--- id: CP-366 slug: direttiva-nis-2 lang: it title: Direttiva NIS 2 description: Cosa chiede la direttiva NIS 2 alle organizzazioni e ai loro dirigenti, cosa cambia per ogni dipendente e a che punto è la legge in Francia. canonical_url: https://startbrain.io/cyberpedia/it/articles/direttiva-nis-2/ markdown_url: https://startbrain.io/cyberpedia/it/articles/direttiva-nis-2.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Direttiva NIS 2», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/direttiva-nis-2/ (CC BY 4.0) wing: 6 theme: report_incidents reflex: cr-017 schema: G3 updated: "2026-10-26" translations: it: https://startbrain.io/cyberpedia/it/articles/direttiva-nis-2/ fr: https://startbrain.io/cyberpedia/fr/articles/directive-nis-2/ en: https://startbrain.io/cyberpedia/en/articles/directive-nis-2/ de: https://startbrain.io/cyberpedia/de/articles/richtlinie-nis-2/ es: https://startbrain.io/cyberpedia/es/articles/directiva-nis-2/ nl: https://startbrain.io/cyberpedia/nl/articles/richtlijn-nis-2/ sources: - "n": 1 title: Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2) publisher: EUR-Lex, Journal officiel de l'Union européenne url: https://eur-lex.europa.eu/eli/dir/2022/2555/oj?locale=fr published: "2022-12-27" accessed: "2026-10-26" - "n": 2 title: NIS 2 | MesServicesCyber publisher: ANSSI url: https://messervices.cyber.gouv.fr/nis2 accessed: "2026-10-26" - "n": 3 title: SME definition publisher: Commission européenne url: https://single-market-economy.ec.europa.eu/smes/sme-fundamentals/sme-definition_en accessed: "2026-10-26" - "n": 4 title: "Violations de données personnelles : les règles à suivre" publisher: CNIL url: https://www.cnil.fr/fr/violations-de-donnees-personnelles-les-regles-suivre published: "2018-06-19" accessed: "2026-10-26" - "n": 5 title: Commission refers Ireland, Spain, France and the Netherlands to the Court of Justice for failing to transpose the rules on cybersecurity publisher: Commission européenne url: https://digital-strategy.ec.europa.eu/en/news/commission-refers-ireland-spain-france-and-netherlands-court-justice-failing-transpose-rules published: "2026-07-08" accessed: "2026-10-26" - "n": 6 title: Résilience des infrastructures critiques et renforcement de la cybersécurité publisher: Sénat url: https://www.senat.fr/leg/pjl24-033.html published: "2024-10-15" accessed: "2026-10-26" - "n": 7 title: "Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité : dossier législatif" publisher: Assemblée nationale url: https://www.assemblee-nationale.fr/dyn/17/dossiers/DLR5L17N50731 accessed: "2026-10-26" - "n": 8 title: Réunion du mardi 22 septembre 2026 publisher: Assemblée nationale, Conférence des présidents (relevé de conclusions) url: https://www2.assemblee-nationale.fr/17/la-conference-des-presidents/releve-de-conclusions/reunion-du-mardi-22-septembre-2026 published: "2026-09-22" accessed: "2026-10-26" - "n": 9 title: Réunion du mardi 6 octobre 2026 publisher: Assemblée nationale, Conférence des présidents (relevé de conclusions) url: https://www2.assemblee-nationale.fr/17/la-conference-des-presidents/releve-de-conclusions/reunion-du-mardi-6-octobre-2026 published: "2026-10-06" accessed: "2026-10-26" --- # Direttiva NIS 2 NIS 2 è la direttiva (UE) 2022/2555, adottata il 14 dicembre 2022, che fissa un livello comune di cibersicurezza nell'Unione europea per le organizzazioni i cui servizi contano per l'economia e la società. Sostituisce la prima direttiva NIS, risalente al 2016 [1]. In Francia, l'ANSSI indica che saranno interessati diverse migliaia di soggetti, distribuiti in 18 settori di attività: per lo più medie e grandi imprese, enti territoriali e amministrazioni [2]. La direttiva chiede agli Stati di imporre a queste organizzazioni misure di sicurezza e tempi brevi per notificare gli incidenti gravi, e di rendere i loro dirigenti responsabili