La legge NIS2 francese sta arrivando: cosa significa il ReCyF di ANSSI per i fornitori IT e gli MSP

La Francia sta per attivare l'interruttore NIS2 — e il calendario è stretto.

Il Parlamento francese dovrebbe votare la legge sulla resilienza delle infrastrutture critiche e il rafforzamento della cybersicurezza a luglio 2026. Una volta approvata, la legge porterà circa 15.000 entità sotto gli obblighi formali NIS2 — un aumento di dieci volte rispetto alle ~500 organizzazioni regolate dal precedente quadro NIS1 francese. Per consulenti IT, MSP e vCISO che servono clienti francesi o forniscono a organizzazioni regolate in Francia, la finestra per anticiparsi si sta chiudendo rapidamente.

Ecco cosa è cambiato, cosa ha pubblicato ANSSI e cosa significa per il vostro lavoro.

La Francia Era in Ritardo — Ma Ora Si Muove Velocemente

La Francia ha mancato la scadenza UE di ottobre 2024 per il recepimento NIS2, unendosi ad altri 18 Stati membri formalmente avvertiti dalla Commissione europea. Il processo legislativo è stato più lento del previsto, in parte a causa dell'instabilità politica e in parte a causa della complessità dell'esistente quadro francese per le infrastrutture critiche, noto come regime SAIV.

Quel ritardo non è più un motivo per aspettare. Nel marzo 2026, ANSSI — Agence Nationale de la Sécurité des Systèmes d'Information, l'autorità nazionale di cybersicurezza della Francia — ha pubblicato il Référentiel Cyber France (ReCyF v2.5). Si tratta di un framework di 152 misure di sicurezza che definisce come si presenta la conformità NIS2 in pratica ai sensi della legge francese. Le entità non hanno bisogno della legge definitiva per iniziare a utilizzarlo. Il ReCyF è operativo, ANSSI sta già guidando le organizzazioni verso di esso e gli auditor lo useranno come benchmark.

Cosa Copre Effettivamente il ReCyF

Il ReCyF organizza 152 misure di sicurezza su 20 obiettivi di sicurezza. Sia le Entità Importanti (EI) che le Entità Essenziali (EE) sono soggette agli obiettivi da 1 a 15, che coprono i fondamenti della cybersicurezza:

• Inventario e classificazione degli asset
• Governance, responsabilità e politica di sicurezza a livello di consiglio
• Controllo degli accessi, gestione delle identità e gestione dei privilegi
• Protezione tecnica — ritmo di patch, hardening delle configurazioni, controlli degli endpoint
• Gestione delle crisi, risposta agli incidenti e continuità operativa

Le entità essenziali devono inoltre soddisfare i requisiti degli obiettivi 16–20. Se state consigliando un'entità francese sulla sua postura NIS2, il ReCyF è il vostro documento di lavoro.

Chi Rientra nel Campo di Applicazione

La legge francese classificherà le entità in due livelli — Entità Essenziali (EE) ed Entità Importanti (EI). Nell'Allegato II (Entità Importanti) rientrano:

• Fornitori di servizi gestiti e servizi di sicurezza gestiti IT
• Servizi postali e di corriere
• Gestione dei rifiuti
• Produzione di dispositivi medici, elettronica, macchinari e autoveicoli
• Marketplace digitali e motori di ricerca

Per MSP e consulenti IT che operano in Francia o servono clienti francesi regolati: i vostri clienti rientrano nel campo di applicazione. Siete un nodo critico nella loro catena di conformità.

La Francia passa da circa 500 entità regolate a circa 15.000. La grande maggioranza sono Entità Importanti in settori che non si sono mai confrontati con audit obbligatori di cybersicurezza.

Il Calendario di Applicazione

• Luglio 2026: Legge approvata, entra in vigore
• T4 2026: ANSSI inizia la supervisione formale e la registrazione delle entità tramite la piattaforma MesServicesCyber
• 2027: I cicli regolari di audit iniziano per le entità essenziali; le finestre di notifica iniziale di 24 ore e di valutazione completa di 72 ore per gli incidenti diventano strettamente applicabili
• Dal 2027 in poi: Si applicano sanzioni — fino a €10 milioni o il 2% del fatturato annuo globale per le entità essenziali, €7 milioni o l'1,4% per le entità importanti

Cosa Fare Adesso

Mappate la vostra base clienti rispetto agli Allegati I e II di NIS2. Identificate quali clienti probabilmente rientrano nel campo di applicazione.

Scaricate il ReCyF. Esaminate le 152 misure rispetto alla vostra offerta di servizi attuale e identificate le lacune.

Eseguite subito un'analisi dei gap. Il ReCyF è il framework operativo che ANSSI utilizzerà per valutare la conformità. Non aspettate la legge. Consultate anche la nostra guida passo dopo passo all'analisi dei gap NIS2.

Esaminate i vostri obblighi diretti. In quanto MSP, potreste rientrare direttamente nella categoria Entità Importanti — non solo indirettamente tramite i vostri clienti.

Anticipate il linguaggio contrattuale. I clienti francesi soggetti a NIS2 dovranno trasmettere i requisiti di cybersicurezza ai propri fornitori.

Per una valutazione rapida della postura di conformità dei vostri clienti, utilizzate il quick scan NIS2 su NIS2Certify.

Conclusione

La legge NIS2 della Francia è a settimane dall'essere approvata. ANSSI ha già pubblicato il suo framework operativo a 152 misure e ha costruito l'infrastruttura di registrazione. Per consulenti IT e MSP, la direzione è chiara: mappare il campo di applicazione, eseguire analisi dei gap basate sul ReCyF e anticipare i requisiti della catena di fornitura prima che i clienti francesi inizino a chiedere prove.

Aspettare la legge definitiva prima di iniziare è la scelta sbagliata. Il framework è operativo. Il calendario è fissato. Il lavoro inizia adesso.