NIS2 & NISG 2026: cybersicurezza per soggetti essenziali e importanti
La seconda direttiva UE sulla sicurezza delle reti e dei sistemi informativi obbliga migliaia di aziende in Europa a gestione del rischio, obblighi di notifica e responsabilità personale della direzione. Produce effetti solo tramite il recepimento nazionale — in Austria il NISG 2026, in Germania il NIS2UmsuCG, in Italia il Decreto Legislativo 138/2024.
Una direttiva UE, recepimenti nazionali diversi.
La Direttiva (UE) 2022/2555 ("NIS2") sostituisce la prima direttiva NIS del 2016 ed estende notevolmente il numero di settori interessati: energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile, infrastrutture digitali, pubblica amministrazione e altri. Le organizzazioni interessate sono classificate come soggetti "essenziali" o "importanti" — in base al settore e alla dimensione.
In quanto direttiva, NIS2 non produce di per sé effetti diretti nei confronti delle imprese; diventa vincolante solo attraverso il recepimento nazionale. In Austria ciò avviene tramite la legge sulla sicurezza dei sistemi di rete e informazione 2026 (NISG 2026), in Germania tramite la legge di recepimento della NIS2 e di rafforzamento della cybersicurezza (NIS2UmsuCG), in Italia tramite il Decreto Legislativo 4 settembre 2024, n. 138, recepito tempestivamente rispetto al termine UE. Le tre normative riprendono il nucleo della direttiva, ma differiscono in questioni di dettaglio, scadenze e autorità di vigilanza competente.
Nucleo degli obblighi: misure tecniche e organizzative di gestione del rischio, una cascata di segnalazione scaglionata in caso di incidenti di sicurezza, obbligo di registrazione presso l'autorità nazionale e — spesso citata — la responsabilità personale della direzione per l'attuazione.
Scadenze importanti
La direttiva NIS2 entra in vigore in tutta l'UE
La Direttiva (UE) 2022/2555 entra in vigore venti giorni dopo la pubblicazione nella Gazzetta Ufficiale; termine di recepimento per gli Stati membri: 17.10.2024.
Decreto Legislativo 138/2024 recepisce NIS2 in Italia
L'Italia ha recepito la direttiva NIS2 in modo tempestivo con il Decreto Legislativo 4 settembre 2024, n. 138 — uno dei pochi Stati membri a rispettare il termine UE del 17.10.2024.
Il NIS2UmsuCG entra in vigore senza periodo transitorio
Approvazione del Bundestag 13.11.2025, assenso del Bundesrat 20.11.2025, pubblicazione nella Gazzetta Ufficiale federale 05.12.2025, entrata in vigore il giorno successivo.
Il NISG 2026 entra in vigore
Pubblicato come BGBl. I Nr. 94/2025; le disposizioni centrali entrano in vigore il 01.10.2026.
Termine di registrazione presso l'autorità
I soggetti essenziali e importanti devono registrarsi presso l'autorità competente ai sensi del NISG 2026.
Autodichiarazione / prova di efficacia in scadenza
I soggetti interessati devono autodichiarare l'efficacia delle proprie misure di gestione del rischio. Data soggetta all'interpretazione delle disposizioni transitorie — verificare il testo di legge prima di scadenze vincolanti.
Cosa richiede concretamente NIS2 / NISG.
Misure di gestione del rischio
Dieci misure minime ai sensi dell'art. 21(2) NIS2 — § 30 BSIG in Germania, § 32 NISG 2026 in Austria — dalla crittografia e controllo degli accessi alla sicurezza della supply chain fino alla pianificazione della continuità operativa.
Cascata di segnalazione
Preallarme entro 24 ore, notifica completa dell'incidente entro 72 ore, relazione finale entro un mese dalla presa di conoscenza di un incidente di sicurezza significativo.
Obbligo di registrazione
I soggetti essenziali e importanti devono registrarsi presso l'autorità nazionale e comunicare dati di contatto, settore e sedi.