dell'attuazione [1]. Secondo la Commissione europea, la maggior parte degli Stati membri l'ha recepita nel proprio diritto [5]. La Francia è uno dei quattro paesi che la Commissione ha deferito alla Corte di giustizia dell'Unione europea l'8 luglio 2026, per mancato recepimento completo [5]. ## In 30 secondi - Chi è interessato: le imprese e le amministrazioni dei 18 settori previsti, tra cui energia, trasporti, sanità, acqua, digitale e una parte dell'industria, in genere a partire dalla dimensione di una media impresa. - Cosa cambia per Lei: in Francia, non appena la legge di recepimento entrerà in vigore, regole di sicurezza più rigorose sul lavoro, formazione e un primo allarme da inviare entro 24 ore da un incidente grave. - Il riflesso: segnali ogni incidente di sicurezza al team di cibersicurezza appena lo nota, anche se non è sicuro che sia grave. - Se l'ha già fatto: ha cliccato su un link dubbio, perso un dispositivo o notato qualcosa di anomalo qualche giorno fa senza dirlo? Lo segnali ora, l'informazione resta utile. ## Domande dirette ### La mia azienda è interessata? Contano due criteri: il settore e la dimensione. La direttiva riguarda i soggetti dei settori elencati negli allegati I e II che sono almeno medie imprese, e alcuni soggetti a prescindere dalla dimensione, come i fornitori di servizi DNS o i prestatori di servizi fiduciari [1]. Secondo la definizione europea, un'impresa non è più piccola a partire da 50 dipendenti, o se il suo fatturato e il totale di bilancio superano entrambi i 10 milioni di euro [3]. Queste soglie valgono per la singola impresa, ma un'impresa che fa parte di un gruppo può dover contare anche il personale e i dati del gruppo [3]. Ai sensi della direttiva, le grandi imprese dei settori dell'allegato I sono in linea di principio «soggetti essenziali», la maggior parte delle altre «soggetti importanti», e le sanzioni massime differiscono da una categoria all'altra [1]. ### Come dipendente, rischio una sanzione? Le sanzioni previste dalla direttiva riguardano i soggetti e i loro dirigenti [1]. Ciò che La riguarda ogni giorno sono le regole interne che il suo datore di lavoro introdurrà per conformarsi, come la formazione, la doppia autenticazione o la procedura di segnalazione. ### La Francia ha recepito NIS 2? Non ancora, alla data di aggiornamento di questo articolo. L'ANSSI indica che il recepimento è in corso [2], e il disegno di legge che lo realizza, approvato dal Senato, non è ancora stato esaminato in seduta pubblica all'Assemblea nazionale [7]. ## Cosa cambia per i dipendenti Per un dipendente, NIS 2 si tradurrà soprattutto in regole interne più chiare, in Francia non appena la legge di recepimento entrerà in vigore. L'articolo 21 chiede che ogni soggetto interessato adotti un elenco minimo di misure, tra cui le pratiche di base di igiene informatica, la formazione sulla cibersicurezza, politiche di controllo degli accessi e, secondo le esigenze, l'autenticazione a più fattori [1]. L'articolo 20 chiede inoltre agli Stati di incoraggiare i soggetti a formare regolarmente il personale, perché ciascuno sappia individuare i rischi e valutare le pratiche di sicurezza [1]. Il punto che dipende di più da Lei è la segnalazione degli incidenti. La direttiva chiede che un soggetto invii un allarme precoce al CSIRT o all'autorità competente entro 24 ore da quando è venuto a conoscenza di un incidente significativo, poi una notifica di incidente entro 72 ore e una relazione finale entro un mese [1]. Questi termini perdono significato se l'informazione resta bloccata lungo il percorso. Un'e-mail sospetta aperta il lunedì e segnalata il giovedì sono tre giorni in cui un attaccante ha potuto avanzare senza che nessuno lo cercasse. Ai sensi della direttiva, un incidente è «significativo» se causa, o può causare, una grave perturbazione dei servizi o