16 agosto 2026 • NIS2
Non è più necessario prepararsi alla NIS2. Nei Paesi Bassi la direttiva è entrata a far parte del diritto nazionale il 15 agosto 2026, quando la Cyberbeveiligingswet (Cbw) è entrata in vigore senza alcun periodo di transizione. Circa 8.000 organizzazioni olandesi sono ora tenute a registrarsi, gestire i propri rischi informatici, formare il proprio personale dirigente e segnalare gli incidenti gravi.
La direttiva NIS2 (nota anche come NIS-2 o NIS 2.0) impone alle organizzazioni di 18 settori di adottare misure di sicurezza informatica efficaci, tra cui corsi di formazione sulla sicurezza informatica per tutti i dipendenti.
È ancora difficile definire con precisione cosa richieda concretamente la NIS2 e in che modo la Cyberbeveiligingswet la traduca in obblighi olandesi. La legge si articola su tre livelli, la vigilanza è ripartita tra i vari settori e la Commissione europea sta già lavorando a delle modifiche.
In questa guida ti spieghiamo tutto ciò che devi sapere: cos’è la direttiva NIS2, a chi si applica, la checklist completa per il 2026 e come preparare la tua organizzazione all’audit.
Che cos'è la direttiva NIS2?
La direttiva NIS2 (Direttiva (UE) 2022/2555) costituisce il quadro normativo aggiornato dell'Unione Europea in materia di sicurezza delle reti e dell'informazione. Essa ha sostituito la direttiva NIS originale (NIS1) del 2016, che rappresentava il primo atto legislativo dell'UE in materia di sicurezza informatica.
La direttiva NIS2 è entrata in vigore il 16 gennaio 2023 e gli Stati membri dell'UE erano tenuti a recepirla nel diritto nazionale entro il 17 ottobre 2024. Tuttavia, la maggior parte degli Stati membri, compresi i Paesi Bassi, non ha rispettato tale scadenza.
La direttiva mira a garantire un elevato livello comune di sicurezza informatica in tutta l'UE, imponendo alle organizzazioni dei settori critici di:
- Adottare misure di sicurezza informatica basate sul rischio
- Segnalare gli incidenti gravi alle autorità entro termini rigorosi
- Garantire che gli organi direttivi siano adeguatamente formati e responsabili
- Organizzare regolarmente corsi di formazione sulla sensibilizzazione per tutti i dipendenti
- Gestire i rischi per la sicurezza della catena di approvvigionamento
Si stima che circa 160.000 soggetti in tutta l'UE rientrino nell'ambito di applicazione della direttiva NIS 2. Si tratta di un aumento di dieci volte rispetto alla direttiva NIS 1.
NIS2 parte dal vostro personale
Gli hacker prendono di mira le persone prima ancora di puntare ai sistemi. Ecco perché la direttiva NIS2 prevede una formazione periodica sulla sicurezza per tutti i dipendenti, compresi i dirigenti. Guardey trasforma questa formazione in brevi sfide settimanali e tiene a disposizione le prove per il tuo supervisore.
Scopri i corsi di sensibilizzazione alla sicurezzaNIS2 vs NIS1: cosa è cambiato?
La direttiva NIS originaria rappresentava un solido punto di partenza, ma presentava notevoli lacune. La NIS2 le colma su tutta la linea. Ecco una breve sintesi delle modifiche più importanti:
| Aspetto | NIS1 | NIS2 |
|---|---|---|
| Settori trattati | 7 settori | 18 settori |
| Soggetti interessati | ~15,000 | ~160,000 |
| Segnalazione degli incidenti | Non è prevista una tempistica precisa | 24 ore / 72 ore / 1 mese |
| Sanzioni | Stabilito per ciascuno Stato membro | Fino a 10 milioni di euro o al 2% del fatturato |
| Responsabilità degli amministratori | Non indicato | Responsabilità civile per colpa grave |
| Catena di approvvigionamento | Non è espressamente richiesto | Gestione obbligatoria dei rischi |
| Formazione manageriale | Non richiesto | Obbligatorio per il consiglio di amministrazione e i dirigenti |
Vuoi approfondire le differenze? Leggi il nostro confronto completo: Qual è la differenza tra NIS1 e NIS2?
