NIS2 nel 2027: una roadmap di conformità per le medie imprese

La NIS2 non è più un progetto da rimandare. La direttiva UE doveva essere recepita entro il 17 ottobre 2024, la legge tedesca di attuazione si applica dal 6 dicembre 2025 e quella austriaca dal 1° ottobre 2026. Per molte medie imprese il 2027 sarà l’anno in cui le autorità passano dalla registrazione alla verifica dell’efficacia reale delle misure di sicurezza.

Questa guida spiega cosa si applica oggi, cosa cambia nel 2027 e cosa è solo proposto. Ricerca aggiornata all’11 novembre 2026. Si tratta di informazioni generali, non di consulenza legale; verifichi la classificazione della sua azienda con un avvocato o con il suo consulente di compliance.

La risposta breve

Se la sua azienda ha almeno 50 dipendenti, oppure più di 10 milioni di euro di fatturato annuo e di totale di bilancio, e opera in uno dei settori NIS2, molto probabilmente rientra nell’ambito di applicazione. Deve registrarsi presso l’autorità nazionale, attuare misure documentate di gestione del rischio, notificare gli incidenti significativi entro 24 ore e assicurarsi che il vertice aziendale approvi, supervisioni e sia formato sulla cybersicurezza. Anche se la sua azienda è troppo piccola per essere coinvolta, i clienti soggetti alla NIS2 le trasferiranno molti di questi requisiti tramite contratto.

A che punto è la NIS2 (novembre 2026)

• 16 gennaio 2023: entra in vigore la direttiva NIS2, (UE) 2022/2555.
• 17 ottobre 2024: termine per il recepimento da parte degli Stati membri. L’Italia applica il suo decreto dal 16 ottobre 2024; la maggior parte dei Paesi è arrivata in ritardo.
• 6 dicembre 2025: entra in vigore la legge tedesca di attuazione della NIS2 (NIS2UmsuCG) e la nuova legge sul BSI si applica a circa 29.500 imprese e istituzioni.
• 6 marzo 2026: scade il termine legale per la registrazione dei soggetti tedeschi presso il BSI. La registrazione tardiva resta obbligatoria.
• 8 luglio 2026: la Commissione europea deferisce Irlanda, Spagna, Francia e Paesi Bassi alla Corte di giustizia dell’UE per non aver notificato il recepimento completo.
• 1° ottobre 2026: entra in vigore in Austria la NISG 2026, con registrazione entro la fine del 2026.

La panoramica della Commissione sul recepimento elenca le leggi nazionali Paese per Paese. Dove la legge nazionale manca ancora, gli obblighi della direttiva non vincolano direttamente le imprese, ma lo faranno non appena la legge si applicherà, di solito senza un lungo periodo transitorio.

La NIS2 si applica alla sua azienda?

La NIS2 usa tre criteri: il settore, la dimensione e, in alcuni casi, il tipo di servizio indipendentemente dalla dimensione.

• Settori: l’allegato I (settori ad alta criticità) comprende energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi TIC, pubblica amministrazione e spazio. L’allegato II comprende servizi postali e di corriere, gestione dei rifiuti, chimica, alimenti, fabbricazione di dispositivi medici, elettronica, macchinari e veicoli, fornitori di servizi digitali e ricerca.
• Dimensione: le medie imprese con almeno 50 dipendenti o più di 10 milioni di euro di fatturato e di totale di bilancio sono in genere incluse. Le grandi imprese con almeno 250 dipendenti, oppure più di 50 milioni di euro di fatturato e 43 milioni di euro di bilancio, in un settore dell’allegato I sono di solito soggetti essenziali.
• Indipendentemente dalla dimensione: prestatori di servizi fiduciari qualificati, fornitori di servizi DNS, registri dei nomi di dominio di primo livello e fornitori di comunicazioni elettroniche pubbliche sono inclusi anche se piccoli.
• Catena di fornitura: un’azienda non soggetta sente comunque la NIS2 quando un cliente soggetto chiede clausole di sicurezza, evidenze e notifica degli incidenti nei contratti di fornitura.

Fornitori di servizi IT gestiti, fornitori di servizi di sicurezza gestiti, fornitori di cloud computing e operatori di data center rientrano nei settori infrastrutture digitali o gestione dei servizi TIC. Se ospita o gestisce sistemi per conto di altri, lo verifichi con attenzione.

Cosa richiede la NIS2

L’articolo 21 della direttiva e il § 30 della legge tedesca sul BSI richiedono misure tecniche e organizzative adeguate, proporzionate e documentate. Come minimo devono coprire:

• analisi dei rischi e politiche di sicurezza delle informazioni;
• gestione degli incidenti;
• continuità operativa, compresi gestione dei backup, ripristino in caso di disastro e gestione delle crisi;
• sicurezza della catena di approvvigionamento, compresi i rapporti con fornitori diretti e prestatori di servizi;
• sicurezza nell’acquisizione, nello sviluppo e nella manutenzione dei sistemi, compresi gestione e divulgazione delle vulnerabilità;
• procedure per valutare l’efficacia delle misure;
• pratiche di igiene informatica di base e formazione sulla cybersicurezza;
• politiche sulla crittografia e, se opportuno, sulla cifratura;
• sicurezza delle risorse umane, controllo degli accessi e gestione degli asset;
• autenticazione a più fattori o continua e comunicazioni protette, ove opportuno.

