La direttiva NIS2: testo, obiettivi e recepimento UE
Cosa dice la direttiva UE 2022/2555, perché è stata introdotta e come ogni stato membro l'ha recepita nel proprio ordinamento.
di Elias Mahdavi · Pubblicato il · 7 min
La direttiva NIS2 è la Direttiva (UE) 2022/2555, il testo europeo sulla cybersicurezza che sostituisce la prima direttiva NIS del 2016. Come ogni direttiva UE, non si applica direttamente: ciascuno dei 27 Stati membri l'ha recepita con un proprio strumento legislativo nazionale, entro un termine comune fissato al 17 ottobre 2024, non sempre rispettato.
In sintesi
- La direttiva NIS2 è la Direttiva (UE) 2022/2555, adottata il 14 dicembre 2022 ed entrata in vigore il 16 gennaio 2023.
- A differenza di un regolamento UE, una direttiva non si applica direttamente: richiede che ogni Stato membro la traduca in una propria legge nazionale.
- Il termine comune di recepimento era il 17 ottobre 2024, ma non tutti gli Stati membri lo hanno rispettato.
- La NIS2 sostituisce la direttiva NIS del 2016, ampliando i settori coperti e introducendo responsabilità dirette per gli organi di gestione.
- L'Italia ha recepito la direttiva con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024, un giorno prima del termine UE.
- Paesi diversi hanno scelto strumenti diversi: leggi dedicate, decreti, o recepimenti integrati con altre normative sulla resilienza, con tempistiche non uniformi.
Indice
Cos'è la NIS2?
La NIS2 è la Direttiva (UE) 2022/2555, consultabile nel testo ufficiale su EUR-Lex, che stabilisce un livello comune di cybersicurezza per i soggetti pubblici e privati considerati critici per il mercato interno dell'Unione Europea. È stata adottata dal Parlamento Europeo e dal Consiglio il 14 dicembre 2022 ed è entrata in vigore il 16 gennaio 2023.
Il punto spesso frainteso è che la NIS2 è una direttiva, non un regolamento. Un regolamento UE, come il GDPR o l'AI Act, si applica direttamente e in modo identico in tutti gli Stati membri dal giorno stabilito. Una direttiva, invece, fissa obiettivi e requisiti minimi comuni, ma lascia a ciascuno Stato membro il compito di tradurla in una propria legge nazionale, entro un termine comune: per la NIS2, il 17 ottobre 2024. Questo è il motivo per cui esiste sia "la NIS2" come testo europeo, sia "la normativa NIS2 italiana" come sua traduzione nazionale — due livelli distinti, approfonditi rispettivamente qui e nella guida sulla normativa italiana e gli obblighi principali del D.Lgs. 138/2024.
Perché è stata introdotta la direttiva NIS2: 7 lacune colmate rispetto alla prima NIS
La direttiva NIS2 non nasce nel vuoto: sostituisce la prima direttiva NIS del 2016, che si era rivelata insufficiente su almeno sette punti.
1. Ambito settoriale troppo ristretto
La NIS1 copriva un numero limitato di settori. La NIS2 lo amplia in modo sostanziale, aggiungendo pubblica amministrazione, gestione delle acque reflue, servizi postali, produzione alimentare e spazio, tra gli altri.
2. Recepimento troppo disomogeneo tra Stati membri
La NIS1 lasciava ampia discrezionalità nazionale, generando un livello di protezione molto diverso da un paese all'altro. La NIS2 fissa requisiti minimi comuni più stringenti e vincolanti.
3. Nessuna responsabilità diretta degli organi di gestione
Con la NIS2, i vertici aziendali possono essere ritenuti responsabili della supervisione delle misure di cybersicurezza, non solo le funzioni tecniche.
4. Obblighi di notifica degli incidenti poco chiari
La NIS2 introduce una sequenza precisa: preallarme entro 24 ore, notifica entro 72 ore, rapporto finale entro un mese dalla scoperta di un incidente significativo.
5. Sanzioni deboli o assenti in molti Stati membri
La NIS2 fissa massimali comuni: fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali, fino a 7 milioni o all'1,4% per gli importanti.
6. Nessuna attenzione strutturata alla catena di fornitura
La NIS2 introduce esplicitamente la sicurezza della supply chain come categoria autonoma di misura minima, riconoscendo che un fornitore compromesso è un vettore di rischio a tutti gli effetti.
