Attuazione della NIS2 in Europa: quali paesi hanno recepito la NIS2
Il termine per il recepimento era il 17 ottobre 2024. Oggi una legge nazionale si applica in 24 dei 27 paesi dell'UE. Ancora senza legge: Francia, Spagna e Irlanda. La tua azienda è soggetta alla legge del paese in cui è stabilita; è lì che ti registri.
Autorità, portale e scadenza per paese
Le tabelle sono raggruppate in base allo stato della registrazione. Per ogni paese sono indicate la legge e la scadenza.
22
Operativo
1
Pre-registrazione
0
Pianificato
4
Non ancora disponibile
| Paese | Autorità competente | Portale di registrazione | Scadenza di registrazione | Legge nazionale |
|---|---|---|---|---|
| Germania | BSI (Bundesamt für Sicherheit in der Informationstechnik) | BSI-Portal | 2026-03-06 | NIS2UmsuCG / BSIG |
| Belgio | CCB (Centre for Cybersecurity Belgium) | Safeonweb@Work | 2025-03-18 | NIS2 Law (Loi NIS2) |
| Italia | ACN (Agenzia per la Cybersicurezza Nazionale) | ACN NIS Portal | 2027-02-28 | D.Lgs. 138/2024 |
| Austria | Bundesamt für Cybersicherheit | NIS2 Services (Unternehmensserviceportal) | 2027-01-04 | NISG 2026 (BGBl. I Nr. 94/2025); NISV 2026 (BGBl. II Nr. 290/2026) |
| Repubblica Ceca | NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost) | Portál NÚKIB | 2025-12-31 | Zákon č. 264/2025 Sb. o kybernetické bezpečnosti |
| Danimarca | SAMSIK (Styrelsen for Samfundssikkerhed) | Virk | 2025-10-01 | LOV nr 434 af 06/05/2025 (NIS 2-loven) |
| Paesi Bassi | NCSC-NL (since 1 Jan 2026 merged with DTC and CSIRT-DSP into "versterkt NCSC", SPOC + national CSIRT) + RDI (Rijksinspectie Digitale Infrastructuur, horizontal supervisor) | MijnNCSC / Entiteitenregister | 2026-08-15 | Cyberbeveiligingswet (Cbw), Stb. 2026, 187; Cyberbeveiligingsbesluit, Stb. 2026, 189 |
| Polonia | Ministry of Digital Affairs / CSIRTs | System S46 | 2026-10-03 | Amended KSC Act (ustawa o KSC) |
| Svezia | NCSC (Nationellt cybersäkerhetscenter, at the FRA) + CERT-SE | Non ancora disponibile | Da definire | Cybersäkerhetslagen (SFS 2025:1506) |
| Croazia | NHCSC-HR (National Cybersecurity Center) | Non ancora disponibile | Da definire | Zakon o kibernetičkoj sigurnosti |
| Lituania | NKSC (National Cybersecurity Center) | Non ancora disponibile | Da definire | Kibernetinio saugumo įstatymas |
| Lettonia | NCSC (Nacionālais kiberdrošības centrs, Ministry of Defence) / CERT.LV | Non ancora disponibile | 2025-04-01 | Nacionālās kiberdrošības likums |
| Grecia | NCSA (National Cyber Security Authority) | NIS2 Register (Εγγραφή Οντοτήτων ν. 5160/2024) | 2025-09-30 | Law No. 5160/2024 |
| Slovacchia | NBÚ (Národný bezpečnostný úrad) | NBÚ NIS2 portal (nis2.nbu.gov.sk) | Da definire | Zákon o kybernetickej bezpečnosti |
| Romania | DNSC (Directoratul Național de Securitate Cibernetică) | NIS2@RO Platform | 2025-09-19 | Emergency Ordinance No. 155/2024; Laws No. 52/2025 & No. 124/2025 |
| Finlandia | Traficom + sector authorities (NCSC-FI as national CSIRT) | Non ancora disponibile | 2025-05-08 | Kyberturvallisuuslaki (124/2025) |
| Estonia | RIA (Riigi Infosüsteemi Amet) | Non ancora disponibile | 2026-03-31 | Küberturvalisuse seadus |
| Portogallo | CNCS (Centro Nacional de Cibersegurança) + CERT.PT | MyCiber | 2026-09-15 | Decreto-Lei n.º 125/2025 |
| Ungheria | SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága) | Non ancora disponibile | Da definire | Act LXIX of 2024 (Hungarian Cybersecurity Act) |
| Lussemburgo | ILR (Institut Luxembourgeois de Régulation) | ILR Guichet (NISS_EE231) | 2026-07-10 | Loi du 5 mai 2026 relative à des mesures visant à assurer un niveau élevé de cybersécurité |
| Malta | CIPD (Critical Infrastructure Protection Department) | Non ancora disponibile | Da definire | Legal Notice 71/2025, amended by Legal Notice 89/2026 (S.L. 460.41) |
| Slovenia | URSIV (Information Security Agency) | Non ancora disponibile | 2025-12-19 | ZInfV-1 (Information Security Act) |
| Paese | Autorità competente | Portale di registrazione | Scadenza di registrazione | Legge nazionale |
|---|---|---|---|---|
| Francia | ANSSI (Agence nationale de la sécurité des systèmes d'information) | MonEspaceNIS2 | Da definire | Loi Résilience (bundles NIS2 + DORA + CER) |
| Paese | Autorità competente | Portale di registrazione | Scadenza di registrazione | Legge nazionale |
|---|---|---|---|---|
| Spagna | CCN-CERT / INCIBE | Non ancora disponibile | Da definire | Non ancora promulgata |
| Bulgaria | Ministry of Innovation and Digital Transformation (formerly Ministry of e-Government) / State e-Government Agency | Non ancora disponibile | Da definire | Cybersecurity Act (amended) |
| Cipro | DSA (Digital Security Authority) | NIS2 Self-Assessment Tool | Da definire | Law on Security of Networks and Information Systems (Amendment) 2025 |
| Irlanda | NCSC (National Cyber Security Centre) | Non ancora disponibile | Da definire | National Cyber Security Bill (draft) |
Quale paese è competente per la tua azienda
È competente lo Stato membro dell'UE in cui la tua azienda è stabilita. È lì che ti registri e lì che notifichi gli incidenti.