Per fornitori cloud, data center, fornitori di servizi gestiti, mercati online e fornitori digitali analoghi, il regolamento di esecuzione (UE) 2024/2690 dettaglia queste misure e stabilisce quando un incidente è significativo.

Notifica degli incidenti: 24 ore, 72 ore, un mese

Per un incidente significativo il § 32 della legge tedesca sul BSI segue il modello in tre fasi della direttiva:

• un preallarme senza indebito ritardo ed entro 24 ore dalla conoscenza dell’incidente, indicando se si sospetta un’azione malevola o un impatto transfrontaliero;
• una notifica dell’incidente entro 72 ore con una prima valutazione di gravità e impatto e, se disponibili, gli indicatori di compromissione;
• una relazione finale entro un mese dalla notifica, oppure una relazione sui progressi se l’incidente è ancora in corso.

Ventiquattro ore sono poche. Il termine decorre dal momento in cui si viene a conoscenza dell’incidente, quindi chi classifica l’incidente, chi lo notifica e tramite quale portale va deciso prima che accada qualcosa.

Il vertice aziendale è responsabile

Secondo il § 38 della legge tedesca sul BSI, gli organi di gestione dei soggetti coinvolti devono attuare le misure di gestione del rischio e sorvegliarne l’attuazione. Chi viola questo obbligo risponde verso la società secondo le norme di diritto societario applicabili alla sua forma giuridica e deve partecipare regolarmente a corsi di formazione per riconoscere e valutare i rischi informatici. La cybersicurezza non può più essere delegata interamente al reparto IT.

Sanzioni e vigilanza

La direttiva prevede sanzioni massime pari ad almeno 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali e a 7 milioni di euro o all’1,4% per i soggetti importanti. In Germania il § 65 della legge sul BSI applica i limiti percentuali solo alle imprese con oltre 500 milioni di euro di fatturato complessivo; la mancata registrazione può costare fino a 500.000 euro. I soggetti essenziali sono soggetti a vigilanza proattiva, quelli importanti soprattutto a vigilanza successiva in presenza di indizi di non conformità.

Germania: cosa significa in pratica la NIS2UmsuCG

In Germania la registrazione avviene in due passaggi: prima un account su “Mein Unternehmenskonto”, che usa i certificati ELSTER per le organizzazioni, poi la registrazione nel portale del BSI, aperto il 6 gennaio 2026. Il termine legale è scaduto il 6 marzo 2026, tre mesi dopo l’entrata in vigore della legge. Secondo la pagina del BSI sugli obblighi NIS-2, i soggetti devono registrarsi entro tre mesi dal momento in cui rientrano per la prima volta nella NIS2 e comunicare le modifiche entro due settimane.

Gli operatori di impianti critici hanno un obbligo aggiuntivo: devono dimostrare le proprie misure ogni tre anni tramite audit, verifiche o certificazioni, a una data fissata dal BSI. Per tutti gli altri il 2027 sarà l’anno in cui analisi dei rischi, documentazione e processi di notifica dovranno esistere quando il BSI li chiederà.

Austria e Italia: scadenze nel 2027

In Austria la NISG 2026 si applica dal 1° ottobre 2026. I soggetti essenziali e importanti devono registrarsi tramite il portale per le imprese USP; l’Ufficio federale per la cybersicurezza indica il 31 dicembre 2026 come termine, mentre la regola dei tre mesi prevista dalla legge può arrivare al 4 gennaio 2027. La mancata registrazione può comportare sanzioni fino a 50.000 euro, o 100.000 euro in caso di recidiva.

In Italia il decreto legislativo 138/2024 si applica dal 16 ottobre 2024. I soggetti inseriti per la prima volta nell’elenco NIS nel 2026 devono notificare gli incidenti significativi dal 1° gennaio 2027, e quindi designare un referente CSIRT entro la fine del 2026, e adottare le misure di sicurezza di base entro il 31 luglio 2027, secondo l’Agenzia per la Cybersicurezza Nazionale (ACN). I soggetti inseriti nel 2025 notificano già da gennaio 2026.

Cosa potrebbe cambiare nel 2027 e cosa è solo proposto

Due proposte della Commissione modificherebbero la NIS2: le modifiche mirate della COM(2026) 13 del 20 gennaio 2026, su ambito, regole dimensionali e registrazione, e il Digital Omnibus COM(2025) 837, che propone una notifica degli incidenti più semplice. Il 21 ottobre 2026 il Consiglio ha concordato la propria posizione sul Digital Omnibus, sostituendo il portale unico UE con punti di accesso nazionali. Nessuna delle due proposte è legge; il Parlamento europeo non ha ancora votato e la Commissione deve riesaminare la NIS2 entro il 17 ottobre 2027. Pianifichi in base alle regole in vigore, non alle bozze. Se usa anche l’intelligenza artificiale, la nostra guida all’EU AI Act nel 2027 copre le scadenze parallele sull’IA.

