finora:

• 17 ottobre 2024: scadenza di recepimento per gli Stati membri, rispettata solo da quattro di essi

• 17 gennaio 2025: sono entrate in vigore nuove pratiche di revisione tra pari

• 17 aprile 2025: gli Stati membri sono tenuti a stabilire elenchi dei soggetti essenziali e importanti

Cosa succederà: la Commissione Europea rivedrà il funzionamento di NIS2 nell'ottobre 2027, con possibili modifiche a seguire.

Per le organizzazioni che non hanno ancora iniziato, la domanda non riguarda più le scadenze. Riguarda l'essere pronti quando l'applicazione le raggiungerà.

Stato di attuazione aggiornato al: 31 luglio 2026

NIS2 vs. GDPR e NIS1: differenze chiave

NIS2 e il GDPR affrontano problemi diversi e non si escludono a vicenda. Il GDPR si concentra sulla protezione dei dati personali. NIS2 si concentra sulla sicurezza dei sistemi e delle infrastrutture che trattano tali dati. Un'organizzazione può essere conforme al GDPR e comunque non soddisfare i requisiti di NIS2, in particolare per quanto riguarda la risposta agli incidenti, la gestione del rischio e la sicurezza della catena di fornitura.

Rispetto a NIS1, NIS2 amplia notevolmente l'ambito di applicazione (più settori, più organizzazioni), innalza i requisiti di sicurezza, introduce la responsabilità personale per la Direzione e armonizza le sanzioni tra gli Stati membri.

Un breve confronto:

Sanzioni per la non conformità

NIS2 introduce per la prima volta sanzioni armonizzate in tutta l'UE, e l'applicazione è già iniziata. Le prime sanzioni sono state segnalate in Belgio (185.000 €), Italia (450.000 €) e Ungheria (78.000 €), con programmi di audit nazionali ora attivi in più di una dozzina di Stati membri. Gli importi delle sanzioni si basano su dati riportati dalle autorità nazionali e da enti di monitoraggio dell'applicazione; per una conferma vincolante di qualsiasi sanzione specifica, consultare l'autorità nazionale competente di riferimento.

I soggetti essenziali rischiano sanzioni fino a 10 milioni di euro o al 2% del fatturato globale annuo, a seconda di quale importo sia più elevato. I soggetti importanti rischiano sanzioni fino a 7 milioni di euro o all'1,4% del fatturato globale annuo.

Oltre alle sanzioni finanziarie, l'articolo 20 di NIS2 attribuisce esplicitamente agli organi di gestione la responsabilità di approvare, supervisionare ed essere responsabili delle misure di gestione del rischio di cybersicurezza. La responsabilità personale può essere imposta ai singoli dirigenti in caso di non conformità, incluse interdizioni temporanee dalle funzioni dirigenziali. Questo sposta la domanda da "l'organizzazione è conforme?" a "la Direzione può dimostrare di aver adempiuto alle proprie responsabilità di supervisione?".

Come iniziare con la conformità a NIS2

Il punto di partenza pratico è una gap assessment: capire quali requisiti di NIS2 si applicano alla tua organizzazione e dove i tuoi controlli, le tue policy e i tuoi processi attuali risultano insufficienti.

Da lì, il lavoro consiste nell'assegnare la titolarità tra i vari team, documentare i controlli, costruire una raccolta continua di evidenze e stabilire flussi di lavoro per la segnalazione degli incidenti prima che un incidente accada, non dopo.

Formalize è progettata per rendere operativa NIS2, non solo per documentarla. Un'Autovalutazione di Conformità NIS2 può aiutare il tuo team a identificare rapidamente le lacune e a dare priorità alle aree che necessitano di attenzione immediata. Formalize offre anche 22 controlli NIS2 predefiniti mappati sui requisiti della direttiva, così i team non devono costruire il proprio framework di conformità da zero.

Per le organizzazioni che desiderano una panoramica più ampia della direttiva e delle sue implicazioni, l'hub sulla conformità NIS2 copre i requisiti, l'applicabilità settoriale e come prepararsi.

Ultima revisione: 31 luglio 2026 | Questo articolo è destinato a fornire informazioni di carattere generale e non costituisce consulenza legale.