La normativa NIS2 in Europa
La NIS2 è una direttiva dell'UE, il che significa che non si applica direttamente alle organizzazioni. Ogni Stato membro deve recepirla nel proprio ordinamento giuridico nazionale. Ecco qual è la situazione nel 2026.
Stato di attuazione nell'Unione europea
I progressi nell'attuazione variano notevolmente. Paesi come il Belgio, la Croazia e l'Italia sono stati tra i primi ad adottare una legislazione nazionale. Altri, tra cui i Paesi Bassi e la Germania, hanno impiegato più tempo. In Italia la direttiva è stata recepita con il D.Lgs. 138/2024 (decreto NIS), in vigore dal 16 ottobre 2024, con l’ACN come autorità nazionale.
La Commissione europea ha avviato procedure di infrazione nei confronti di 23 Stati membri per il mancato rispetto del termine di recepimentofissato a ottobre 2024e, nelmaggio 2025, ha inviato pareri motivati a 19 di essi. A maggio 2026, 22 dei 27 Stati membri avevano adottato la normativa di recepimento. I ritardatari hanno avvertito la pressione:l’8 luglio 2026 la Commissione ha deferito i Paesi Bassi e la Spagna alla Corte di giustizia dell’UE per non aver notificato il recepimento completo. La legge olandese è entrata in vigore cinque settimane dopo.
Il pacchetto UE sulla sicurezza informatica del gennaio 2026
Il 20 gennaio 2026, la Commissione europea ha pubblicato una proposta di modifica della direttiva NIS2 nell'ambito di un più ampio pacchetto sulla sicurezza informatica. Le modifiche principali includono:
- Norme giurisdizionali semplificate per le organizzazioni che operano in più paesi dell'UE
- Percorsi di conformità basati sulle certificazioni, che consentono alle organizzazioni di dimostrare la propria conformità attraverso certificazioni riconosciute
- Miglioramento della segnalazione dei casi di ransomware con requisiti più dettagliati in materia di dati sugli incidenti
- Ampliamento dell'ambito di applicazione per includere i fornitori di portafogli di identità digitale europei e di infrastrutture sottomarine per la trasmissione dei dati
- Riqualificazione di circa 22.500 soggetti al fine di ridurre gli oneri di conformità per le organizzazioni di minori dimensioni
- Un ruolo rafforzato per l'ENISA nel coordinamento della vigilanza transfrontaliera
La proposta si basa sul pacchetto “Digital Omnibus” del novembre 2025, che ha già semplificato la segnalazione degli incidenti e chiarito il rapporto tra la direttiva NIS2, la direttiva DORA e la direttiva CER. Ora segue la procedura legislativa ordinaria, con negoziati in seno al Parlamento europeo e al Consiglio che proseguiranno per tutto il 2026 e un periodo di recepimento una volta adottata. Fino ad allora, non cambierà nulla rispetto agli obblighi attualmente in vigore.
NIS2 nei Paesi Bassi: la Cyberbeveiligingswet (Cwb)
Nei Paesi Bassi, la direttiva NIS2 è in fase di recepimento nella Cyberbeveiligingswet (Cwb). Questa legge sostituisce l'attuale Wbni (Wet beveiliging netwerk- en informatiesystemen).