Consegnare merci in un paese non lo rende competente. Una controllata in un altro paese dell'UE è stabilita lì; a lei si applica la legge di quel paese.
Ci sono eccezioni per le telecomunicazioni, che rientrano nel paese in cui forniscono i loro servizi, e per alcuni fornitori digitali come cloud, data center e servizi gestiti. Per loro conta lo stabilimento principale nell'UE: il paese in cui vengono prese prevalentemente le decisioni sulla cibersicurezza.
Art. 26(1) e (2) NIS 2
Cosa è uguale ovunque, e cosa no
L'elenco minimo delle misure di sicurezza e le scadenze di notifica, 24 ore, 72 ore e un mese, sono nella direttiva stessa. Ogni paese deve adottarli.
Cambiano l'autorità, il portale, la scadenza per la registrazione e alcuni dettagli. Un paese può adottare regole più severe.
Art. 5, 21 e 23 NIS 2
Cosa significa per un'azienda con 50-150 dipendenti
Se la tua azienda è stabilita solo in Germania, ti si applica la legge sul BSI, anche se consegni in altri paesi.
Se ha controllate in altri paesi dell'UE, verifica per ognuna se rientra nell'ambito in base alla legge di quel paese. Per le dimensioni contano le imprese collegate e associate secondo la raccomandazione 2003/361/CE.
Puoi predisporre le misure in comune. Ogni società deve registrarsi e notificare nel proprio paese.
Un esempio
Un'azienda inventata: un produttore di strumenti di misura con 130 dipendenti in Germania e una società commerciale in Austria con 12 dipendenti.
La fabbricazione di prodotti elettronici e ottici figura nell'allegato 2 del BSIG. La GmbH tedesca è un soggetto importante e si registra presso il BSI.
La società austriaca è una società a sé. Se rientra nell'ambito della legge austriaca dipende dal suo settore e dalle sue dimensioni, contando anche la società madre.
Dalla Germania l'azienda consegna a clienti in Francia e in Italia. Per questo non deve registrarsi in quei paesi.
Come lo fa il percorso guidato
Il percorso guidato su nisd2.eu chiede dove è stabilita la tua azienda e si regola di conseguenza.
Il passo della registrazione mostra l'autorità competente per il tuo paese e il suo portale.
Spiega in quale paese dell'UE ti registri, con le eccezioni per le telecomunicazioni e i fornitori digitali.
Le misure di sicurezza seguono l'elenco minimo della direttiva, che vale in ogni paese dell'UE.
Le spiegazioni del percorso guidato sono disponibili in tedesco e in inglese.
Domande frequenti
Quali paesi hanno recepito la NIS2?
Una legge nazionale si applica in 24 dei 27 paesi dell'UE. Ancora senza legge: Francia, Spagna e Irlanda. Le tabelle qui sopra mostrano per ogni paese legge, autorità, portale e scadenza.
Devo registrarmi in ogni paese in cui consegno?
No. È competente il paese in cui la tua azienda è stabilita (Art. 26(1) NIS 2). Una controllata in un altro paese si registra lì se lì rientra nell'ambito.
Esiste un registro per tutta l'UE?
No. Ogni paese tiene il proprio. Per alcuni fornitori digitali come cloud e data center, anche l'ENISA tiene un registro (Art. 27 NIS 2).
Cosa si applica in un paese che non ha ancora recepito la NIS2?
La direttiva si rivolge agli Stati membri. Gli obblighi per le aziende nascono solo con la legge nazionale. Fino ad allora possono continuare ad applicarsi lì regole più vecchie della prima direttiva NIS.
Fonti
- Direttiva (UE) 2022/2555 (NIS 2), Art. 5, 21, 23, 26, 27 e 41, EUR-Lex
- Raccomandazione 2003/361/CE della Commissione, EUR-Lex
- Leggi, autorità e portali per paese: le informazioni delle autorità nazionali, collegate nelle tabelle
In pratica
Cosa cambia la legge nazionale, e cosa no
La legge nazionale stabilisce, tra l'altro, dove ti registri e a chi notifichi gli incidenti. Le misure partono dallo stesso elenco minimo in ogni Stato membro (art. 21 NIS 2). Il percorso guidato te le fa affrontare un passo alla volta:
Il percorso è in tedesco e in inglese.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Quanto costa il percorso guidato
4800 € netti all'anno, più IVA
Rimborso entro 30 giorniCon fattura, da pagare entro 30 giorni. Annullamento entro i primi 30 giorni: fattura annullata o rimborso.
Implementazione guidata della NIS 2, passo dopo passo
Una cronologia di modifiche e approvazioni da mostrare alla tua autorità di vigilanza
Scadenze e promemoria per ogni requisito
Questionario di sicurezza per i tuoi fornitori
Esportazione in PDF o CSV in qualsiasi momento
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
