Cos'è la NIS2? La direttiva UE sulla cibersicurezza in parole semplici

Una direttiva UE

NIS2 sta per la seconda direttiva sulla sicurezza dei sistemi informativi e di rete. È stata pubblicata nella Gazzetta ufficiale dell'UE il 27 dicembre 2022 ed è entrata in vigore il 16 gennaio 2023.

Il suo obiettivo è un livello comune elevato di cibersicurezza in tutta l'UE. Sostituisce la prima direttiva NIS (UE) 2016/1148, abrogata il 18 ottobre 2024.

Una direttiva non si applica direttamente alle aziende. Ogni paese dell'UE la recepisce nella propria legge. Il termine per farlo era il 17 ottobre 2024. Gli obblighi per la tua azienda nascono solo con quella legge nazionale.

Art. 1, 41, 44 e 45 NIS 2

Chi rientra nell'ambito

Un'azienda rientra nell'ambito se opera in uno dei 18 settori degli allegati I e II ed è almeno di medie dimensioni: da 50 dipendenti, oppure con un fatturato annuo e un totale di bilancio superiori a 10 milioni di euro ciascuno.

Alcuni fornitori rientrano nell'ambito a prescindere dalle dimensioni, come i fornitori di telecomunicazioni, di servizi fiduciari, di domini di primo livello e di DNS. Gli Stati membri possono individuare altri soggetti.

Art. 2 e 3 NIS 2 · Raccomandazione 2003/361/CE

Soggetti essenziali e importanti

La direttiva divide le aziende che rientrano nell'ambito in due gruppi. Le dimensioni si calcolano secondo la raccomandazione 2003/361/CE; possono contare anche le imprese collegate e associate.

Gli obblighi sono gli stessi per entrambi i gruppi. Cambia la vigilanza: l'autorità può ispezionare i soggetti essenziali senza un motivo specifico, i soggetti importanti a posteriori quando ci sono indizi di una violazione (Art. 32 e 33 NIS 2).

Cosa si applica in caso di violazioni

La direttiva chiede a ogni paese di prevedere sanzioni con un massimo di almeno 10 milioni di euro o il 2 per cento del fatturato mondiale (soggetti essenziali), e 7 milioni di euro o l'1,4 per cento per i soggetti importanti, a seconda di quale importo sia più alto.

La legge tedesca fissa i limiti massimi a 10 e 7 milioni di euro. Lì una percentuale del fatturato entra in gioco solo sopra i 500 milioni di euro di fatturato (§ 65 BSIG).

Per i soggetti essenziali, a una persona della direzione può essere vietato temporaneamente, come ultima risorsa, di esercitare funzioni dirigenziali. Per i soggetti importanti la direttiva non lo prevede.

Al nostro ultimo controllo, ad agosto 2026, il BSI non aveva pubblicato alcuna sanzione in base al nuovo BSIG.

Art. 32(5) e Art. 34 NIS 2 · § 65 BSIG

Cosa è cambiato rispetto alla NIS 1

Con la prima direttiva NIS, gli Stati membri decidevano in gran parte da sé quali operatori erano coperti. Con la NIS2 decidono il settore e le dimensioni, e le aziende verificano da sé se rientrano nell'ambito.

Tra le novità ci sono altri settori, scadenze di notifica fisse in tre fasi, gli obblighi della direzione e un elenco minimo di dieci aree che comprende la catena di approvvigionamento.

Art. 2, 20, 21, 23 e 44 NIS 2

In Germania e negli altri paesi dell'UE

In Germania la NIS2 si applica tramite il NIS2UmsuCG, che ha riscritto la legge sul BSI. È entrata in vigore il 6 dicembre 2025. L'autorità competente è il BSI. Lì il soggetto essenziale si chiama “besonders wichtige Einrichtung” (soggetto particolarmente importante).

Negli altri paesi dell'UE si applica la legge nazionale, nei Paesi Bassi per esempio la Cyberbeveiligingswet. È competente il paese in cui la tua azienda è stabilita.

Art. 26 NIS 2 · BGBl. 2025 I n. 301

Cosa significa per un'azienda con 50-150 dipendenti

In uno dei 18 settori, un'azienda così è di solito un soggetto importante. A queste dimensioni è essenziale solo in via eccezionale: in un settore dell'allegato I con più di 50 milioni di euro di fatturato e più di 43 milioni di euro di totale di bilancio, come fornitore di telecomunicazioni, o se il paese la individua come tale.

Ha gli stessi quattro obblighi di una grande azienda. Ma le misure devono essere approfondite solo quanto richiedono rischio, dimensioni e costi.

L'autorità ispeziona un soggetto importante solo quando ci sono indizi di una violazione.

Art. 3, 21(1) e 33 NIS 2