Situazione attuale (marzo 2026)
- La Tweede Kamer ha approvato il disegno di legge il15 aprile 2026, seguita dall'Eerste Kamer il7 luglio 2026
- La Legge sulla sicurezza informatica è entrata in vigore il15 agosto 2026, contestualmente alla Legge sulla resilienza delle entità critiche (Wwke)
- Non è previstoalcun periodo di transizione: ogni obbligo, compresa la registrazione, si applica fin dal primo giorno
- Circa8.000 organizzazionirientrano nel Cbw e circa altre 500 nel Wwke
- Il Cbw sostituisce il Wbni, pertanto le organizzazioni che già presentavano relazioni ai sensi della vecchia normativa sono ora tenute a rispettare i requisiti più ampi previsti dalla NIS2
Tre elementi normativi
L'implementazione olandese si articola su tre livelli:
- La legge sulla sicurezza informatica, che costituisce la normativa primaria di attuazione della direttiva NIS2
- Il Cyberbeveiligingsbesluit (AMvB), un decreto amministrativo generale che definisce obblighi specifici
- Regolamenti ministeriali specifici per settore con requisiti personalizzati per ciascun settore
Se la vostra organizzazione rientra nell’ambito di applicazione, la questione non è più se agire, ma cosa fare per prima cosa. Questi cinque passaggi illustrano gli obblighi che sono entrati in vigore con effetto immediato.
- Verifica se rientri nell'ambito di applicazione.Controlla se il tuo settore e le dimensioni della tua azienda corrispondono ai criteri riportati di seguito. Spetta a te stabilirlo; nessuno ti invierà una lettera per comunicarti che rientri nell'ambito di applicazione.
- Registra la tua organizzazione.La registrazione nel registro nazionale delle entità avviene tramite l’NCSC, all’indirizzo mijn.ncsc.nl. È obbligatoria dal 15 agosto 2026 espettaalle organizzazioniprovvedereautonomamentealla registrazione entro i termini previsti.
- Assicuratevi che il vostro management riceva la formazione necessaria.I membri del consiglio di amministrazione devono seguire corsi di formazione sulla sicurezza informatica e possono essere ritenuti personalmente responsabili.Ilnostrocorso di formazione NIS2 per dirigentisoddisfa proprio questo requisito.
- Mettete a punto la vostra procedura di segnalazione degli incidenti.Decidete subito chi deve segnalare cosa e a chi, perché i tempi sono stretti: un avviso preliminare entro 24 ore, una notifica completa entro 72 ore e un rapporto finale entro un mese.
- Avviate corsi di formazione periodici sulla sensibilizzazione alla sicurezza.Il dovere di diligenza riguarda tanto il personale quanto i sistemi.Corsi di formazionebrevi e ripetutisulla sensibilizzazione alla sicurezza, con risultati documentati, sono ciò che trasforma un requisito in una prova concreta.
Le autorità di vigilanza hanno fatto sapere che dedicheranno il primo anno principalmente a familiarizzarsi con i settori appena sottoposti a regolamentazione, attraverso questionari e incontri introduttivi. Un avvio graduale della vigilanza non equivale a un ritardo nell’adempimento degli obblighi, e le organizzazioni in grado di dimostrare un approccio sistematico usciranno da quel primo confronto in una posizione di gran lunga migliore.
