Diritto informatico NIS2 per le imprese essenziali: qual è la differenza tra NIS1 e NIS2?

La direttiva europea NIS2 sostituisce la NIS1, la prima direttiva dell’UE in materia di sicurezza informatica del 2016. Gli Stati membri avevano tempo fino al 17 ottobre 2024 per recepire le nuove norme nell’ordinamento nazionale. Nei Paesi Bassi, la NIS2 è attuata tramite la Cyberbeveiligingswet, adottata nel luglio 2026 ed entrata in vigore il 15 agosto 2026. Cosa è cambiato esattamente? Elenchiamo per voi le differenze tra la NIS1 e la NIS2.

La direttiva NIS1 si applicava solo alle imprese essenziali in una manciata di settori. Con la direttiva NIS2, le norme si estendono anche alle imprese “importanti”: migliaia di organizzazioni di medie e grandi dimensioni che rientrano per la prima volta nell’ambito di applicazione della legislazione europea in materia di sicurezza informatica.

Che cos'è la linea guida NIS2?

La NIS2 è il successore della NIS1, introdotta anni fa per le imprese essenziali. La nuova direttiva NIS2 (ufficialmente: Direttiva (UE) 2022/2555)) è stata pubblicata dall'ENISA, l'Agenzia dell'Unione Europea per la sicurezza informatica. La direttiva prescrive i requisiti minimi di sicurezza e l'obbligo di segnalare gli incidenti (gravi) all'autorità nazionale o al Computer Security Incident Response Team (CSIRT) europeo. La nuova direttiva sostituisce quella originale, entrata in vigore nel 2016.

Il NIS2 sostituisce il NIS1?

Sì. La NIS2 sostituisce completamente la NIS1. Quando la NIS2 è entrata in vigore nell’ottobre 2024, la direttiva NIS originaria del 2016 è stata abrogata. Tutto ciò che rientrava nella NIS1 ora rientra nella NIS2, insieme a molti nuovi settori e a requisiti più rigorosi.

Queste sono le principali differenze tra il NIS1 e il NIS2:

• La direttiva si applica a più settori
  La NIS2 si applica alle imprese essenziali e alle grandi imprese. Un numero maggiore di aziende di medie e grandi dimensioni deve iniziare a conformarsi alla direttiva. Inoltre, il governo olandese può designare aziende più piccole ad alto rischio di sicurezza che devono iniziare a conformarsi.
• Elenco dei requisiti minimi di sicurezza di base
  La direttiva è più concreta, grazie a un elenco di sicurezza minima di base che le aziende devono implementare. La direttiva impone un approccio di gestione del rischio.
• Divisione in settori essenziali e settori chiave
  La nuova direttiva NIS divide le aziende in settori essenziali e settori chiave. Scompare la distinzione tra operatori di servizi essenziali e fornitori di servizi digitali.
• Affrontare la sicurezza nella catena
  Le aziende devono iniziare ad affrontare i rischi per la sicurezza nella loro catena di fornitura. Ciò include i rischi creati dalle relazioni con i fornitori.
• Supervisione più rigorosa
  Le autorità nazionali sono autorizzate a esercitare una supervisione e un'applicazione più rigorose. La nuova direttiva rende più uniformi i regimi sanzionatori e gli obblighi di segnalazione in tutti gli Stati membri.

Quali sono le imprese essenziali?

La direttiva NIS si applica alle imprese essenziali. Questi settori sono:

• Energia
• Acqua potabile
• Acque reflue
• Trasporto
• Settore bancario
• Mercati finanziari
• Infrastruttura digitale
• Amministrazioni pubbliche
• Assistenza sanitaria
• Spazio

Suggerimento: vi chiedete quali siano esattamente le aziende "essenziali" o "importanti"? Scaricate la tabella Settori coperti dal NIB2 della CBS.

