NIS2 in Germania: cosa richiede la legge sul BSI e da quando
La Germania ha recepito la NIS2 con il NIS2UmsuCG. Gli obblighi sono nella nuova legge sul BSI (BSIG) e si applicano dal 6 dicembre 2025. Le aziende che rientrano nell'ambito si registrano presso il BSI, adottano misure di sicurezza e notificano gli incidenti significativi. La loro direzione attua le misure e vigila su di esse.
La legge
La legge di attuazione della NIS 2 e di rafforzamento della cibersicurezza (NIS2UmsuCG) ha riscritto la legge sul BSI. È entrata in vigore il 6 dicembre 2025.
Gli obblighi si applicano da quel giorno. Solo le prove da fornire al BSI hanno date successive.
L'autorità competente è l'Ufficio federale per la sicurezza informatica (BSI).
BGBl. 2025 I n. 301
Le date principali
27 dicembre 2022
La direttiva (UE) 2022/2555 è pubblicata nella Gazzetta ufficiale dell'UE.
16 gennaio 2023
La direttiva entra in vigore.
17 ottobre 2024
Termine dell'UE per il recepimento. La Germania lo ha mancato.
6 dicembre 2025
Entra in vigore il nuovo BSIG. Gli obblighi si applicano subito.
Gennaio 2026
Il BSI apre il suo portale per la registrazione.
6 marzo 2026
Scadenza per la registrazione delle aziende che rientrano nell'ambito da dicembre 2025.
6 dicembre 2028
Non prima di questa data il BSI può chiedere prove ai soggetti essenziali.
Chi rientra nell'ambito
Un'azienda rientra nell'ambito se opera in un settore elencato nell'allegato 1 o 2 del BSIG ed è abbastanza grande.
In quei settori un'azienda è un soggetto importante se ha almeno 50 dipendenti, oppure un fatturato annuo e un totale di bilancio superiori a 10 milioni di euro ciascuno.
Un'azienda in un settore dell'allegato 1 è un soggetto essenziale se ha almeno 250 dipendenti, oppure più di 50 milioni di euro di fatturato e più di 43 milioni di euro di totale di bilancio. Sono soggetti essenziali anche i gestori di impianti critici e alcuni fornitori a prescindere dalle dimensioni, come i prestatori di servizi fiduciari qualificati.
La direttiva UE dice “soggetto essenziale”, il BSIG “besonders wichtige Einrichtung” (soggetto particolarmente importante). Entrambi indicano lo stesso gruppo.
Il BSI offre una verifica dell'ambito di applicazione. Secondo il BSI, il suo risultato non è giuridicamente vincolante.
§ 28 BSIG · Allegati 1 e 2
I quattro obblighi
Registrarsi presso il BSI
Al più tardi tre mesi dopo che la tua azienda rientra nell'ambito, tramite il portale del BSI. Se qualcosa cambia, lo aggiorni entro due settimane.
§ 33 BSIG
Per saperne di piùAdottare misure di sicurezza
Misure in dieci aree, dal piano di risposta agli incidenti al secondo fattore, approfondite quanto richiedono le dimensioni e il rischio della tua azienda. Ciò che attui lo metti per iscritto.
§ 30 BSIG
Per saperne di piùNotificare gli incidenti significativi
In tre fasi all'ufficio di notifica comune del BSI e dell'Ufficio federale per la protezione della popolazione e l'assistenza in caso di catastrofi, la prima entro 24 ore.
§ 32 BSIG
Per saperne di piùLa direzione
Attua le misure, vigila sulla loro attuazione e partecipa regolarmente a una formazione.
§ 38 BSIG
Per saperne di piùCome verifica il BSI
Il BSI può ispezionare i soggetti essenziali, anche con l'aiuto di terzi, e ordinare audit. Può chiedere prove non prima del 6 dicembre 2028.
I soggetti importanti li ispeziona solo se dei fatti fanno ritenere che non rispettino il § 30, il § 32 o il § 38(3) BSIG.
Le sanzioni sono previste dal § 65 BSIG. Per violazioni delle misure e dell'obbligo di notifica, il limite massimo è di 10 milioni di euro per i soggetti essenziali e di 7 milioni di euro per i soggetti importanti.