Principali obblighi olandesi
Le organizzazioni soggette alla legge sulla sicurezza informatica devono rispettare quattro obblighi fondamentali:
| Obbligo | Cosa significa | Base NIS2 |
|---|---|---|
| Zorgplicht (dovere di diligenza) | Adottare misure tecniche e organizzative adeguate per gestire i rischi legati alla sicurezza informatica | Articolo 21 |
| Obbligo di registrazione (registrazione obbligatoria) | Registra la tua organizzazione nel registro nazionale delle entità tramite l'NCSC, all'indirizzo mijn.ncsc.nl | Articolo 3 e articolo 27 |
| Obbligo di formazione per i dirigenti (obbligo di formazione manageriale) | I membri del consiglio di amministrazione e la direzione devono seguire un corso di formazione sulla sicurezza informatica | Articolo 20, paragrafo 2 |
| Meldplicht (obbligo di segnalazione degli incidenti) | Segnalare gli incidenti significativi all’NCSC entro i termini previsti: un avviso preventivo entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese | Articolo 23 |
Autorità di vigilanza
La registrazione, la segnalazione degli incidenti e l'applicazione delle norme sono di competenza di organizzazioni diverse:
| Compito | Chi se ne occupa? |
|---|---|
| Registro delle entità | L'NCSC (Nationaal Cyber Security Centrum) |
| Segnalazione degli incidenti | L'NCSC, in qualità di principale squadra di risposta agli incidenti, affiancato dai CSIRT specifici per alcuni settori |
| Vigilanza e applicazione delle norme | Le autorità di vigilanza settoriali, designate con decreti ministeriali, verificano che le organizzazioni adempiano effettivamente ai propri obblighi |
Per le organizzazioni del settore sanitario, il quadro normativo è particolarmente complesso, in quanto combina i requisiti della direttiva NIS2 con le normative esistenti specifiche del settore sanitario in materia di protezione dei dati dei pazienti.
A chi si applica la NIS2?
Il NIS2 si applica alle organizzazioni in base a due criteri: il settore e le dimensioni.
La direttiva distingue due categorie di soggetti, ciascuna con i propri settori di competenza, modalità di vigilanza e sanzioni:
| Aspetto | Soggetti essenziali (settori altamente critici) | Enti di rilievo (altri settori critici) |
|---|---|---|
| Settori |
|
|
| Supervisione | Vigilanza proattiva: audit e ispezioni periodici | Supervisione reattiva: indagini solo a seguito di incidenti o segnalazioni di non conformità |
| Multa massima | Fino a 10 milioni di euro o al 2% del fatturato annuo globale | Fino a 7 milioni di euro o all’1,4% del fatturato annuo globale |
Soglie dimensionali
Le organizzazioni operanti in questi settori rientrano nell'ambito di applicazione se soddisfano i seguenti criteri dimensionali:
- Imprese di medie dimensioni: oltre 50 dipendenti o fatturato annuo superiore a 10 milioni di euro
- Grandi imprese: oltre 250 dipendenti o fatturato annuo superiore a 50 milioni di euro
Alcuni soggetti rientrano nell'ambito di applicazione indipendentemente dalle loro dimensioni, tra cui i fornitori di servizi DNS, i registri dei TLD e (in base alle modifiche proposte per il 2026) i fornitori di portafogli di identità digitale europei.
Lista di controllo NIS2 (2026)
Utilizza questa lista di controllo completa per verificare che la tua organizzazione soddisfi tutti i requisiti della direttiva NIS2. Questo strumento va oltre la semplice formazione di sensibilizzazione e copre l'intera gamma degli obblighi previsti dalla direttiva NIS2, per aiutarti a prepararti alla conformità e agli audit.
| Area | Cosa occorre predisporre | A chi appartiene? | Base NIS2 |
|---|---|---|---|
| Governance e responsabilità gestionale |
|
Consiglio di amministrazione e direzione, con il supporto del CISO o del responsabile della conformità | Articolo 20 |
| Gestione dei rischi e misure di sicurezza |
|
CISO e reparto IT, con la gestione dei rischi approvata dal consiglio di amministrazione | Articolo 21, paragrafo 1, e articolo 21, paragrafo 2, lettere a), c), e), j) |
| Segnalazione degli incidenti e risposta agli stessi |
|
Il CISO e il team di risposta agli incidenti | Articolo 23 (segnalazione) e articolo 21, paragrafo 2, lettera b) (gestione degli incidenti) |
| Sicurezza della catena di approvvigionamento |
|
Approvvigionamento in collaborazione con il CISO | Articolo 21, paragrafo 2, lettera d) |
| Security awareness formazione |
|
Le Risorse Umane e il CISO, il consiglio di amministrazione per la propria formazione | Articolo 20, paragrafo 2, e articolo 21, paragrafo 2, lettera g) |
| Registrazione e notifica |
|
Responsabile della conformità o responsabile legale | Articolo 3 (classificazione e registrazione) e articolo 27 (registro per i fornitori di servizi digitali quali DNS e cloud) |
| Politiche e documentazione in materia di sicurezza delle informazioni |
|
CISO, previa approvazione della direzione | Articolo 21, paragrafo 2, lettere a), h) e i) |
| Monitoraggio, verifica e miglioramento continuo |
|
CISO, con indicatori chiave di prestazione (KPI) comunicati alla direzione | Articolo 21, paragrafo 2, lettera f), e paragrafo 4 |
L'unico requisito NIS2 che puoi spuntare questa settimana
È proprio nella formazione sulla sensibilizzazione che la maggior parte dei programmi si arena. Guardey la trasforma in brevi sfide ludiche, con la reportistica già integrata. Provalo gratuitamente per 14 giorni, senza bisogno di inserire dati di pagamento.
