Stato della NIS 2 nei Paesi Bassi
I Paesi Bassi hanno recepito la direttiva UE NIS 2 attraverso la Cyberbeveiligingswet (Cbw). La legge è arrivata in ritardo e si applica dal 15 agosto 2026, senza periodo transitorio.
Panoramica
Il fondamento giuridico è la direttiva UE NIS 2 (2022/2555). Stabilisce la soglia minima per gli obblighi di cybersicurezza in ogni Stato membro. I Paesi Bassi hanno trasferito questa soglia nel diritto nazionale attraverso la Cyberbeveiligingswet (Cbw), che ha sostituito la precedente Wbni (Wet beveiliging netwerk- en informatiesystemen) che aveva attuato la NIS 1.
Il termine di recepimento UE del 17 ottobre 2024 è stato mancato dai Paesi Bassi e dalla maggior parte degli Stati membri, Germania compresa. Il disegno di legge olandese ha attraversato la consultazione pubblica nel 2024, è stato presentato alla Tweede Kamer nel giugno 2025 ed è stato adottato come legge dell'8 luglio 2026 (Staatsblad 2026, 187). La Commissione ha deferito i Paesi Bassi alla Corte di giustizia dell'UE l'8 luglio 2026, un mese prima dell'entrata in vigore della Cbw il 15 agosto 2026.
La Cbw e il suo decreto di attuazione, il Cyberbeveiligingsbesluit (Staatsblad 2026, 189), sono entrati in vigore il 15 agosto 2026 senza periodo transitorio, rispecchiando il modo in cui la Germania ha gestito il BSIG. La Cbw adottata, insieme alla direttiva UE, è ora il riferimento per definire l'ambito del lavoro.
Direttiva UE
Direttiva (UE) 2022/2555 relativa a misure per un livello comune elevato di cybersicurezza nell'Unione (NIS 2).
Stabilisce gli obblighi di gestione del rischio (art. 21), la segnalazione degli incidenti (art. 23), la responsabilità dell'organo di gestione (art. 20) e la registrazione dei soggetti (Art. 3(4)). Gli Stati membri devono recepire nel diritto nazionale ma non possono scendere al di sotto della soglia minima.
Regolamento di esecuzione dell'UE
Regolamento di esecuzione (UE) 2024/2690 della Commissione del 17 ottobre 2024 (CIR).
Specifica in dettaglio come si configurano le misure dell'art. 21 per i fornitori di servizi DNS, i registri dei nomi di dominio di primo livello (TLD), i fornitori di cloud, data center e reti di distribuzione di contenuti, i fornitori di servizi gestiti (managed service provider) e di servizi di sicurezza gestiti, i mercati online, i motori di ricerca, le reti sociali e i prestatori di servizi fiduciari. Direttamente applicabile nei Paesi Bassi senza ulteriore atto nazionale.
Recepimento olandese
Cyberbeveiligingswet (Cbw), legge dell'8 luglio 2026 (Staatsblad 2026, 187), in vigore dal 15 agosto 2026; ha sostituito la Wbni.
La Cbw assegna i ruoli di vigilanza e CSIRT, definisce i soggetti essenziali e importanti per i Paesi Bassi e aggiunge specificità nazionali quali tariffe, procedure di designazione e passaggi di competenza settoriale. Il suo decreto di attuazione, il Cyberbeveiligingsbesluit (Staatsblad 2026, 189), è entrato in vigore insieme ad essa il 15 agosto 2026.
Cyberbeveiligingswet (Cbw)
Recepisce la NIS 2 nel diritto olandese e si applica dal 15 agosto 2026. Definisce i soggetti essenziali (essentiële) e importanti (belangrijke), stabilisce i poteri di vigilanza, le sanzioni e le procedure di segnalazione degli incidenti, e integra il CIR dell'UE per rinvio.
RDI, regolatori settoriali, NCSC-NL
La vigilanza è suddivisa per settore: la Rijksinspectie Digitale Infrastructuur (RDI) per l'infrastruttura digitale, i fornitori digitali, la gestione dei servizi ICT, l'energia e la pubblica amministrazione; l'ILT per trasporti, acqua e prodotti chimici; la DNB per le banche; l'AFM per le infrastrutture dei mercati finanziari; la NVWA per gli alimenti. L'NCSC è il CSIRT per la maggior parte dei settori.
Termine UE mancato, registrazione tramite il portale olandese
Il termine UE del 17 ottobre 2024 è trascorso senza il recepimento olandese. Dal 15 agosto 2026 i soggetti rientranti nell'ambito devono registrarsi nel registro nazionale dei soggetti su MijnNCSC (mijn.ncsc.nl), accedendo con eHerkenning, e comunicare le modifiche senza ritardo ed entro due settimane. Gli incidenti significativi vanno segnalati sia al CSIRT sia all'autorità di vigilanza entro 24 ore (preallarme) e 72 ore (notifica completa), in linea con l'art. 23 NIS 2.
Il diritto nazionale segue lo stabilimento
Un soggetto ricade sotto il diritto del Paese in cui è stabilito. Solo alcuni fornitori digitali (cloud, data center, fornitori di servizi gestiti, mercati online e simili) ricadono sotto il Paese del loro stabilimento principale nell'UE, e i fornitori di comunicazioni elettroniche ricadono sotto ciascun Paese in cui forniscono i loro servizi (art. 26, par. 1, NIS 2).
