Tracker NIS2: a che punto è ogni paese dell'UE con il recepimento
Al 16 ottobre 2026: una legge nazionale NIS2 è in vigore in 24 dei 27 paesi dell'UE. Ancora senza una legge in vigore: Francia, Irlanda e Spagna. Il termine UE per il recepimento era il 17 ottobre 2024. La tabella mostra per ogni paese legge, autorità, CSIRT e stato.
Lo stato in ogni paese dell'UE
Per ogni paese, la legge nazionale, l'autorità principale, il CSIRT nazionale e lo stato. Dove un paese ha una sua pagina, il nome rimanda a quella.
| Paese | Legge nazionale | Autorità competente | CSIRT nazionale | Stato |
|---|---|---|---|---|
ATAustria | NISG 2026 (BGBl. I Nr. 94/2025); NISV 2026 (BGBl. II Nr. 290/2026) Il NISG originario (BGBl. I Nr. 111/2018) recepiva NIS 1; sostituito dal NISG 2026 (BGBl. I Nr. 94/2025), in vigore dal 1° ottobre 2026. | Bundesamt für Cybersicherheit | GovCERT (public administration, run by the Bundesamt für Cybersicherheit), HealthCERT (health sector), national CSIRT (all other sectors), under §§ 8 to 11 NISG 2026 | In vigore |
BEBelgio | NIS2 Law (Loi NIS2) Uno dei primi Stati membri a recepire. Entrata in vigore il 18 ottobre 2024. | CCB (Centre for Cybersecurity Belgium) | CERT.be (under CCB) | In vigore |
BGBulgaria | Cybersecurity Act (amended) | Ministry of Innovation and Digital Transformation (formerly Ministry of e-Government) / State e-Government Agency | CERT Bulgaria | In vigore |
CZCechia | Zákon č. 264/2025 Sb. o kybernetické bezpečnosti La precedente legge sulla cibersicurezza (Zákon č. 181/2014 Sb.) recepiva NIS 1. È stata sostituita dalla legge 264/2025 Sb., in vigore dal 1° novembre 2025. | NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost) | GovCERT.CZ (NÚKIB), CSIRT.CZ | In vigore |
CYCipro | Law on Security of Networks and Information Systems (Amendment) 2025 | DSA (Digital Security Authority) | CSIRT-CY | In vigore |
HRCroazia | Zakon o kibernetičkoj sigurnosti Adottato nel 2024. Modello di vigilanza settoriale. | NHCSC-HR (National Cybersecurity Center) | CERT.hr (CARNet) | In vigore |
LOV nr 434 af 06/05/2025 (NIS 2-loven) La Danimarca utilizza un modello di vigilanza settoriale. Il CFCS, che gestisce il CSIRT nazionale, fa parte di SAMSIK dal 29 gennaio 2025. | SAMSIK (Styrelsen for Samfundssikkerhed) | CFCS (Centre for Cyber Security) | In vigore | |
EEEstonia | Küberturvalisuse seadus L'Estonia ha recepito rapidamente tramite una modifica della sua legge sulla cibersicurezza del 2018. | RIA (Riigi Infosüsteemi Amet) | CERT-EE (within RIA) | In vigore |
Kyberturvallisuuslaki (124/2025) Legge di recepimento Kyberturvallisuuslaki (124/2025) in vigore dall'8 aprile 2025. | Traficom + sector authorities (NCSC-FI as national CSIRT) | NCSC-FI (Kyberturvallisuuskeskus, within Traficom) | In vigore | |
FRFrancia | Loi Résilience (bundles NIS2 + DORA + CER) Sovrapposto al regime OIV / OSE esistente previsto dal Code de la défense. Registrazione tramite MonEspaceNIS2. L'Assemblée nationale ha ritirato il disegno di legge di recepimento dalle sedute pubbliche del 7 e 9 ottobre 2026; non è stata fissata una nuova data (prossima Conférence des présidents il 20 ottobre 2026). | ANSSI (Agence nationale de la sécurité des systèmes d'information) | CERT-FR (ANSSI) | Adottata o in iter legislativo |
DEGermania | NIS2UmsuCG / BSIG La Germania ha mancato il termine UE del 17 ottobre 2024. La Commissione ha avviato una procedura di infrazione a maggio 2025. | BSI (Bundesamt für Sicherheit in der Informationstechnik) | CERT-Bund (BSI) | In vigore |