Iniziare la prova gratuitaCertificazione NIS2
Una domanda ricorrente: esiste una certificazione ufficiale NIS2? La risposta breve è no, non ancora.
A differenza della norma ISO 27001, che prevede un processo di certificazione ben consolidato, la direttiva NIS2 è un requisito normativo applicato dalle autorità nazionali di vigilanza. Non esiste un unico attestato di «certificazione NIS2» che si possa ottenere.
Tuttavia, si registrano sviluppi significativi.
Conformità basata sulla certificazione (proposta per il 2026)
Il pacchetto sulla sicurezza informatica della Commissione europea del gennaio 2026 propone percorsi di conformità basati sulle certificazioni. Ciò significa che le organizzazioni in possesso di determinate certificazioni riconosciute potrebbero essere in grado di dimostrare la conformità alla direttiva NIS2, o almeno una conformità parziale, attraverso tali certificazioni.
La norma ISO 27001 come base
La norma ISO 27001 è ampiamente riconosciuta come lo standard esistente più vicino ai requisiti della direttiva NIS2. Le organizzazioni in possesso della certificazione ISO 27001 constateranno che molti requisiti della direttiva NIS2 sono già soddisfatti. Tuttavia, la direttiva NIS2 prevede requisiti aggiuntivi che vanno oltre la norma ISO 27001, tra cui:
- Scadenze specifiche per la segnalazione degli incidenti (24 ore, 72 ore, 1 mese)
- Responsabilità degli amministratori e formazione obbligatoria per i membri del consiglio di amministrazione
- Valutazioni della sicurezza della catena di approvvigionamento
- Requisiti specifici per settore
Marchi di qualità NIS2 e valutazioni dello stato di preparazione
Diverse organizzazioni esterne offrono valutazioni di preparazione alla NIS2, analisi di maturità o marchi di qualità. Sebbene non si tratti di certificazioni ufficiali, possono aiutare le organizzazioni a valutare il proprio livello di conformità e a dimostrare il proprio impegno nei confronti degli stakeholder.
NIS2 e formazione sulla sensibilizzazione alla sicurezza
La formazione in materia di sicurezza informatica è uno dei requisiti più espliciti della direttiva NIS2. L'articolo 20 stabilisce che gli organi di gestione devono seguire corsi di formazione e che le organizzazioni dovrebbero offrire regolarmente corsi simili ai propri dipendenti.
Perché la NIS2 pone l'accento sulla formazione alla sensibilizzazione
I dati parlano chiaro. Secondo il rapporto «Threat Landscape 2025» dell’ENISA:
- Il phishing rappresenta il 60% di tutti i punti di accesso utilizzati per le intrusioni
- Oltre l'80% degli attacchi di ingegneria sociale sfrutta ormai contenuti generati dall'intelligenza artificiale
- Il 53,7% degli incidenti informatici ha preso di mira organizzazioni classificate come soggetti essenziali ai sensi della direttiva NIS2
- La pubblica amministrazione da sola ha rappresentato il 38,2% degli attacchi mirati
Il fattore umano rimane il principale punto debole. Senza personale qualificato in grado di riconoscere e segnalare le minacce, anche le difese tecniche più sofisticate possono essere aggirate.