La nuova direttiva NIS2 si applicherà anche alle grandi imprese. Questi settori sono:

• Servizi postali e di corriere
• Elaborazione e distribuzione
• Trattamento dei rifiuti
• Fornitori digitali
• Aziende manifatturiere
• Industria chimica
• Industria alimentare

Differenza di supervisione tra aziende essenziali e importanti

Le autorità locali monitoreranno in modo proattivo le imprese chiave. La supervisione delle aziende chiave avverrà dopo il fatto, se ci sono prove di un incidente.

Le aziende chiave ed essenziali avranno l'obbligo di segnalazione e il dovere di diligenza. Devono mettere in atto la sicurezza nella loro catena di fornitura e comunicare chiaramente come gestiscono gli incidenti informatici.

Perché la nuova linea guida è importante?

La nuova direttiva NIS2 dovrebbe rendere più sicuri i sistemi di rete e di informazione delle aziende. In questo modo, i Paesi Bassi e l'intera Unione Europea dovrebbero diventare meno vulnerabili agli attacchi informatici.

Il Ministro Dilan Yeşilgöz-Zegerius (Giustizia e Sicurezza) ha dichiarato: "Siamo sempre più dipendenti dai processi digitali, soprattutto da quando la corona lavora sempre più da casa. Inoltre, vediamo una crescente minaccia digitale da parte di criminali e attori statali che, con una guerra al confine orientale dell'Europa, non è destinata a diminuire per il momento. È quindi necessario compiere il passo successivo per aumentare il livello di sicurezza informatica nell'UE. In questo modo, eviteremo che gli incidenti digitali possano sconvolgere la nostra società".

Il ministro Micky Adriaansens (Affari economici e clima) aggiunge: "Dobbiamo essere attenti ai rischi degli attacchi informatici. L'impatto può essere significativo, come gli scaffali vuoti nei negozi o le interruzioni della produzione industriale. La gestione della sicurezza digitale rimane una responsabilità individuale di aziende e consumatori. Ma con questa legislazione possiamo fare un passo avanti per garantire che il livello di cyber security aumenti tra le (medie) imprese dei settori più importanti."

Sarete multati in caso di inadempienza?

Le aziende che non si conformano alla nuova direttiva riceveranno un avvertimento, poi un sollecito e infine rischieranno una multa ingente. Per le aziende essenziali, la multa massima è di 10 milioni di euro o del 2% del fatturato annuo mondiale, a seconda di quale dei due importi sia maggiore. Per le aziende importanti, il limite massimo è di 7 milioni di euro o dell’1,4%. Novità della NIS2: anche i dirigenti possono essere ritenuti personalmente responsabili in caso di inadempienza.

Attuazione della direttiva NIS2 per paese dell'UE (2026)

La NIS2 è una direttiva europea, pertanto ogni Stato membro è tenuto a recepirla nel proprio ordinamento giuridico nazionale. Non tutti i paesi procedono allo stesso ritmo. Ecco a che punto sono i principali mercati nel 2026:

• Belgio: uno dei primi a recepire la normativa. La legge belga sulla NIS2 è in vigore dal 18 ottobre 2024, sotto la supervisione del Centro per la sicurezza informatica del Belgio (CCB).
• Italia: recepita in anticipo con il decreto legislativo 138/2024, in vigore dall’ottobre 2024. L’agenzia nazionale per la sicurezza informatica (ACN) vigila sulla registrazione e sul rispetto delle norme.
• Germania: la legge NIS2UmsuCG è entrata in vigore il 6 dicembre 2025. Circa 29.500 aziende rientrano nel campo di applicazione della legge e hanno dovuto registrarsi presso il BSI.
• Polonia: la legge modificata sul sistema nazionale di sicurezza informatica (KSC) è entrata in vigore il 3 aprile 2026 e riguarda circa 42.000 aziende, con scadenza per la registrazione fissata a ottobre 2026.
• Paesi Bassi: la Cyberbeveiligingswet è stata approvata nel luglio 2026 ed entrerà in vigore il 15 agosto 2026, senza alcun periodo di transizione.
• Francia: il processo legislativo è ancora in corso. L’approvazione della “Loi Résilience” è prevista per il 2026, ma l’ANSSI incoraggia già le organizzazioni a registrarsi e a prepararsi.
• Spagna: il disegno di legge sul coordinamento e la governance in materia di sicurezza informatica è ancora all’esame del Parlamento, pertanto la direttiva non è ancora stata recepita integralmente.