§§ 61, 62, 65 BSIG
Le sanzioni nel dettaglioCosa significa per un'azienda con 50-150 dipendenti
In un settore dell'allegato 1 o 2, un'azienda così è di solito un soggetto importante.
I quattro obblighi sono gli stessi per i soggetti importanti e per quelli essenziali. Cambia la vigilanza: il BSI ispeziona i soggetti importanti solo se ci sono indizi di una violazione.
Quanto debba essere approfondita ogni misura dipende da rischio, dimensioni e costi. Un'azienda con 80 dipendenti non deve costruire ciò di cui ha bisogno un grande gruppo.
§ 30(1), secondo periodo, BSIG
Un esempio
Un'azienda inventata: un'impresa di gestione dei rifiuti con 75 dipendenti.
La gestione dei rifiuti figura nell'allegato 2 del BSIG. Con 75 dipendenti l'impresa è un soggetto importante.
Per le tasse ha già un certificato di organizzazione ELSTER. Lo usa per accedere al portale del BSI e registrarsi.
Annota con cosa lavora: pianificazione dei giri, pese, fatturazione, localizzazione dei veicoli. Da qui derivano le misure.
Il piano di risposta agli incidenti dice chi notifica un incidente. L'amministratore segue una formazione e approva i documenti.
Come lo fa il percorso guidato
Il percorso guidato su nisd2.eu ti accompagna passo dopo passo negli obblighi del BSIG.
20 passi. I gestori di impianti critici ne hanno uno in più.
Accanto a ogni passo c'è la norma, spiegata con parole semplici.
Registrazione, misure, notifica e formazione della direzione sono passi a sé.
Dalle tue risposte nascono sei documenti, tra cui la politica di sicurezza e i due piani di emergenza.
Alla fine la direzione approva i documenti nell'app, accedendo con il proprio account. Nome e data compaiono poi su ogni documento.
Domande frequenti
Da quando si applica la NIS2 in Germania?
Dal 6 dicembre 2025. In quel giorno è entrata in vigore la nuova legge sul BSI.
Come si chiama la legge tedesca sulla NIS2?
Legge di attuazione della NIS 2 e di rafforzamento della cibersicurezza, in breve NIS2UmsuCG. Soprattutto, ha riscritto la legge sul BSI (BSIG). Gli obblighi delle aziende sono lì, per esempio nei §§ 30, 32, 33 e 38.
Ogni azienda che rientra nell'ambito deve registrarsi presso il BSI?
Sì, ogni soggetto essenziale e ogni soggetto importante, al più tardi tre mesi dopo che rientra nell'ambito (§ 33(1) BSIG). L'obbligo vale senza che il BSI te lo chieda.
Chi verifica l'attuazione?
Il BSI. Può ispezionare i soggetti essenziali; quelli importanti solo se ci sono indizi di una violazione (§§ 61 e 62 BSIG).
Fonti
- Legge sul BSI (BSIG) §§ 28, 30, 32, 33, 38, 61, 62, 65 e allegati 1 e 2, gesetze-im-internet.de/bsig_2025
- NIS2UmsuCG, BGBl. 2025 I n. 301
- Direttiva (UE) 2022/2555 (NIS 2), Art. 41 e 45, EUR-Lex
- BSI: verifica dell'ambito NIS 2, betroffenheitspruefung-nis-2.bsi.de
In pratica
Dove compare nel percorso guidato
Il percorso guidato ne fa dei passi da compilare, con la legge spiegata accanto a ciascuno. Apri un passo per vedere la sua schermata, compilata per un'azienda di fantasia.
Il percorso è in tedesco e in inglese.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Governance & Liability
Get management trained
Every member of management, regularly.
Quanto costa il percorso guidato
4800 € netti all'anno, più IVA
Rimborso entro 30 giorniCon fattura, da pagare entro 30 giorni. Annullamento entro i primi 30 giorni: fattura annullata o rimborso.
Implementazione guidata della NIS 2, passo dopo passo
Una cronologia di modifiche e approvazioni da mostrare alla tua autorità di vigilanza
Scadenze e promemoria per ogni requisito
Questionario di sicurezza per i tuoi fornitori
Esportazione in PDF o CSV in qualsiasi momento
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
