Aziende da 50 persone
Soggetti medi e grandi (da 50 dipendenti o 10 milioni € di fatturato) in 18 settori - tra cui manifattura, energia, trasporti, sanità e servizi digitali. Anche i loro fornitori, attraverso requisiti inseriti nei contratti.
NIS2 nell'UE
NIS2 mette la responsabilità sulla scrivania dei vertici aziendali
La direttiva UE sulla cybersicurezza NIS2 si applica ormai in tutta l'Unione europea. Ogni Stato membro la recepisce nel proprio diritto nazionale - la Germania da dicembre 2025, la Polonia da aprile 2026, in alcuni Paesi senza alcun periodo transitorio. Qui ho raccolto, in parole semplici: chi riguarda, cosa richiede, quali sanzioni si applicano e da dove cominciare.
Questo materiale ha scopo informativo e non costituisce consulenza legale. La classificazione definitiva della Sua azienda va confermata con un avvocato.
Che cos'è NIS2
NIS2 è la direttiva UE sulla cybersicurezza - formalmente la direttiva (UE) 2022/2555. Ha sostituito la precedente direttiva NIS del 2016 e ha alzato notevolmente l'asticella: più settori, più obblighi e sanzioni che pesano davvero. Il suo obiettivo è un livello comune ed elevato di cybersicurezza in tutta l'Unione.
Ogni Stato membro recepisce la direttiva nel proprio diritto nazionale, e le attuazioni differiscono per date e dettagli. La legge tedesca di attuazione è entrata in vigore il 6 dicembre 2025, senza periodo transitorio; la legge polacca modificata sul sistema nazionale di cybersicurezza si applica dal 3 aprile 2026. In ogni Paese un'autorità nazionale vigila sul rispetto delle norme.
La direttiva NIS2 è la normativa dell'UE in materia di cybersicurezza. Prevede misure giuridiche volte a rafforzare il livello complessivo di cybersicurezza nell'UE.- Commissione europea, digital-strategy.ec.europa.eu
In breve
Tre cose da sapere
Fino a 10 milioni €
Per i soggetti essenziali fino a 10 milioni € o il 2 % del fatturato mondiale; per i soggetti importanti fino a 7 milioni € o l'1,4 %. A ciò si aggiunge la responsabilità personale dei vertici aziendali.
Già in vigore
Il termine UE per il recepimento è scaduto il 17 ottobre 2024. Ora si applicano le leggi nazionali - in Germania dal 6 dicembre 2025 senza periodo transitorio, in Polonia dal 3 aprile 2026 - di solito con una finestra di registrazione di alcuni mesi.
Ambito
Chi riguarda NIS2
La direttiva divide le aziende in due categorie - soggetti essenziali e soggetti importanti - in base al settore e alle dimensioni.
Aziende più grandi in settori critici
Di norma, aziende da 250 dipendenti o 50 milioni € di fatturato che operano nei settori critici coperti dalla normativa. Sono soggette a una vigilanza più rigorosa e a sanzioni più elevate.
Medie aziende nei settori coperti
Aziende di medie dimensioni (da 50 dipendenti o 10 milioni € di fatturato) dei settori coperti che restano al di sotto delle soglie previste per i soggetti essenziali. Un tetto più basso per le sanzioni, gli stessi obblighi fondamentali.
Settori coperti
Allegato I - settori ad alta criticità
- Energia, trasporti, settore bancario e infrastrutture dei mercati finanziari
- Sanità, acqua potabile e acque reflue
- Infrastrutture digitali e gestione dei servizi TIC
- Pubblica amministrazione e spazio
Allegato II - altri settori critici
- Manifattura (compresi dispositivi medici, elettronica, macchinari, veicoli)
- Produzione, trasformazione e distribuzione di alimenti
- Servizi postali e di corriere, gestione dei rifiuti
- Fabbricazione di sostanze chimiche e fornitori di servizi digitali
L'effetto domino nella catena di fornitura
Anche se la Sua azienda resta fuori dall'ambito della NIS2, può esservi coinvolta indirettamente. Quando Lei fornisce software, infrastrutture o servizi critici a un soggetto coperto, quel cliente è tenuto a verificare come Lei gestisce la cybersicurezza. In pratica ciò significa clausole contrattuali che Le impongono requisiti simili a quelli a cui è soggetto il Suo grande cliente.
Obblighi
Cosa richiede la legge - dieci ambiti
L'articolo 21 della direttiva stabilisce un insieme minimo di misure di gestione del rischio. Prescrive i risultati da raggiungere e lascia all'azienda la scelta della tecnologia.
