NIS2 a ottobre 2026: a che punto è il recepimento

Pubblicato 19 ottobre 2026 · Di Dazr

A due anni dalla scadenza, quattro Stati membri sono davanti alla Corte di giustizia UE, mentre Germania, Paesi Bassi e Austria applicano le leggi NIS2.

Gli Stati membri avevano tempo fino al 17 ottobre 2024 per recepire la direttiva NIS2 nel diritto nazionale. Due anni dopo la maggior parte lo ha fatto, alcuni ci stanno ancora lavorando e la Commissione europea ne ha portati quattro davanti alla Corte.

Quattro Paesi deferiti alla Corte di giustizia

L'8 luglio 2026 la Commissione ha deferito Irlanda, Spagna, Francia e Paesi Bassi alla Corte di giustizia dell'UE per non aver comunicato il pieno recepimento della NIS2. Ha chiesto alla Corte sanzioni pecuniarie: una somma forfettaria e penalità giornaliere fino al completamento del recepimento. La procedura era iniziata con lettere di costituzione in mora il 28 novembre 2024, seguite da pareri motivati il 7 maggio 2025.

Leggi ora in vigore

Germania: la legge di attuazione della NIS2 è stata pubblicata nella Gazzetta federale il 5 dicembre 2025 (BGBl. 2025 I Nr. 301) e si applica dal 6 dicembre 2025. I soggetti avevano tre mesi per registrarsi presso il BSI, che indica come scaduto il termine e chiede a chi non è ancora registrato di farlo subito.
Paesi Bassi: la Cyberbeveiligingswet (Cbw) è entrata in vigore il 15 agosto 2026, dopo il deferimento, insieme alla legge sulla resilienza dei soggetti critici (Wwke). Sostituisce la Wbni e i soggetti devono registrarsi presso l'NCSC.
Austria: il NISG 2026 (BGBl. I Nr. 94/2025) si applica dal 1° ottobre 2026 e sostituisce il NISG 2018.
Italia: il decreto legislativo 138/2024 si applica dal 16 ottobre 2024.

Ancora in corso

Francia: il disegno di legge sulla resilienza delle infrastrutture critiche e sul rafforzamento della cybersicurezza, che recepisce la NIS2 insieme alla direttiva CER e alla direttiva DORA, è stato approvato in prima lettura dal Senato il 12 marzo 2025. La commissione dell'Assemblée nationale ha adottato il suo testo il 10 settembre 2025 e l'iter non è ancora concluso.
Spagna: il Consiglio dei ministri ha approvato il 14 gennaio 2025 il progetto preliminare di legge sul coordinamento e la governance della cybersicurezza. Finché una nuova legge non sarà pubblicata nel BOE, resta in vigore il Real Decreto-ley 12/2018, che aveva recepito la prima direttiva NIS.
Irlanda: il General Scheme del National Cyber Security Bill è stato pubblicato nell'agosto 2024. La legge non è ancora stata approvata.

Modifiche proposte

Il 20 gennaio 2026 la Commissione ha proposto, in un pacchetto sulla cybersicurezza, modifiche mirate alla NIS2: regole più semplici sullo Stato competente, raccolta semplificata dei dati sugli attacchi ransomware e una nuova categoria di piccole imprese a media capitalizzazione. Secondo la Commissione, le modifiche faciliterebbero la conformità di 28.700 imprese. Sono proposte: fino alla loro adozione si applicano la direttiva attuale e le leggi nazionali.

Cosa significa in pratica

Verificate ogni Paese in cui operate. Obblighi di registrazione, autorità, scadenze e sanzioni sono nazionali e diversi.
Prima la registrazione. Dove la legge si applica, la registrazione presso l'autorità nazionale è di solito la prima scadenza, spesso a breve termine.
Non aspettate una legge in ritardo. Gli obblighi derivano dalla legge nazionale e partono quando questa si applica. Clienti e committenti pubblici chiedono già le misure dell'articolo 21 e garanzie sui fornitori, e il regolamento di esecuzione (UE) 2024/2690 descrive in dettaglio tali misure per i fornitori di servizi digitali.

Fonti

A scopo informativo, non costituisce consulenza legale. Ultimo aggiornamento: 19 ottobre 2026.

Argomenti: NIS2, UE, Recepimento

Disponibile anche in: English, Nederlands, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål