NIS2 in Germania: spiegazione della legge NIS2UmsuCG (2026)

In sintesi: la Germania ha recepito la direttiva NIS2 in ritardo, ma in modo rigoroso. La legge di attuazione della direttiva NIS2 (NIS2UmsuCG) e la nuova legge sul BSI (BSIG) sono in vigore dal 6 dicembre 2025, senza alcun periodo di transizione. Il campo di applicazione comprende circa 29.500 organizzazioni, suddivise in entità “particolarmente importanti” (besonders wichtige) e “importanti” (wichtige). Queste dovevano registrarsi presso il BSI entro tre mesi, ovvero entro il 6 marzo 2026; a metà del 2026, si stima che circa 10.500 non lo avessero ancora fatto. La registrazione rimane obbligatoria, le sanzioni possono arrivare a 10 milioni di euro o al 2% del fatturato globale e i dirigenti sono personalmente responsabili. Questa guida spiega chi è interessato, cosa si aspetta il BSI e cosa fare in caso di ritardo.

Cronologia: come la Germania è arrivata a questo punto

Chi è interessato: l’ambito di applicazione tedesco

Fonti ufficiali: la pagina informativa del BSI dedicata alla direttiva NIS2 per le aziende soggette alla normativa (in tedesco) e il suo strumento gratuito di autovalutazione NIS2 (Betroffenheitsprüfung) consentono di verificare in dieci minuti se la propria azienda rientra nel campo di applicazione della normativa. Il testo di legge è la nuova BSIG 2025, disponibile su gesetze-im-internet.de.

Il BSIG segue la logica della NIS2, ma utilizza una propria terminologia:

• Enti di particolare importanza (besonders wichtige Einrichtungen): grandi imprese (con oltre 250 dipendenti oppure un fatturato di 50 milioni di euro e un bilancio di 43 milioni di euro) nei settori ad alta criticità (energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, risorse idriche, acque reflue, infrastrutture digitali, gestione dei servizi TIC, pubblica amministrazione, settore spaziale), nonché gestori di infrastrutture critiche (KRITIS) indipendentemente dalle dimensioni, fornitori qualificati di servizi di fiducia, registri di domini di primo livello (TLD) e fornitori di servizi DNS.
• Soggetti rilevanti (wichtige Einrichtungen): imprese di medie dimensioni (con almeno 50 dipendenti o un fatturato e un totale di bilancio pari a 10 milioni di euro) nei settori ad alta criticità, nonché imprese di medie e grandi dimensioni negli altri settori critici (servizi postali e di corriere, gestione dei rifiuti, settore chimico, settore alimentare, produzione di dispositivi medici, macchinari, veicoli ed elettronica, fornitori di servizi digitali, ricerca).
• Amministrazione federale: disciplinata separatamente nella BSIG, con obblighi propri.

Il BSI stima che il numero totale si aggiri intorno alle 29.500 organizzazioni, la maggior parte delle quali sono entità “rilevanti” nel settore manifatturiero. Il BSI mette a disposizione uno strumento di autovalutazione online (Betroffenheitsprüfung); la legge prevede che si valuti autonomamente la propria situazione, senza attendere una comunicazione scritta.

Gli obblighi previsti dal BSIG

1. Registrazione presso il BSI

Entro tre mesi dall’entrata nell’ambito di applicazione, tramite il portale BSI e l’account aziendale “Mein Unternehmenskonto”: dati aziendali, settore, recapiti, intervalli di indirizzi IP e Stati membri in cui si opera. Le modifiche devono essere comunicate entro due settimane. Il termine per i soggetti che rientravano nell’ambito di applicazione sin dal primo giorno era il 6 marzo 2026. Se non vi siete ancora registrati, fatelo subito; l’obbligo non decade e la registrazione volontaria tardiva è trattata in modo più favorevole rispetto all’individuazione.

2. Misure di gestione dei rischi (art. 30 BSIG)

Le dieci misure minime previste dal NIS2, proporzionate al rischio: analisi dei rischi e politiche di sicurezza, gestione degli incidenti, continuità operativa e backup, sicurezza della catena di approvvigionamento, approvvigionamento e sviluppo sicuri, valutazione dell’efficacia, “cyberigiene” e formazione in materia di sicurezza informatica, crittografia, controllo degli accessi e gestione delle risorse, nonché autenticazione a più fattori e comunicazioni sicure. I soggetti di particolare importanza devono inoltre utilizzare sistemi di rilevamento degli attacchi qualora siano operatori KRITIS.