GRGrecia | Law No. 5160/2024 | NCSA (National Cyber Security Authority) | GR-CERT (within NCA) | In vigore |
IEIrlanda | National Cyber Security Bill (draft) Progetto di legge in iter legislativo presso le Houses of the Oireachtas; deferimento alla CGUE l'8 luglio 2026. | NCSC (National Cyber Security Centre) | NCSC-IE | In preparazione |
ITItalia | D.Lgs. 138/2024 Entrata in vigore il 16 ottobre 2024. Uno dei pochi Stati membri ad aver rispettato il termine UE. | ACN (Agenzia per la Cybersicurezza Nazionale) | CSIRT Italia (within ACN) | In vigore |
LVLettonia | Nacionālās kiberdrošības likums La Lettonia ha adottato nel 2024 la legge nazionale sulla cibersicurezza, recependo NIS 2. | NCSC (Nacionālais kiberdrošības centrs, Ministry of Defence) / CERT.LV | CERT.LV | In vigore |
LTLituania | Kibernetinio saugumo įstatymas La Lituania ha adottato l'atto di recepimento alla fine del 2024. | NKSC (National Cybersecurity Center) | CERT-LT (within NKSC) | In vigore |
Loi du 5 mai 2026 relative à des mesures visant à assurer un niveau élevé de cybersécurité | ILR (Institut Luxembourgeois de Régulation) | CIRCL (Computer Incident Response Center Luxembourg) | In vigore | |
MTMalta | Legal Notice 71/2025, amended by Legal Notice 89/2026 (S.L. 460.41) | CIPD (Critical Infrastructure Protection Department) | CSIRTMalta | In vigore |
Cyberbeveiligingswet (Cbw), Stb. 2026, 187; Cyberbeveiligingsbesluit, Stb. 2026, 189 Cbw pubblicata il 10 luglio 2026 (Stb. 2026, 187), in vigore dal 15 agosto 2026. Sostituisce la Wbni (recepimento NIS 1). | NCSC-NL (since 1 Jan 2026 merged with DTC and CSIRT-DSP into "versterkt NCSC", SPOC + national CSIRT) + RDI (Rijksinspectie Digitale Infrastructuur, horizontal supervisor) | NCSC-NL | In vigore | |
PLPolonia | Amended KSC Act (ustawa o KSC) Modifica della legge sul sistema nazionale di cibersicurezza (Ustawa o KSC) in vigore dal 3 aprile 2026. L'auto-registrazione nel registro si è chiusa il 3 ottobre 2026. | Ministry of Digital Affairs / CSIRTs | CSIRT NASK, CSIRT GOV, CSIRT MON | In vigore |
Decreto-Lei n.º 125/2025 | CNCS (Centro Nacional de Cibersegurança) + CERT.PT | CERT.PT (within CNCS) | In vigore | |
RORomania | Emergency Ordinance No. 155/2024; Laws No. 52/2025 & No. 124/2025 La Romania ha recepito tramite l'OUG 155/2024 nel dicembre 2024. | DNSC (Directoratul Național de Securitate Cibernetică) | DNSC CSIRT | In vigore |
Zákon o kybernetickej bezpečnosti | NBÚ (Národný bezpečnostný úrad) | SK-CERT (within NBÚ) | In vigore | |
SISlovenia | ZInfV-1 (Information Security Act) | URSIV (Information Security Agency) | SI-CERT | In vigore |
ESSpagna | - La Spagna applica un modello a due CSIRT. Vigilanza settoriale tramite il vigente Real Decreto 43/2021 (NIS 1). | CCN-CERT / INCIBE | CCN-CERT (public sector), INCIBE-CERT (private sector) | In preparazione |
SESvezia | Cybersäkerhetslagen (SFS 2025:1506) | NCSC (Nationellt cybersäkerhetscenter, at the FRA) + CERT-SE | CERT-SE (within the NCSC at the FRA since 1 July 2026) | In vigore |
HUUngheria | Act LXIX of 2024 (Hungarian Cybersecurity Act) L'Ungheria ha recepito presto tramite la legge XXIII del 2023. Sovrapposto con la SZTFH come autorità di vigilanza sulla cibersicurezza. | SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága) | National Cyber Defence Institute (NBSZ) | In vigore |
Entrate in vigore più di recente
I paesi la cui legge è entrata in vigore più di recente, a partire dalla più nuova.
