Stato della NIS 2 in Francia
Cosa richiede la direttiva, come la Francia la recepisce e dove si colloca l'ANSSI all'interno del quadro.
Panoramica
La direttiva NIS 2 è il livello UE. Vincola ogni Stato membro, Francia inclusa, con un'unica base di cybersicurezza per le entità essenziali e importanti. La Francia deve trasporre questa base nel diritto francese e gestire un regime di vigilanza al di sotto di essa.
La Francia non ha ancora recepito la NIS 2. Il recepimento è un disegno di legge del governo, il projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, che riguarda la NIS 2, la direttiva sulle entità critiche e il DORA. Il Senato lo ha adottato il 12 marzo 2025 e una commissione speciale dell'Assemblée nationale il 10 settembre 2025. La discussione in aula all'Assemblée è fissata per il 7 ottobre 2026. La Commissione ha deferito la Francia alla Corte di giustizia dell'UE l'8 luglio 2026 per il mancato recepimento della NIS 2 e ha chiesto sanzioni pecuniarie. Il disegno di legge si sovrappone all'esistente regime OIV (Opérateurs d'Importance Vitale) e al regime OSE della NIS 1 (Opérateurs de Services Essentiels) anziché sostituirli del tutto.
L'ANSSI (Agence nationale de la sécurité des systèmes d'information) gestisce il CSIRT nazionale ed è l'autorità nazionale ai sensi del disegno di legge. Offre una preregistrazione volontaria su messervices.cyber.gouv.fr/nis2 (in precedenza MonEspaceNIS2); la registrazione diventa un obbligo solo con l'adozione della legge. I regolatori settoriali restano coinvolti per i settori che ne avevano già uno, in particolare il settore finanziario, dove il DORA opera come lex specialis.
Direttiva UE
Direttiva (UE) 2022/2555 (NIS 2)
La direttiva sulla cybersicurezza valida in tutta l'UE. Stabilisce gli obblighi che ogni Stato membro deve recepire, inclusi i test dimensionali e settoriali per le entità essenziali e importanti.
Attuazione UE
Regolamento di esecuzione (UE) 2024/2690 della Commissione
Misure tecniche e metodologiche per i fornitori di infrastrutture digitali. Direttamente applicabile in Francia senza recepimento nazionale.
Recepimento francese (disegno di legge)
Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité
Il disegno di legge del governo che recepirà la NIS 2, insieme alla direttiva sulle entità critiche e al DORA. Il Senato lo ha adottato il 12 marzo 2025; la discussione in aula all'Assemblée nationale è fissata per il 7 ottobre 2026. Il Titolo I del disegno di legge riscrive nel Code de la défense le norme sugli operatori critici; il Titolo II contiene la NIS 2 come articoli della nuova legge, con l'ANSSI come autorità nazionale. I decreti di attuazione e gli orientamenti dell'ANSSI completeranno il dettaglio operativo.
Il disegno di legge su resilienza e cybersicurezza
Porterà gli obblighi della NIS 2 nel diritto francese una volta adottato; non è ancora legge. Il disegno di legge definisce due categorie, entités essentielles (EE) ed entités importantes (EI), i poteri di vigilanza dell'ANSSI, gli obblighi di notifica degli incidenti e le sanzioni. La maggior parte del dettaglio operativo è delegata ai décrets d'application.
L'ANSSI come autorità di vigilanza e CSIRT
Ai sensi del disegno di legge, l'ANSSI gestisce la vigilanza e gli audit e deferisce le violazioni a una commissione sanzioni (commission des sanctions), che irroga le sanzioni pecuniarie. Gestisce inoltre il CSIRT nazionale e la preregistrazione volontaria su messervices.cyber.gouv.fr/nis2 (in precedenza MonEspaceNIS2). I regolatori settoriali come l'ACPR per il settore finanziario conservano la propria competenza ove si applichi la lex specialis.
Registrazione e notifica
La direttiva richiedeva che le entità fossero identificabili dagli Stati membri a partire dal 17 aprile 2025. La Francia non ha ancora alcun obbligo di registrazione: l'ANSSI offre una preregistrazione volontaria su messervices.cyber.gouv.fr/nis2 (in precedenza MonEspaceNIS2) e la registrazione diventa un obbligo solo con l'adozione della legge. Una volta applicabile, gli incidenti significativi seguono la cadenza della direttiva di preallarme entro 24 ore, notifica entro 72 ore e relazione finale entro un mese.
All'interno della Francia si applica il diritto locale
Le entità stabilite in Francia seguiranno il recepimento francese una volta adottato. Un Geschäftsführer tedesco che gestisce una controllata francese leggerà la legge francese per quella controllata, non il BSIG tedesco. Gli obblighi della direttiva sono gli stessi; la procedura, il portale e le sanzioni risiederanno nel diritto francese.