7. Coordinamento insufficiente tra le autorità nazionali
La NIS2 rafforza il ruolo di ENISA e del gruppo di cooperazione NIS nel coordinare le autorità competenti dei diversi Stati membri, un'area in cui la NIS1 lasciava vuoti operativi.
Come gli Stati membri hanno recepito la NIS2: un confronto
Poiché la NIS2 è una direttiva e non un regolamento, ogni Stato membro ha scelto un proprio strumento legislativo per recepirla, e non tutti lo hanno fatto entro il termine del 17 ottobre 2024.
| Stato membro | Strumento di recepimento |
|---|---|
| Italia | D.Lgs. 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024 |
| Germania | NIS2UmsuCG (Gesetz zur Umsetzung der NIS-2-Richtlinie) |
| Francia | Recepimento integrato con le normative sulla resilienza delle entità critiche e con il regolamento DORA |
| Belgio | Loi du 26 avril 2024, tra i primi Stati membri a completare il recepimento |
L'Italia è tra gli Stati membri che hanno rispettato il termine: come indicato da ACN, l'autorità nazionale competente designata dal decreto, il D.Lgs. 138/2024 è entrato in vigore un giorno prima della scadenza UE. Altri Stati membri hanno accumulato ritardi significativi, tanto che la Commissione Europea ha avviato procedure di verifica nei confronti dei paesi che non avevano notificato le proprie misure di recepimento entro i termini. Questa disomogeneità è precisamente il tipo di frammentazione applicativa che la NIS2 avrebbe dovuto ridurre rispetto alla NIS1 — e resta un fattore da considerare per un'azienda che opera in più paesi UE, perché gli obblighi pratici possono differire da uno Stato membro all'altro anche a parità di direttiva di partenza.
Per capire nel dettaglio se e come questi obblighi si applicano alla tua azienda in Italia, il percorso descritto in NIS2: a chi si applica e come verificarlo parte proprio da settore, dimensione e classificazione ACN.
Domande frequenti
Cos'è la NIS2?
La NIS2 è la Direttiva (UE) 2022/2555 sulla cybersicurezza, che impone a soggetti pubblici e privati critici misure minime di sicurezza, obblighi di notifica degli incidenti e responsabilità dirette per gli organi di gestione. Ogni Stato membro l'ha recepita con una propria legge nazionale.
Perché è stata introdotta la direttiva NIS2?
Per colmare le lacune della prima direttiva NIS del 2016: un ambito settoriale troppo ristretto, un recepimento troppo disomogeneo tra Stati membri, sanzioni deboli e nessuna responsabilità diretta per gli organi di gestione, tra gli altri motivi.
Qual è la differenza tra una direttiva e un regolamento europeo?
Un regolamento, come il GDPR o l'AI Act, si applica direttamente e in modo identico in tutti gli Stati membri. Una direttiva, come la NIS2, fissa obiettivi e requisiti minimi comuni ma richiede che ogni Stato membro la traduca in una propria legge nazionale.
Quando dovevano recepire la NIS2 gli Stati membri?
Il termine comune era il 17 ottobre 2024. L'Italia lo ha rispettato, con il D.Lgs. 138/2024 in vigore dal 16 ottobre 2024; diversi altri Stati membri hanno accumulato ritardi rispetto a questa scadenza.
Tutti i paesi UE hanno recepito la NIS2 allo stesso modo?
No. Ogni Stato membro ha scelto un proprio strumento legislativo — una legge dedicata, un decreto, o un recepimento integrato con altre normative sulla resilienza — con tempistiche e dettagli applicativi che non sono identici da un paese all'altro.
Qual è la differenza tra la direttiva NIS2 e la normativa NIS2 italiana?
La direttiva NIS2 è il testo europeo che fissa obiettivi e requisiti minimi comuni. La normativa NIS2 italiana è il D.Lgs. 138/2024, lo strumento con cui l'Italia ha tradotto quegli obiettivi in obblighi concreti, scadenze e sanzioni applicabili nel proprio ordinamento.
Prossimi passi
Capire la direttiva europea aiuta a leggere con più chiarezza gli obblighi che arrivano poi dalla legge nazionale, qualunque sia il paese in cui opera la tua azienda. Prenota una demo di DevKira per vedere come un ambiente di lavoro governato mantiene pronta l'evidenza di conformità richiesta dalla NIS2, oppure torna alla guida completa alla NIS2 per il quadro d'insieme.