Cosa si aspetta la NIS2 dal vostro programma di formazione sulla sensibilizzazione
| Aspettativa | Cosa significa |
|---|---|
| Formazione regolare, non una volta all’anno | È richiesta una formazione continua e regolare. |
| Partecipazione del management | I membri del consiglio di amministrazione e i dirigenti di alto livello devono partecipare. |
| Rilevanza | La formazione deve riguardare le minacce attuali ed emergenti, compresi gli attacchi basati sull’intelligenza artificiale. |
| Prove | È necessario dimostrare che la formazione viene effettivamente svolta e che è efficace. |
| Copertura | Tutti i dipendenti che hanno accesso ai sistemi e ai dati, compresi i collaboratori esterni. |
In che modo Guardey ti aiuta a soddisfare i requisiti di sensibilizzazione previsti dalla direttiva NIS2
Con Guardey, i tuoi dipendenti affrontano ogni settimana delle sfide sulla sicurezza informatica che richiedono non più di tre minuti per essere completate. Gli argomenti trattati includono il riconoscimento del phishing, la sicurezza delle password, la gestione dei dati, l'ingegneria sociale e altro ancora, il tutto in linea con i requisiti della direttiva NIS2.
L'approccio basato sulla gamification garantisce livelli elevati di coinvolgimento e di completamento. Inoltre, grazie alla dashboard di reportistica di Guardey, è possibile dimostrare la conformità ai revisori fornendo prove relative a:
- Tassi di completamento della formazione per dipendente e reparto
- Punteggi delle valutazioni e andamento delle conoscenze
- Risultati della simulazione di phishing e progressi nel tempo
- Copertura degli argomenti in linea con i requisiti NIS2
Errori comuni nella conformità alla direttiva NIS2
Molte organizzazioni sottovalutano l'impegno richiesto per conformarsi alla direttiva NIS 2. Ecco le insidie che riscontriamo più spesso.
| Errore | Perché le cose vanno male | Cosa fare invece |
|---|---|---|
| Considerare il primo anno come un periodo di grazia | La legge sulla sicurezza informatica è entrata in vigore il 15 agosto 2026 senza alcun periodo di transizione. Il fatto che le autorità di vigilanza procedano con cautela non significa che gli obblighi entrino in vigore in un secondo momento. | Registratevi e documentate tutto fin da subito. Le organizzazioni che aspettano la prima ispezione finiscono per svolgere mesi di lavoro sotto pressione, con un supervisore che le tiene già d’occhio. |
| Considerare il NIS2 come un problema esclusivamente informatico | Il NIS2 richiede espressamente che la dirigenza si assuma le proprie responsabilità. Non si tratta di un compito che si possa delegare interamente al reparto IT. | Assicurarsi che i membri del consiglio di amministrazione siano adeguatamente formati, approvino le misure di sicurezza informatica e siano consapevoli di poter essere ritenuti personalmente responsabili. |
| Ignorare i requisiti della catena di approvvigionamento | Molte organizzazioni si concentrano sulla propria sicurezza, ma trascurano quella dei propri fornitori. | Valutate e gestite i rischi legati alla sicurezza informatica nell’intera catena di approvvigionamento, come previsto dalla direttiva NIS2. |
| Solo formazione annuale di sensibilizzazione | Una sola sessione di formazione all’anno non soddisfa il requisito di formazione “regolare”. | Dimostrate l'impegno costante che i revisori si aspettano: micro-formazioni mensili, simulazioni periodiche di phishing e monitoraggio continuo. |
| Non sapere se la normativa NIS2 si applica al proprio caso | Sorprendentemente, molte organizzazioni non hanno nemmeno verificato se rientrino nell’ambito di applicazione della direttiva NIS2. | Non dare per scontato di essere escluso. Verifica attentamente i criteri relativi al settore e alle dimensioni. |
| Nessun test di risposta agli incidenti | Non basta avere un piano di risposta agli incidenti sulla carta. La direttiva NIS2 richiede che venga testato. | Organizzate esercitazioni teoriche, simulate incidenti e assicuratevi che il vostro team sia in grado di rispettare il termine di 24 ore per l’allerta precoce. |
| Mancato rispetto dell'obbligo di registrazione | Nessuno provvede a registrare la tua organizzazione al posto tuo e non ti arriva alcuna lettera a ricordartelo, il che rende questo obbligo il più facile da trascurare. | Registrate voi stessi la vostra organizzazione sulla piattaforma digitale dell'ACN, come richiede il D.Lgs. 138/2024. |
NIS2, ISO 27001 e DORA: quali sono le differenze?