La direttiva è la soglia minima, mai il limite massimo
La Cbw non può scendere al di sotto della NIS 2. Può essere più rigorosa sulle specificità nazionali (procedure di designazione, tariffe, elenchi settoriali). Per le misure di gestione del rischio e la segnalazione degli incidenti, il testo UE e il CIR fissano la sostanza; l'atto olandese aggiunge l'involucro procedurale.
Rijksinspectie Digitale Infrastructuur (RDI)
Autorità di vigilanza per l'infrastruttura digitale, i fornitori digitali, la gestione dei servizi ICT, l'energia, lo spazio, i servizi postali, la manifattura e la pubblica amministrazione. L'autorità competente per legge è il ministro responsabile. Succede all'Agentschap Telecom; opera sotto il Ministero degli Affari economici.
NCSC-NL (Nationaal Cyber Security Centrum)
CSIRT nazionale sotto il Ministero della Giustizia e della Sicurezza. Riceve le notifiche di incidente ai sensi dell'art. 23, gestisce le segnalazioni settoriali e si coordina con ENISA e con gli altri CSIRT nazionali. Dal 1° gennaio 2026 il Digital Trust Center fa parte dell'NCSC, che è ora il punto di contatto unico per la resilienza digitale e il CSIRT per la maggior parte dei settori della Cbw. Gestisce il registro dei soggetti su MijnNCSC.
ENISA
Emana orientamenti a livello UE e relazioni tecniche di attuazione. Non è un'autorità di regolamentazione dei soggetti olandesi. La sua Technical Implementation Guidance sul CIR (con tabelle di corrispondenza verso la ISO 27001) è scritta per i fornitori digitali che il CIR copre; gli altri soggetti possono usarla come riferimento.
La NIS 2 olandese rispecchia il BSIG tedesco punto per punto.
Entrambi recepiscono la stessa direttiva, ma i testi differiscono. I Paesi Bassi mantengono un modello di regolatore settoriale più forte e usano la RDI come vigilante orizzontale; la Germania incanala quasi tutto attraverso il BSI. I livelli sanzionatori, le modalità di registrazione e gli obblighi di formazione della direzione sono scritti in modo diverso. Leggete la Cbw secondo i suoi propri termini, non come una traduzione del BSIG.
Non c'è ancora un obbligo di registrazione olandese, quindi possiamo aspettare.
L'Art. 3(4) NIS 2 impone a ogni Stato membro di tenere un registro e ai soggetti di fornire i propri dati. Nei Paesi Bassi la registrazione è obbligatoria dal 15 agosto 2026, senza periodo di tolleranza: i soggetti rientranti nell'ambito si registrano nel registro nazionale dei soggetti su MijnNCSC, tenuto dal ministro della Giustizia e della Sicurezza (art. 43 Cbw). Le modifiche vanno comunicate senza ritardo e comunque entro due settimane dalla data della modifica (art. 44, par. 2, Cbw).
Il mio regolatore settoriale gestisce tutto, la RDI non è rilevante.
La vigilanza ai sensi della Cbw è suddivisa per settore: la DNB per le banche, l'AFM per le infrastrutture dei mercati finanziari, l'ILT per trasporti, acqua e prodotti chimici, la NVWA per gli alimenti e la RDI per l'infrastruttura digitale, l'energia, la pubblica amministrazione e diversi altri settori. Per i soggetti finanziari coperti dal DORA, il DORA agisce come lex specialis in materia di cybersicurezza, ma la registrazione NIS 2 ai sensi dell'Art. 3(4) si applica comunque.
La maggior parte dei soggetti olandesi nell'ambito di applicazione sapeva già che vi sarebbe rientrata. La Cbw si applica dal 15 agosto 2026 senza periodo transitorio, perciò contano ora due cose: la registrazione nel registro dei soggetti su MijnNCSC e qualsiasi comunicazione dell'autorità di vigilanza del proprio settore che chiarisca l'ambito.
Sul piano operativo, ai sensi della Cbw, che recepisce questi articoli UE, si applicano quattro obblighi costanti: governare la sicurezza con responsabilità della direzione (art. 20), attuare misure di gestione del rischio (art. 21), segnalare gli incidenti significativi secondo l'orologio delle 24 ore e delle 72 ore (art. 23) e registrarsi mantenendo la registrazione aggiornata (Art. 3(4)).
- Direttiva (UE) 2022/2555 (NIS 2): EUR-Lex, GU L 333, 27 dicembre 2022
- Regolamento di esecuzione (UE) 2024/2690 della Commissione del 17 ottobre 2024
- Cyberbeveiligingswet (Cbw), legge dell'8 luglio 2026, Staatsblad 2026, 187; Cyberbeveiligingsbesluit, Staatsblad 2026, 189
- Wbni: Wet beveiliging netwerk- en informatiesystemen (recepimento della NIS 1, sostituita dalla Cbw il 15 agosto 2026)
- Rijksinspectie Digitale Infrastructuur (RDI), rdi.nl, informazioni di vigilanza NIS 2
- NCSC-NL, ncsc.nl, notifica degli incidenti e orientamenti del CSIRT
- ENISA, NIS 2 Technical Implementation Guidance, versione 1.0, giugno 2025 (tabella di corrispondenza versione 1.2, settembre 2025)
In pratica
Cosa cambia la legge nazionale, e cosa no
La legge nazionale stabilisce, tra l'altro, dove ti registri e a chi notifichi gli incidenti. Le misure partono dallo stesso elenco minimo in ogni Stato membro (art. 21 NIS 2). Il percorso guidato te le fa affrontare un passo alla volta:
Il percorso è in tedesco e in inglese.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