- Politiche di analisi dei rischi e di sicurezza dei sistemi informativi
- Gestione degli incidenti - rilevamento, risposta, documentazione
- Continuità operativa: backup, ripristino in caso di disastro, gestione delle crisi
- Sicurezza della catena di fornitura, compresi i rapporti con i fornitori di software
- Sicurezza nell'acquisizione, nello sviluppo e nella manutenzione, compresa la gestione delle vulnerabilità
- Politiche e procedure per valutare l'efficacia delle misure di gestione del rischio
- Igiene informatica di base e formazione regolare del personale
- Crittografia e cifratura dove ha senso
- Sicurezza delle risorse umane, controllo degli accessi e gestione degli attivi
- Autenticazione a più fattori (MFA) e comunicazioni sicure
Notifica
Notifica degli incidenti - 24 / 72 ore / un mese
Un incidente significativo si notifica per fasi al CSIRT nazionale competente o all'autorità di vigilanza. I termini decorrono dal momento in cui si viene a conoscenza dell'incidente.
24 ore
Preallarme. La prima segnalazione dell'incidente all'autorità, con l'indicazione se possa derivare da atti illeciti o malevoli.
72 ore
Notifica dell'incidente con una valutazione iniziale della gravità e dell'impatto, insieme agli indicatori di compromissione (IoC).
Un mese
Relazione finale: una descrizione completa dell'incidente, l'analisi delle cause profonde, le misure adottate e l'eventuale impatto transfrontaliero.
Sanzioni e responsabilità dei vertici aziendali
La direttiva introduce sanzioni che pesano sul bilancio di qualsiasi azienda. Per i soggetti essenziali arrivano fino a 10 milioni € o al 2 % del fatturato annuo mondiale totale - a seconda di quale importo sia più elevato. Per i soggetti importanti si arriva fino a 7 milioni € o all'1,4 %.
Novità decisiva: i vertici aziendali devono approvare le misure di gestione del rischio e sovrintenderne l'attuazione - e rispondono delle violazioni. Questa responsabilità resta in capo ai vertici: non si può delegare del tutto né trasferire per contratto. La cybersicurezza è così diventata, una volta per tutte, una questione da consiglio di amministrazione più che del solo reparto IT.
Le tempistiche variano tra gli Stati membri. La Germania applica la propria legge dal primo giorno, con registrazione entro tre mesi; la Polonia concede una finestra più lunga, con obblighi introdotti gradualmente fino ad aprile 2027. Ovunque Lei operi, la direzione è la stessa - e sul mercato la maggior parte delle aziende interessate ha ancora del lavoro da fare.
Calendario nell'UE
Date da segnare
Fonte: direttiva (UE) 2022/2555, leggi nazionali di attuazione e autorità nazionali.
Da gennaio 2023
La direttiva (UE) 2022/2555 è entrata in vigore; gli Stati membri avevano tempo fino al 17 ottobre 2024 per recepirla nel diritto nazionale.
2025-2026
Le leggi di attuazione entrano in vigore in tutta l'UE - in Germania dal 6 dicembre 2025 senza periodo transitorio, in Polonia dal 3 aprile 2026 - con scadenze di registrazione alcuni mesi dopo l'entrata in vigore.
Continuativi
Gestione del rischio, notifica degli incidenti (24 / 72 h / un mese), obblighi di prova e di documentazione - da mantenere in modo permanente.
Su richiesta
L'autorità di vigilanza può chiedere la prova che le misure sono state attuate; i soggetti essenziali sono sottoposti a vigilanza regolare.
Come costruisco sistemi pronti per NIS2
Ci sono tre decisioni architetturali che prendo fin dal primo giorno di ogni progetto - perché portano comunque verso la conformità alla direttiva.
I dati restano presso di Lei. Tutto ciò che costruisco gira sull'infrastruttura del cliente (sui propri server o su un server che Lei controlla direttamente, ospitato dove preferisce). Questo risolve il problema della catena di fornitura a livello tecnico, prima ancora che qualcuno inizi a parlarne.
Log di audit dal primo giorno. Il server li registra automaticamente: chi, quando, cosa. In più aggiungo tutta la registrazione che serve a Lei o che richiedono le norme. Il controllo degli accessi funziona a livello di singolo record, oltre che sullo schermo.
La documentazione si scrive da sola. Viene generata automaticamente man mano che il sistema prende forma. Lei riceve un pacchetto pronto che può in sostanza rigenerare dal sistema in qualsiasi momento - e usare come base per ogni ulteriore adempimento documentale richiesto dalle norme.
Fonti
- Direttiva (UE) 2022/2555 (NIS2) - EUR-Lex
- Commissione europea - direttiva NIS2 - digital-strategy.ec.europa.eu
- ENISA - Agenzia dell'Unione europea per la cybersicurezza - enisa.europa.eu
- Attuazioni nazionali - Germania: bsi.bund.de · Polonia: gov.pl
Ultimo aggiornamento: luglio 2026. Materiale informativo; non costituisce consulenza legale.
Primo passo
Prenoti 30 minuti o mi scriva.
Il primo colloquio è una conversazione tranquilla per conoscerci. Verifico se posso esserLe utile. Niente slide, niente pressione commerciale. Se vedo che non siamo la scelta giusta, Glielo dico direttamente.
Preferisce scrivere?
Descriva brevemente di cosa ha bisogno - rispondo entro un giorno lavorativo. Spesso prima.
Telefono +48 601 789 966 - può chiamare, rispondo io stesso.