Responsabilità personale della direzione
La direzione e il consiglio di amministrazione devono attuare le misure ai sensi dell'art. 20 NIS2, vigilare sulla loro attuazione e seguire una formazione periodica — § 38 BSIG in Germania, § 31 NISG 2026 in Austria. Il NISG 2026 austriaco non contiene una norma di responsabilità propria; il § 38(2) BSIG rinvia al diritto societario generale.
Sicurezza della catena di fornitura che si può dimostrare.
Conformità e sicurezza della Sua catena di fornitura — sigillate crittograficamente, verificabili in modo indipendente. L'art. 21(2), lettera d) NIS2 rende obbligatoria la sicurezza della catena di fornitura — e l'art. 21(3) richiede di tenere conto delle vulnerabilità di ciascun fornitore diretto e della qualità delle sue pratiche di cybersicurezza.
Cosa richiede la legge
In Germania, il § 30 Abs. 2 Nr. 4 BSIG richiede «Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern» (la sicurezza della catena di fornitura, compresi gli aspetti relativi alla sicurezza dei rapporti con fornitori o prestatori di servizi diretti). In Austria, il § 32 Abs. 4 lit. d NISG 2026 disciplina lo stesso obbligo — la legge entra in vigore il 1° ottobre 2026. Per i fornitori di infrastrutture digitali (DNS, cloud, data center, CDN, MSP/MSSP e simili), il regolamento di esecuzione (UE) 2024/2690 specifica ulteriormente l'obbligo: un elenco costantemente aggiornato dei fornitori e prestatori di servizi diretti, compresi i punti di contatto e i prodotti e servizi ICT acquistati.
Come ReportAct lo soddisfa
Il registro fornitori tiene traccia di criticità, contratti, paese di origine e flag di concentrazione per ciascun fornitore; i questionari di sicurezza vengono inviati e compilati per fornitore; il controllo «sicurezza della catena di fornitura» viene valutato in modo continuo in base alla completezza della due diligence sui fornitori — e ogni stato viene sigillato crittograficamente.
Dimostrare una volta — valere per più regimi
Lo stesso registro serve la sicurezza della catena di fornitura secondo NIS2, il rischio di terze parti ICT secondo DORA e ISO 27001 A.5.19 — una prova, tre regimi.
Un Framework Pack per NIS2 — con ponte ISO.
Il Framework Pack ReportAct per NIS2 mappa le dieci misure di gestione del rischio dell’art. 21(2) NIS2 come controlli strutturati, traccia automaticamente la cascata di segnalazione 24/72/30 con avviso delle scadenze e gestisce un registro degli asset per soggetti essenziali e importanti (Annex I/II).
Per l’obbligo degli organi dirigenti di attuare e vigilare, ReportAct fornisce una prova di gestione sigillata: chi ha approvato quale misura e quando è documentato crittograficamente e verificabile in modo indipendente — senza accesso a ReportAct.
Poiché ISO/IEC 27001 copre nella sostanza circa il 70 % dei requisiti NIS2, ReportAct riconosce automaticamente i controlli ISO come conformi ai requisiti NIS2 — un controllo, usato due volte, invece di una doppia rilevazione.
Dichiarazione di prodotto/posizionamento, non consulenza legale.
Consulti direttamente
ReportAct non è una società di consulenza. Questa pagina non sostituisce una consulenza legale. Nota sul recepimento in altri paesi UE: l'Italia ha recepito NIS2 in modo tempestivo con il Decreto Legislativo 138/2024 (ottobre 2024); Francia e Spagna, alla data di pubblicazione di questa pagina, si trovavano ancora in fase di iter legislativo — la Commissione UE ha avviato procedure di infrazione contro diversi Stati membri. Verifichi lo stato di recepimento aggiornato per il Suo paese tramite il tracker collegato sopra. Si applicano i nostri Termini e condizioni.
La NIS2 non si applica ovunque allo stesso modo. Scegliete il vostro paese.
Tre paesi, tre leggi, tre scadenze — e un'autovalutazione dedicata per ciascuno. La Svizzera non ha recepito la NIS2; lì si applica la ISG.
Una prova NIS2 che mantiene ciò che dimostra.
Inizi subito sul Suo regime NISG/NIS2 — incluso tracker della cascata di segnalazione e prova di responsabilità degli organi dirigenti.