- Austria: in vigore dal 1 ottobre 2026
- Paesi Bassi: in vigore dal 15 agosto 2026
- Lussemburgo: in vigore dal 10 maggio 2026
- Polonia: in vigore dal 3 aprile 2026
- Portogallo: in vigore dal 3 aprile 2026
Perché i paesi sono a punti diversi
La NIS2 è una direttiva. Si rivolge agli Stati membri. Ogni paese dell'UE deve recepirla nel proprio diritto.
Il termine per farlo era il 17 ottobre 2024. Molti paesi sono arrivati dopo. Per questo la Commissione europea ha avviato procedure contro diversi paesi e ne ha deferiti alcuni alla Corte di giustizia dell'UE.
Gli obblighi per le aziende nascono solo con la legge nazionale. Fino ad allora in un paese possono continuare ad applicarsi regole più vecchie della prima direttiva NIS.
Art. 41(1) NIS 2
Cosa significa per un'azienda con 50-150 dipendenti
Per la tua azienda conta soprattutto il paese in cui è stabilita. Se è stabilita solo in Germania, ti si applica la legge sul BSI, dal 6 dicembre 2025.
Il tracker è utile se hai controllate o stabilimenti in altri paesi dell'UE. Lì decide la legge di quel paese se e da quando si applicano obblighi.
Una legge in vigore non significa che tutte le scadenze siano già passate. Ogni paese fissa la propria scadenza per la registrazione.
Quale paese è competente per la tua aziendaUn esempio
Un'azienda inventata: un produttore di macchine per l'imballaggio con 110 dipendenti in Germania, un proprio stabilimento in Polonia e una società commerciale in Irlanda.
La GmbH tedesca: la costruzione di macchinari figura nell'allegato 2 del BSIG e con 110 dipendenti è un soggetto importante. Si registra presso il BSI.
Lo stabilimento in Polonia è una società a sé. Se il tracker mostra una legge in vigore per la Polonia, l'azienda verifica se lo stabilimento rientra nell'ambito della legge polacca ed entro quando deve registrarsi lì.
La società commerciale in Irlanda non produce nulla. Se rientra nella NIS2 dipende da ciò che fa. Se il tracker non mostra ancora una legge in vigore per l'Irlanda, lì non nascono ancora obblighi da una legge NIS2 irlandese.
L'azienda consulta il tracker una volta a trimestre. L'intervallo l'ha scelto da sé.
Come lo fa il percorso guidato
Il percorso guidato su nisd2.eu usa gli stessi dati di questa tabella.
Il passo della registrazione mostra l'autorità competente per il tuo paese e il suo portale, dallo stesso elenco di questa pagina.
Spiega in quale paese dell'UE ti registri, con le eccezioni per le telecomunicazioni e i fornitori digitali.
Le misure di sicurezza seguono l'elenco minimo della direttiva, che vale in ogni paese dell'UE.
Le spiegazioni del percorso guidato sono disponibili in tedesco e in inglese.