Molte organizzazioni devono conformarsi a diversi standard normativi. Ecco un confronto tra NIS2, ISO 27001 e DORA (Digital Operational Resilience Act).
| Requisito | NIS2 | ISO 27001 | DORA |
|---|---|---|---|
| Tipo | Direttiva UE (obbligo di legge) | Norma internazionale (volontaria) | Regolamento UE (obbligo di legge) |
| Ambito di applicazione | 18 settori, enti essenziali e importanti | Qualsiasi organizzazione (per scelta) | Solo settore finanziario |
| La formazione sulla sensibilizzazione è obbligatoria? | Sì (articolo 20) | Sì (punto 7.3, A.6.3) | Sì (articolo 13) |
| È richiesta una formazione manageriale? | Sì (obbligatorio, a livello di consiglio di amministrazione) | Obbligatorio (punto 5.1) | Sì (obbligatorio, a livello di consiglio di amministrazione) |
| Cronologia delle segnalazioni degli incidenti | 24 ore / 72 ore / 1 mese | Non specificato (definiscilo tu) | 4 ore / 72 ore (incidenti gravi nel settore delle TIC) |
| Sicurezza della catena di approvvigionamento | Obbligatorio | A.5.19-A.5.22 (controlli sui fornitori) | Obbligatorio (rischi legati alle TIC di terze parti) |
| Sanzioni | Fino a 10 milioni di euro o al 2% del fatturato | Perdita della certificazione | Fino a 10 milioni di euro o al 2% del fatturato |
| È disponibile la certificazione? | Non ancora (previsto per il 2026) | Sì (organismi di certificazione accreditati) | Non ancora |
| Responsabilità personale dei dirigenti? | Sì | No | Sì |
La buona notizia è che le organizzazioni in possesso della certificazione ISO 27001 godono di un notevole vantaggio in termini di conformità alla direttiva NIS 2. L'approccio alla gestione dei rischi, i requisiti di documentazione e gli obblighi di formazione e sensibilizzazione presentano infatti notevoli punti in comune.
Domande frequenti sulla direttiva NIS2
Cosa significa NIS2?
NIS2 è l'acronimo di «Direttiva sulla sicurezza delle reti e dell'informazione 2». È comunemente indicata anche come NIS-2 o NIS 2.0. Si tratta della seconda versione della direttiva dell'UE sulla sicurezza informatica, che sostituisce la direttiva NIS originaria del 2016.
Quando entrerà in vigore la direttiva NIS2 nei Paesi Bassi?
È già in vigore. La Cyberbeveiligingswet è entrata in vigore il15 agosto 2026, dopo che la Tweede Kamer ha approvato il disegno di legge il 15 aprile 2026 e l’Eerste Kamer il 7 luglio 2026. Non è previsto alcun periodo di transizione, pertanto l’obbligo di diligenza, l’obbligo di registrazione, la formazione del personale dirigente e la segnalazione degli incidenti sono già applicabili fin da subito.