3. Segnalazione degli incidenti (§ 32 BSIG)

Segnalazione tempestiva entro 24 ore, notifica entro 72 ore, relazione finale entro un mese, tramite il portale di segnalazione del BSI. Per incidenti “significativi” si intendono quelli che causano gravi interruzioni operative o perdite finanziarie, oppure che hanno ripercussioni su terzi.

4. Obblighi di gestione (art. 38 BSIG)

La direzione deve approvare e supervisionare le misure di gestione dei rischi e deve partecipare regolarmente a corsi di formazione sulla sicurezza informatica. Ai sensi del diritto societario tedesco, i dirigenti sono personalmente responsabili in caso di violazione di tale obbligo; la BSIG esclude espressamente la possibilità per la società di esonerare i dirigenti da tale responsabilità.

5. Prove e supervisione

La BSI può richiedere informazioni e prove, disporre verifiche e, nel caso di soggetti di particolare rilevanza, esercitare una vigilanza proattiva. Le sanzioni possono arrivare fino a 10 milioni di euro o al 2% del fatturato globale per i soggetti di particolare rilevanza e fino a 7 milioni di euro o all’1,4% per i soggetti rilevanti.

Hai perso il termine per l'iscrizione? Ecco cosa fare

1. Esegui oggi stesso l'autoverifica BSI e documenta il risultato, indicando anche se ritieni di non rientrare nell'ambito di applicazione.
2. Se rientri nei requisiti, registrati subito. Meglio tardi che mai, e la registrazione in sé richiede meno di un’ora una volta creato l’account aziendale.
3. Valutazione delle lacune rispetto all’articolo 30. La maggior parte delle PMI tedesche individua tre lacune: sicurezza della catena di approvvigionamento, gestione documentata degli incidenti e formazione senza prove concrete.
4. Inserisci il consiglio di amministrazione in un registro di formazione. L’articolo 38 lo richiede ed è la prima cosa che un auditor chiede. Le sfide settimanali di Guardey includono un percorso di gestione e la produzione di rapporti sul completamento per persona.
5. Verificate la procedura di segnalazione entro 24 ore. Chi se ne accorge, chi decide, chi presenta la segnalazione? Fate una prova.

La formazione come prova: cosa accetta il BSI

Né la direttiva né il BSIG prescrivono un formato specifico, ma la “formazione in materia di igiene informatica e sicurezza informatica” deve essere dimostrabile. Una presentazione annuale con un foglio di presenza costituisce una prova debole; un programma continuativo con dati di completamento per ciascun dipendente, risultati delle simulazioni di phishing e un registro della formazione dei dirigenti costituisce invece una prova solida. La formazione sulla consapevolezza della sicurezza di Guardey è disponibile in tedesco, dura tre minuti a settimana, include simulazioni di phishing e genera i report per NIS2, ISO 27001 e altri standard.

Domande frequenti

La direttiva NIS2 è già in vigore in Germania?

Sì. Il NIS2UmsuCG e il nuovo BSIG sono in vigore dal 6 dicembre 2025. Non è previsto alcun periodo di transizione.

Chi deve registrarsi presso il BSI?

Ogni entità di particolare rilevanza, entro tre mesi dall'entrata nell'ambito di applicazione. Per le organizzazioni che rientravano nell'ambito di applicazione al 6 dicembre 2025, la scadenza era il 6 marzo 2026. Se non avete provveduto alla registrazione, è comunque necessario farlo.

Qual è la differenza tra “besonders wichtig” e “wichtig”?

Dimensioni e settore. Le grandi imprese operanti in settori ad alta criticità e gli operatori KRITIS sono considerati “particolarmente importanti” (vigilanza proattiva, sanzioni più elevate); le medie imprese operanti in tali settori e le medie e grandi imprese operanti negli altri settori sono considerate “importanti” (vigilanza reattiva).

La normativa NIS2 in Germania prevede la formazione dei dipendenti?

Sì. L'articolo 30 della BSIG include la "cyberigiene" e la formazione in materia di sicurezza informatica tra le misure obbligatorie, mentre l'articolo 38 impone ai dirigenti di partecipare personalmente a tali corsi di formazione.

Dove posso trovare il testo ufficiale?

Il regolamento NIS2UmsuCG è stato pubblicato nella Gazzetta ufficiale federale (BGBl. 2025 I n. 301). Le pagine dedicate alla direttiva NIS 2 del BSI contengono l’autovalutazione, il portale di registrazione e le domande frequenti. Per un quadro della situazione a livello UE, consultare la nostra guida NIS 2 del 2026 e il confronto tra NIS 1 e NIS 2.