Pagine sui singoli paesi
Bundesamt für Cybersicherheit
CCB (Centre for Cybersecurity Belgium)
Ministry of Innovation and Digital Transformation (formerly Ministry of e-Government) / State e-Government Agency
NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost)
DSA (Digital Security Authority)
NHCSC-HR (National Cybersecurity Center)
SAMSIK (Styrelsen for Samfundssikkerhed)
RIA (Riigi Infosüsteemi Amet)
Traficom + sector authorities (NCSC-FI as national CSIRT)
ANSSI (Agence nationale de la sécurité des systèmes d'information)
NCSA (National Cyber Security Authority)
NCSC (National Cyber Security Centre)
ACN (Agenzia per la Cybersicurezza Nazionale)
NCSC (Nacionālais kiberdrošības centrs, Ministry of Defence) / CERT.LV
NKSC (National Cybersecurity Center)
ILR (Institut Luxembourgeois de Régulation)
CIPD (Critical Infrastructure Protection Department)
NCSC-NL (since 1 Jan 2026 merged with DTC and CSIRT-DSP into "versterkt NCSC", SPOC + national CSIRT) + RDI (Rijksinspectie Digitale Infrastructuur, horizontal supervisor)
Ministry of Digital Affairs / CSIRTs
CNCS (Centro Nacional de Cibersegurança) + CERT.PT
DNSC (Directoratul Național de Securitate Cibernetică)
NBÚ (Národný bezpečnostný úrad)
URSIV (Information Security Agency)
CCN-CERT / INCIBE
NCSC (Nationellt cybersäkerhetscenter, at the FRA) + CERT-SE
SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága)
Domande frequenti
Quali paesi hanno recepito la NIS2?
Al 16 ottobre 2026, una legge nazionale NIS2 è in vigore in 24 dei 27 paesi dell'UE. La tabella qui sopra mostra per ogni paese legge, autorità e stato.
Quali paesi non hanno ancora recepito la NIS2?
Al 16 ottobre 2026, non è ancora in vigore una legge nazionale in: Francia, Irlanda e Spagna.
Che cos'è un CSIRT?
Un CSIRT (computer security incident response team) è un gruppo che riceve le notifiche degli incidenti di sicurezza in un paese e aiuta a gestirli. Ogni paese dell'UE ne designa almeno uno (Art. 10 NIS 2). In Germania è il CERT-Bund presso il BSI.
Quanto è aggiornato il tracker?
La tabella è aggiornata al 16 ottobre 2026. Le fonti autorevoli sono la gazzetta ufficiale di ogni paese e la panoramica della Commissione europea, elencate qui sotto.
Fonti
- Direttiva (UE) 2022/2555 (NIS 2), Art. 10 e 41, EUR-Lex
- Commissione europea, stato del recepimento della NIS 2: digital-strategy.ec.europa.eu/en/policies/nis-transposition
- Commissione europea, procedure di infrazione per mancata comunicazione del recepimento (lettere di costituzione in mora 28 novembre 2024, pareri motivati 7 maggio 2025, deferimenti alla Corte di giustizia dell'UE 8 luglio 2026, IP/26/1499)
- Gazzette ufficiali nazionali, come BGBl (DE), Moniteur belge / Belgisch Staatsblad (BE), Gazzetta Ufficiale (IT), BOE (ES), JORF (FR), Sbírka zákonů (CZ)
In pratica
Cosa cambia la legge nazionale, e cosa no
La legge nazionale stabilisce, tra l'altro, dove ti registri e a chi notifichi gli incidenti. Le misure partono dallo stesso elenco minimo in ogni Stato membro (art. 21 NIS 2). Il percorso guidato te le fa affrontare un passo alla volta:
Il percorso è in tedesco e in inglese.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Quanto costa il percorso guidato
4800 € netti all'anno, più IVA
Rimborso entro 30 giorniCon fattura, da pagare entro 30 giorni. Annullamento entro i primi 30 giorni: fattura annullata o rimborso.
Implementazione guidata della NIS 2, passo dopo passo
Una cronologia di modifiche e approvazioni da mostrare alla tua autorità di vigilanza
Scadenze e promemoria per ogni requisito
Questionario di sicurezza per i tuoi fornitori
Esportazione in PDF o CSV in qualsiasi momento
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