Una roadmap 2027 per le medie imprese

1. Verificare l’ambito e registrarsi

Confronti il suo settore con gli allegati I e II, calcoli dipendenti e fatturato secondo la definizione UE di PMI, che può includere imprese associate e collegate, e documenti il risultato anche se conclude di non essere coinvolto. Se rientra nell’ambito e non si è ancora registrato, lo faccia ora. Una registrazione tardiva è meglio di nessuna.

2. Eseguire un’analisi dei rischi e dei gap

Mappi i servizi critici, i sistemi che li supportano e i fornitori da cui dipendono. Confronti la situazione attuale con le dieci misure minime e registri i gap con un responsabile e una scadenza. È il primo documento che un’autorità o un cliente chiederà.

3. Rendere operativa la notifica degli incidenti

Definisca cosa è un incidente significativo per la sua azienda, chi decide, chi notifica e chi parla con i clienti. Organizzi un’esercitazione con un caso realistico, come un ransomware o un’interruzione dell’hosting. Il nostro articolo su come gestiamo interruzioni, errori 500 e malware mostra come sono in pratica le prime ore.

4. Proteggere backup, accessi e aggiornamenti

Usi l’autenticazione a più fattori per tutti gli accessi amministrativi e remoti, mantenga backup offline o immutabili e testati e applichi rapidamente le patch ai sistemi esposti su internet. La scelta tra hosting gestito e hosting condiviso conta, perché stabilisce chi è responsabile di aggiornamenti, monitoraggio e ripristini.

5. Gestire i fornitori

Elenchi i fornitori che possono influire sui servizi critici, chieda evidenze come certificati ISO/IEC 27001 o rapporti di audit e aggiunga ai contratti clausole di sicurezza e di notifica degli incidenti. Nella scelta del cloud, localizzazione dei dati e supporto fanno parte del rischio; veda il nostro confronto Hetzner, AWS e Azure per le PMI.

6. Formare vertici e personale

Pianifichi una formazione regolare per gli amministratori, come richiesto dalla legge, e brevi sessioni di sensibilizzazione per ruolo per il personale. Conservi i registri di partecipazione. Phishing e credenziali rubate restano la via d’accesso più comune.

7. Documentare, misurare e riesaminare

Tenga politiche, decisioni sui rischi, registri della formazione e degli incidenti in un unico luogo, definisca pochi indicatori come i tempi di patch e gli esiti dei test di backup e li riesamini ogni sei mesi. Se mancano le persone per farlo, un fornitore di servizi IT gestiti può occuparsi di monitoraggio e operatività, ma la responsabilità legale resta in capo al vertice aziendale.

Come aiuta Metanow

Metanow lavora su progetti cloud, hosting ed ERP dal 2022, e Metanow Cloud ospita siti web e applicazioni per oltre 10.000 aziende. Aiutiamo le medie imprese nel lato tecnico della NIS2: hosting gestito con monitoraggio, backup e patch, accessi a più fattori, logging, registri di asset e fornitori in Odoo e flussi di gestione degli incidenti automatizzati con n8n. Non siamo uno studio legale né un organismo di certificazione; lavoriamo insieme al suo consulente legale e al suo auditor perché la documentazione corrisponda ai sistemi.

Domande frequenti

Fonti ufficiali

• EUR-Lex — Directive (EU) 2022/2555 (NIS2 Directive)
• EUR-Lex — Commission Implementing Regulation (EU) 2024/2690 (technical and methodological requirements for digital providers)
• European Commission — NIS2 Directive transposition in EU countries
• European Commission — referral of Ireland, Spain, France and the Netherlands to the Court of Justice (8 July 2026)
• EUR-Lex — procedure for COM(2026) 13, proposal amending Directive (EU) 2022/2555
• BSI Act (BSIG) § 28 — essential and important entities
• BSI Act (BSIG) § 30 — risk management measures
• BSI Act (BSIG) § 32 — reporting obligations
• BSI Act (BSIG) § 33 — registration obligation
• BSI Act (BSIG) § 38 — duties of management
• BSI Act (BSIG) § 39 — evidence obligations for operators of critical facilities
• BSI Act (BSIG) § 65 — fines
• BSI — NIS-2 obligations and registration
• BSI press release — NIS-2 implementation act in force (5 December 2025)
• BSI press release — BSI portal opened for NIS-2 registration (6 January 2026)
• Austria, Federal Office for Cybersecurity — NISG 2026 registration FAQ
• Austria, RIS — NISG 2026 § 29 (register and registration)
• Italy, ACN — determinations on obligations for new NIS entities (2026)
• Italy, ACN — NIS FAQ: security measures and incident notification
• Council of the EU — position on the Digital Omnibus for data protection, privacy and cyber reporting (21 October 2026)