perdite finanziarie per il soggetto, oppure danni considerevoli ad altre persone [1]. La valutazione spetta al team di sicurezza; il Suo compito è segnalare. Se l'incidente riguarda dati personali, il GDPR aggiunge un obbligo proprio: notificare la CNIL al più tardi 72 ore dopo una violazione che presenta un rischio per le persone [4]. L'articolo sul GDPR illustra questa procedura. Nel programma Brain, questo gesto corrisponde al riflesso «Segnalare ogni incidente di sicurezza al team di cibersicurezza». Segnali anche i Suoi errori, per esempio un clic sbagliato: senza la Sua segnalazione, il team di sicurezza può non venire mai a sapere che un attacco è iniziato. L'articolo sulla cultura della sanzione spiega perché la paura di essere puniti spinge a nascondere gli incidenti. ## Cosa cambia per la direzione NIS 2 porta la cibersicurezza al livello degli organi di direzione. La direttiva chiede che approvino le misure di gestione dei rischi e ne controllino l'attuazione, che possano essere ritenuti responsabili se il soggetto viola questi obblighi, e che i loro membri seguano una formazione [1]. In Francia, questi obblighi si applicheranno quando la legge di recepimento entrerà in vigore. Per le sanzioni pecuniarie, gli Stati devono prevedere un massimo di almeno 10 milioni di euro o il 2 % del fatturato mondiale annuo, si applica l'importo più alto, quando un soggetto essenziale viola gli obblighi di sicurezza o di notifica. Per un soggetto importante, questo massimo è di almeno 7 milioni di euro o l'1,4 % [1]. In un soggetto essenziale che non corregge le proprie inadempienze nonostante le ingiunzioni dell'autorità, la direttiva consente inoltre a quest'ultima di chiedere che una persona con responsabilità dirigenziali, a livello di amministratore delegato o di rappresentante legale, sia temporaneamente interdetta dall'esercitare tali responsabilità nel soggetto [1]. La sicurezza della catena di approvvigionamento fa parte delle misure richieste dalla direttiva, comprese le relazioni con i fornitori e i prestatori di servizi diretti [1]: l'articolo sulla valutazione del rischio dei fornitori è dedicato a questo tema. Per aiutare le organizzazioni, l'ANSSI ha pubblicato una versione di lavoro del suo Référentiel Cyber France (ReCyF), che elenca le misure raccomandate per raggiungere gli obiettivi di sicurezza di NIS 2 [2]. Un esercizio di crisi a tavolino permette di verificare, prima di un vero incidente, che l'allarme possa partire in meno di 24 ore. ## Cosa dice il testo La direttiva è stata pubblicata nella Gazzetta ufficiale dell'Unione europea il 27 dicembre 2022. Gli Stati dovevano recepirla entro il 17 ottobre 2024 e applicarla a partire dal 18 ottobre 2024, data in cui la direttiva NIS del 2016 è stata abrogata [1]. Dovevano inoltre stilare l'elenco dei propri soggetti essenziali e importanti entro il 17 aprile 2025 [1]. L'articolo 21 fissa un elenco minimo di misure, fondato su un approccio «tutti i rischi» [1]: - analisi dei rischi e politiche di sicurezza dei sistemi informativi; - gestione degli incidenti; - continuità operativa, backup e gestione delle crisi; - sicurezza della catena di approvvigionamento; - sicurezza dell'acquisizione, dello sviluppo e della manutenzione delle reti e dei sistemi informativi, compresi il trattamento e la divulgazione delle vulnerabilità; - valutazione dell'efficacia delle misure; - igiene informatica di base e formazione sulla cibersicurezza; - crittografia e, se del caso, cifratura; - sicurezza delle risorse umane, controllo degli accessi e gestione dei beni (asset); - autenticazione a più fattori e comunicazioni sicure, secondo le esigenze. L'articolo 23 fissa il calendario di notifica di un incidente significativo [1]: ```text Termini calcolati dal momento in cui il soggetto viene a conoscenza dell'incidente significativo 24 ore allarme