In sintesi: indipendentemente da dove vi troviate nell’UE, gli obblighi in materia di formazione e gestione dei rischi previsti dalla direttiva NIS2 vi riguardano già o vi riguarderanno molto presto.

NIS2 e ISO 27001: qual è la differenza?

La direttiva NIS2 è una normativa, mentre la norma ISO 27001 è uno standard internazionale volontario in materia di sicurezza delle informazioni. La certificazione ISO 27001 non è obbligatoria per legge e non garantisce automaticamente la conformità alla direttiva NIS2. Vi sono tuttavia numerosi punti in comune: le organizzazioni che adottano la norma ISO 27001 soddisfano già gran parte dei requisiti previsti dalla direttiva NIS2, quali la gestione dei rischi, le procedure in caso di incidenti e la formazione sulla sensibilizzazione alla sicurezza.

Prevenire i danni della criminalità informatica: cosa si può fare?

Anche in assenza di una normativa in materia di sicurezza informatica come la NIS2, è importante prendere sul serio la criminalità informatica. È possibile proteggere la propria azienda, ad esempio, con:

• Sicurezza per il design
  Iniziate ogni riunione con la sicurezza (digitale). Quali misure adottate per prevenire gli abusi e quali sono i rischi e le vulnerabilità? Pensando a questo aspetto come standard, i sistemi (nuovi) sono più sicuri per impostazione predefinita.
• Connessione sicura
  Utilizzate una connessione sicura per la vostra azienda. Impedite ad altri di visualizzare o rubare i dati in modo indesiderato. La connessione sicura è disponibile in tutto il mondo, in qualsiasi momento e da qualsiasi luogo.
• Formare i dipendenti sulla sicurezza informatica
  Chi non conosce i rischi non può proteggersi da essi. Formate i dipendenti e assicuratevi che riconoscano le vulnerabilità e non cadano nelle trappole che i criminali informatici tendono loro.

Come EyeOn utilizza Guardey per conformarsi a NIS2

Le aziende tenute a conformarsi alla direttiva NIS2 sono tenute a offrire corsi di formazione sulla sensibilizzazione alla sicurezzaaipropri dipendenti. Tale obbligo riguarda esplicitamente anche il consiglio di amministrazione: ai sensi dell’articolo 20 della direttiva, anche i membri del consiglio di amministrazione devono seguire corsi di formazione in materia di sicurezza informatica.

Il nostro cliente Gezamenlijke Brandweer Amsterdam (un dipartimento dei vigili del fuoco olandese) è un'organizzazione essenziale e quindi deve aderire alla normativa NIS2. Per garantire che i loro dipendenti siano preparati a riconoscere le minacce informatiche, utilizzano Guardey per offrire una formazione su security awareness . Ogni settimana, il loro team gioca una breve sfida di 3 ore che li aiuta a sviluppare lentamente le conoscenze di cyber security .

Leggi qui l'intera storia

Semplificare le cose con Guardey

Noi di Guardey siamo consapevoli del fatto che i vostri pensieri sono tanti. Come vi conformate alla NIS2, quali sono le vulnerabilità della vostra azienda e come potete prevenire un hack, una violazione dei dati o altri crimini informatici?

Ecco perché ci piace rendervi le cose più semplici. Con Guardey, scegliete una soluzione completa cyber security in una sola volta. Siamo plug & play, per una connessione sicura, contro il software dannoso e per formare i vostri dipendenti in modo professionale (ma divertente!).

Volete migliorare il sito cyber security della vostra azienda e conformarvi alla nuova direttiva NIS2? Scoprite la nostra soluzione o poneteci le vostre domande. Saremo lieti di spiegarvi come potete proteggervi con Guardey in modo accessibile, semplice e conveniente.