La Francia non può scendere sotto la base dell'UE
La direttiva è uno strumento di armonizzazione minima. La Francia può essere più severa, e storicamente lo è stata tramite il regime OIV. Non può scendere al di sotto della direttiva sugli obblighi delle entità essenziali e importanti, sui termini di notifica degli incidenti o sulla responsabilità dell'organo di gestione.
ANSSI
CSIRT nazionale e, ai sensi del disegno di legge, autorità nazionale. Gestisce la preregistrazione volontaria NIS 2 su messervices.cyber.gouv.fr/nis2 (in precedenza MonEspaceNIS2), emana orientamenti e conduce audit. Ai sensi del disegno di legge, l'ANSSI esercita la vigilanza e deferisce le violazioni a una commissione sanzioni (commission des sanctions), che irroga sanzioni pecuniarie fino a 10 milioni di EUR o al 2 % del fatturato mondiale per i soggetti essenziali e fino a 7 milioni di EUR o all'1,4 % per i soggetti importanti. Detiene la dottrina storica OIV che alimenterà la vigilanza NIS 2.
CNIL
L'autorità francese di protezione dei dati. Non è il regolatore della NIS 2. Resta competente per la notifica delle violazioni di dati personali ai sensi del GDPR. Un incidente NIS 2 che tocca dati personali è spesso una doppia notifica: ANSSI e CNIL.
ENISA
L'agenzia dell'UE per la cybersicurezza. Pubblica orientamenti, gestisce la banca dati europea delle vulnerabilità e supporta il coordinamento transfrontaliero. Non è un'autorità di vigilanza per le entità francesi; lo è l'ANSSI.
Siamo già OIV, quindi la NIS 2 è gestita.
Le classificazioni OIV e OSE ai sensi dell'esistente Code de la défense e del quadro della NIS 1 non si trasferiscono automaticamente come entità essenziali o importanti (EE o EI) ai sensi della NIS 2. Il perimetro è diverso, le soglie settoriali sono diverse e le entità devono verificare il proprio stato rispetto ai nuovi criteri. Molti OIV sono anche entità essenziali NIS 2, ma l'insieme degli obblighi e il canale di notifica cambiano.
La NIS 2 in Francia si applica solo ai grandi operatori.
Il test dimensionale si limita per impostazione predefinita alle imprese medie e grandi, ma la direttiva cattura le piccole entità quando sono l'unico fornitore, quando l'interruzione ha un impatto transfrontaliero o quando il diritto francese le aggiunge. Le pubbliche amministrazioni e alcuni fornitori digitali rientrano a prescindere dalla dimensione. La verifica di applicabilità va fatta caso per caso, non in base alla sola dimensione aziendale.
MonEspaceNIS2 e l'ANSSI accettano solo il francese.
Il portale e gli orientamenti ufficiali sono in primo luogo in francese. Le società madri straniere non dovrebbero presumere di aver bisogno di una traduzione francese completa di ogni politica interna per registrarsi o per presentare una notifica di incidente.
La maggior parte degli operatori francesi equivalenti al Mittelstand che incontriamo tratta ancora la NIS 2 come un'estensione del vecchio regime OIV / OSE. È solo in parte corretto. Ai sensi del disegno di legge, la vigilanza e il canale degli incidenti risiedono all'interno dell'ANSSI come prima, ma l'ambito è più ampio e la sottoscrizione dell'organo di gestione è più gravosa. Una volta applicabile la legge, l'equivalente del Geschäftsführer (président, directeur général, gérant) è personalmente responsabile dell'approvazione della gestione del rischio e della formazione.
La mossa pratica è la stessa di ogni altra parte dell'UE: confermare l'ambito ai sensi della direttiva, preregistrarsi volontariamente presso l'ANSSI (messervices.cyber.gouv.fr/nis2, in precedenza MonEspaceNIS2) e registrarsi una volta adottata la legge, istituire i quattro obblighi continuativi (mantenimento della registrazione, notifica degli incidenti, rischio della catena di approvvigionamento, vigilanza dell'organo di gestione) e documentare il minimo. L'apparato OIV aiuta, ma non sostituisce gli obblighi NIS 2.
- Direttiva (UE) 2022/2555 (NIS 2): EUR-Lex
- Regolamento di esecuzione (UE) 2024/2690 della Commissione
- Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité: Assemblée nationale, dossier legislativo
- Code de la défense, Articles L.1332-1 et suivants (OIV): Légifrance
- ANSSI: Agence nationale de la sécurité des systèmes d'information, sito ufficiale
- Preregistrazione NIS 2 dell'ANSSI: messervices.cyber.gouv.fr/nis2 (in precedenza MonEspaceNIS2)
- ACPR / Banque de France: autorità competente per DORA nel settore finanziario
In pratica
Cosa cambia la legge nazionale, e cosa no
La legge nazionale stabilisce, tra l'altro, dove ti registri e a chi notifichi gli incidenti. Le misure partono dallo stesso elenco minimo in ogni Stato membro (art. 21 NIS 2). Il percorso guidato te le fa affrontare un passo alla volta:
Il percorso è in tedesco e in inglese.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