La formazione sulla sensibilizzazione alla sicurezza è obbligatoria ai sensi della direttiva NIS 2?
Sì. L'articolo 20 della direttiva NIS2 impone espressamente agli organi di gestione di seguire corsi di formazione in materia di sicurezza informatica e di offrire regolarmente corsi analoghi ai dipendenti. Ciò rende la formazione sulla sensibilizzazione un obbligo di legge, non una scelta facoltativa.
La direttiva NIS2 si applica alle PMI?
È possibile. Sono interessate le organizzazioni con almeno 50 dipendenti o un fatturato annuo pari o superiore a 10 milioni di euro che operano in uno dei 18 settori contemplati. Alcune entità sono incluse indipendentemente dalle loro dimensioni (ad esempio, i fornitori di servizi DNS e i registri dei TLD).
Quali sono le sanzioni previste in caso di mancata conformità alla direttiva NIS2?
Le entità di importanza sistemica rischiano sanzioni fino a 10 milioni di euro o pari al 2% del fatturato annuo globale. Le entità di rilievo rischiano sanzioni fino a 7 milioni di euro o pari all'1,4% del fatturato globale. Inoltre, i dirigenti possono essere ritenuti personalmente responsabili.
Posso ottenere la certificazione NIS2?
Al momento no. Non esiste una certificazione ufficiale NIS2. Tuttavia, il pacchetto sulla sicurezza informatica del 2026 della Commissione europea propone percorsi di conformità basati sulla certificazione. La certificazione ISO 27001 soddisfa molti dei requisiti NIS2 ed è riconosciuta dai revisori come una solida base.
In che modo il NIS2 differisce dal GDPR?
Il GDPR si concentra sulla protezione dei dati personali. La direttiva NIS2 si concentra invece sulla sicurezza dei sistemi di rete e informativi in senso più ampio. Si tratta di due normative complementari: le misure previste dalla direttiva NIS2 contribuiscono a proteggere i sistemi che trattano dati personali, favorendo così anche la conformità al GDPR.
Qual è il rapporto tra la direttiva NIS2 e la legge sulla sicurezza informatica?
La Cyberbeveiligingswet è la legge nazionale olandese che attua la direttiva UE NIS2. Essa traduce i requisiti della direttiva in normativa olandese applicabile e ha sostituito la precedente Wbni (Wet beveiliging netwerk- en informatiesystemen) il 15 agosto 2026. In parole povere: la NIS2 stabilisce ciò che l’Europa richiede, la Cbw definisce gli obblighi a cui si è soggetti nei Paesi Bassi, ed è proprio la Cbw che l’autorità di vigilanza olandese vi richiederà di rispettare.
Cosa fare ora che è entrata in vigore la direttiva NIS2
Il 15 agosto 2026 il NIS2 ha smesso di essere una preoccupazione per il futuro. La registrazione, l’obbligo di diligenza, la formazione del personale dirigente e la segnalazione degli incidenti sono già in vigore oggi, e i supervisori inizieranno a porre domande al riguardo entro la fine dell’anno. Le organizzazioni che usciranno bene da quel primo colloquio saranno quelle in grado di dimostrare ciò che fanno, non quelle in grado di spiegare ciò che intendevano fare.
Con il corso di formazione sulla sicurezza informatica di Guardey, i vostri dipendenti riceveranno ogni settimana micro-lezioni di 3 minuti su argomenti quali il phishing, la gestione dei dati, la segnalazione degli incidenti e altro ancora. Il tutto in linea con i requisiti della direttiva NIS2, con report completi per gli audit di conformità.
Soddisfare i requisiti formativi previsti dalla NIS2 e dimostrarlo
Guardey forma ogni dipendente in pochi minuti alla settimana e ne registra automaticamente i dati, così avrai sempre a disposizione le prove necessarie. Guardalo dal vivo in una demo.
Programmare una demo
