Il nuovo obbligo di sicurezza IT per le aziende tedesche
Se hai cercato 'IT Sicherheitspflicht', stai cercando NIS2. Da dicembre 2025, il BSIG revisionato rende la cybersicurezza un obbligo di legge per circa 29.500 aziende tedesche.
NIS2 è l'obbligo di sicurezza IT di cui hai sentito parlare
In Germania non esiste alcuna 'legge sull'obbligo di sicurezza IT' a sé stante. Ciò che esiste è la Direttiva NIS2 (UE 2022/2555), trasposta nel diritto tedesco tramite il NIS2UmsuCG, che ha riformato la legge federale sulla cybersicurezza (BSIG). Questa è la legge che crea obblighi vincolanti di sicurezza IT per le aziende nei settori elencati negli Allegati 1 e 2 del BSIG.
Il BSIG è entrato in vigore il 6 dicembre 2025. Richiede alle aziende interessate di implementare 10 specifiche misure di gestione del rischio di cybersicurezza (Sezione 30 BSIG), di registrarsi presso il BSI, di segnalare gli incidenti significativi entro termini rigorosi e di mettere in sicurezza la propria catena di approvvigionamento. Ai sensi della Sezione 38 BSIG, la direzione deve attuare e sorvegliare le misure ed è responsabile verso l'azienda dei danni che causa per colpa.
Se la tua azienda ha 50 o più dipendenti, oppure supera i 10 milioni di euro sia di fatturato annuo sia di totale di bilancio, e opera in uno dei settori elencati negli Allegati 1 e 2 del BSIG, questi obblighi si applicano a te fin da ora. Il termine di registrazione era il 6 marzo 2026.
Settore
La tua azienda offre beni o servizi a pagamento in uno dei settori elencati negli Allegati 1 e 2 del BSIG: energia, trasporti, finanza, sanità, acqua, infrastruttura digitale (inclusi servizi IT e di sicurezza gestiti), spazio, servizi postali e corrieri, rifiuti, prodotti chimici, alimentare, manifattura, servizi digitali, ricerca.
Numero di dipendenti
Hai 50 o più dipendenti. Ciò segue la definizione UE di PMI e include tutti i dipendenti dell'intero gruppo, non solo l'entità tedesca. Eccezione: le imprese partner o collegate non si sommano se il tuo IT funziona in modo indipendente dal loro (§ 28 Abs. 4 BSIG). I dipendenti a tempo parziale contano in proporzione.
Fatturato annuo
Il tuo fatturato annuo supera i 10 milioni di euro E il tuo totale di bilancio supera i 10 milioni di euro. Se superi la soglia dei dipendenti OPPURE quella finanziaria, rientri nell'ambito.
Servizi critici
Alcuni rientrano nell'ambito indipendentemente dalle dimensioni: operatori di infrastrutture critiche (KRITIS), prestatori di servizi fiduciari, registri dei nomi di dominio di primo livello (TLD) e fornitori di servizi DNS (§ 28 BSIG).
Registrati presso il BSI
Registrati in due passaggi: prima crea un account su Mein Unternehmenskonto (mein-unternehmenskonto.de, usa un certificato di organizzazione ELSTER), poi registrati nel portale del BSI (portal.bsi.bund.de). Questo è un obbligo di legge ai sensi della Sezione 33 BSIG con una propria sanzione fino a 500.000 euro. Il portale è attivo da gennaio 2026, e il termine era il 6 marzo 2026. Se l'hai mancato, registrati immediatamente.
Conduci una valutazione del rischio
Identifica i tuoi asset IT critici, valuta i rischi per ciascuno e documenta le decisioni di trattamento. La Sezione 30 BSIG richiede misure di gestione del rischio proporzionate all'esposizione al rischio. Hai bisogno di un inventario degli asset e di una valutazione del rischio strutturata prima di poter implementare le misure.
Implementa 10 misure di sicurezza
La Sezione 30, comma 2, BSIG indica 10 ambiti: 1 analisi del rischio e politiche di sicurezza; 2 gestione degli incidenti; 3 continuità operativa (backup, ripristino, gestione delle crisi); 4 sicurezza della catena di approvvigionamento; 5 sicurezza nell'acquisto, nello sviluppo e nella manutenzione dell'IT, inclusa la gestione delle vulnerabilità; 6 verifica dell'efficacia delle misure; 7 formazione di base e sensibilizzazione; 8 crittografia; 9 sicurezza del personale, controllo degli accessi e gestione degli asset; 10 autenticazione a più fattori e comunicazione protetta. Ogni ambito richiede policy documentate ed evidenze di attuazione.