precoce al CSIRT o all'autorità competente 72 ore notifica dell'incidente, con una prima valutazione di gravità e impatto su richiesta relazione intermedia 1 mese relazione finale, calcolata dalla notifica dell'incidente ``` ## A che punto è l'applicazione La Commissione europea ha inviato lettere di costituzione in mora il 28 novembre 2024, poi pareri motivati il 7 maggio 2025. L'8 luglio 2026 ha adito la Corte di giustizia dell'Unione europea contro Irlanda, Spagna, Francia e Paesi Bassi, chiedendo una somma forfettaria e penalità giornaliere fino al recepimento completo [5]. In Francia, il recepimento passa dal disegno di legge relativo alla resilienza delle infrastrutture critiche e al rafforzamento della cibersicurezza. Nella versione depositata, il titolo II, dedicato alla cibersicurezza, rinvia alla direttiva (UE) 2022/2555 e definisce i soggetti essenziali e importanti, con per esempio una soglia di almeno 50 dipendenti per un soggetto importante [6]. Il governo lo ha depositato al Senato il 15 ottobre 2024, con procedura accelerata, e il Senato lo ha approvato il 12 marzo 2025. La commissione speciale dell'Assemblea nazionale ha depositato il proprio testo il 10 settembre 2025 [7]. La Conferenza dei presidenti dell'Assemblea aveva iscritto il disegno di legge alle sedute del 7 e del 9 ottobre 2026 [8], poi lo ha ritirato il 6 ottobre 2026, senza fissare una nuova data [9]. Alla data di consultazione, il fascicolo legislativo non menziona alcun esame in seduta pubblica all'Assemblea [7]. Nel frattempo, l'ANSSI invita i futuri soggetti essenziali e importanti a rafforzare fin da ora il proprio livello di sicurezza, e precisa che il suo riferimento ReCyF potrà essere adeguato nel corso dei dibattiti parlamentari [2]. ## Fonti 1. EUR-Lex, Journal officiel de l'Union européenne, «Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2)», 27 dicembre 2022. https://eur-lex.europa.eu/eli/dir/2022/2555/oj?locale=fr (consultato il 26 ottobre 2026) 2. ANSSI, «NIS 2 | MesServicesCyber». https://messervices.cyber.gouv.fr/nis2 (consultato il 26 ottobre 2026) 3. Commission européenne, «SME definition». https://single-market-economy.ec.europa.eu/smes/sme-fundamentals/sme-definition_en (consultato il 26 ottobre 2026) 4. CNIL, «Violations de données personnelles : les règles à suivre», 19 giugno 2018. https://www.cnil.fr/fr/violations-de-donnees-personnelles-les-regles-suivre (consultato il 26 ottobre 2026) 5. Commission européenne, «Commission refers Ireland, Spain, France and the Netherlands to the Court of Justice for failing to transpose the rules on cybersecurity», 8 luglio 2026. https://digital-strategy.ec.europa.eu/en/news/commission-refers-ireland-spain-france-and-netherlands-court-justice-failing-transpose-rules (consultato il 26 ottobre 2026) 6. Sénat, «Résilience des infrastructures critiques et renforcement de la cybersécurité», 15 ottobre 2024. https://www.senat.fr/leg/pjl24-033.html (consultato il 26 ottobre 2026) 7. Assemblée nationale, «Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité : dossier législatif». https://www.assemblee-nationale.fr/dyn/17/dossiers/DLR5L17N50731 (consultato il 26 ottobre 2026) 8. Assemblée nationale, Conférence des présidents (relevé de conclusions), «Réunion du mardi 22 septembre 2026», 22 settembre 2026. https://www2.assemblee-nationale.fr/17/la-conference-des-presidents/releve-de-conclusions/reunion-du-mardi-22-septembre-2026 (consultato il 26 ottobre 2026) 9. Assemblée nationale, Conférence des présidents (relevé de conclusions), «Réunion du mardi 6 octobre 2026», 6 ottobre 2026. https://www2.assemblee-nationale.fr/17/la-conference-des-presidents/releve-de-conclusions/reunion-du-mardi-6-octobre-2026 (consultato il 26 ottobre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/direttiva-nis-2/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.