Imposta la segnalazione degli incidenti
Gli incidenti di cybersicurezza significativi devono essere segnalati al BSI entro 24 ore (allarme tempestivo iniziale), 72 ore (notifica completa) e 1 mese (relazione finale). Definisci cosa significa un incidente significativo per la tua azienda e stabilisci una chiara catena di segnalazione prima che accada qualcosa.
Mantieni la conformità nel tempo
NIS2 non è un progetto una tantum. Mantieni aggiornata la valutazione del rischio quando le cose cambiano, forma regolarmente la direzione (la Sezione 38 BSIG richiede la partecipazione personale; la relazione illustrativa della legge intende 'regolarmente' come almeno ogni tre anni), rivaluta i fornitori e continua a monitorare gli incidenti.
I soggetti essenziali rischiano sanzioni fino a 10 milioni di euro o il 2% del fatturato annuo globale. I soggetti importanti rischiano fino a 7 milioni di euro o l'1,4%. Le sole violazioni di registrazione comportano sanzioni fino a 500.000 euro. Il BSI può ordinare la conformità (§§ 61, 62 BSIG). Per i soggetti particolarmente importanti che ignorano i suoi ordini, l'autorità di settore competente può, come ultima risorsa, sospendere temporaneamente una licenza e interdire temporaneamente i dirigenti inaffidabili (§ 61 Abs. 9 BSIG).
Oltre alle sanzioni, la Sezione 38 BSIG crea una responsabilità personale per la direzione. I dirigenti devono attuare le misure di cybersicurezza, sovrintendere all'attuazione e partecipare regolarmente a formazione. Sono responsabili verso la propria azienda dei danni causati per colpa, secondo le norme di diritto societario della sua forma giuridica.
Domande frequenti
NIS2 è la stessa cosa dell'obbligo di sicurezza IT di cui sento parlare?
Sì. Non esiste una legge separata 'IT Sicherheitspflicht'. NIS2 è la direttiva UE che è stata trasposta nel diritto tedesco come BSIG revisionato tramite il NIS2UmsuCG. Quando si parla di nuovi obblighi di sicurezza IT per le aziende tedesche, si intende questa legge. È in vigore dal 6 dicembre 2025.
Siamo un'azienda manifatturiera di 60 persone. Questo si applica davvero a noi?
Molto probabilmente sì. Il manifatturiero è elencato nell'Allegato II di NIS2 (che copre la produzione di dispositivi medici, elettronica, apparecchiature elettriche, macchinari, autoveicoli e altre attrezzature di trasporto). Con 60 dipendenti, superi la soglia dei 50 dipendenti. Saresti classificato come 'soggetto importante' ai sensi della Sezione 28(2) BSIG, e tutti gli obblighi NIS2 si applicano.
Il termine di registrazione è scaduto. Cosa dovremmo fare?
Registrati immediatamente. Prima crea un account su Mein Unternehmenskonto (mein-unternehmenskonto.de), poi registrati nel portale del BSI (portal.bsi.bund.de), che accetta ancora registrazioni. Una registrazione tardiva è meglio di nessuna registrazione. La sanzione per la mancata registrazione è fino a 500.000 euro (§ 65 BSIG).
Il nostro fornitore IT esterno può gestire la conformità NIS2 per noi?
Possono aiutare a implementare le misure tecniche, ma l'obbligo di legge resta in capo alla tua azienda, anche se il tuo IT è interamente esternalizzato. Lo afferma il BSI nelle sue FAQ sulla NIS-2: devi assicurarti che i tuoi fornitori attuino le misure, controllarle regolarmente e fare in modo che gli incidenti siano segnalati. La tua direzione resta responsabile ai sensi della Sezione 38 BSIG di attuare e sorvegliare le misure. Devi documentare cosa fa il tuo fornitore IT, verificare le sue misure di sicurezza e includerlo nel tuo processo di gestione dei fornitori.
Quanto costa la conformità NIS2 per un'azienda mid-market?
Dipende da ciò che hai già. La legge chiede misure adeguate alla tua dimensione e al tuo rischio, e il costo di attuarle è uno degli elementi considerati (§ 30 Abs. 1 BSIG).
In pratica
Dove compare nel percorso guidato
Il percorso guidato ne fa dei passi da compilare, con la legge spiegata accanto a ciascuno. Apri un passo per vedere la sua schermata, compilata per un'azienda di fantasia.
Il percorso è in tedesco e in inglese.
Risk Management
Decide how you rate risks
We recommend a ready-made risk assessment method.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
