NIS2 Articolo 26: quale autorità vigila davvero sul vostro cliente?

Un managed service provider di Rotterdam gestisce le security operations di un cliente con sede legale a Francoforte, tre stabilimenti produttivi in Polonia e un ufficio commerciale a Milano.

Quattro paesi. Quattro leggi nazionali NIS2. Quattro autorità di vigilanza.

Quale può sottoporlo ad audit?

La maggior parte dei consulenti sbaglia. Presume che NIS2 funzioni come lo sportello unico del GDPR, oppure che ogni paese di operatività aggiunga un''autorità. Nessuna delle due cose è vera. L''articolo 26 NIS2 fissa la regola e divide i soggetti in due gruppi che si comportano in modo molto diverso.

Per la maggior parte dei settori la giurisdizione segue lo stabilimento — in ogni paese in cui operate

L''articolo 26(1)(a) è breve: i soggetti rientrano nella giurisdizione dello Stato membro in cui sono stabiliti.

Notate il plurale implicito. Un produttore con entità giuridiche in Germania, Polonia e Italia è stabilito tre volte. Se ciascuna di quelle entità supera la soglia dimensionale in un settore dell''allegato I o dell''allegato II, ognuna rientra separatamente nell''ambito di applicazione, si registra separatamente ed è vigilata separatamente dall''autorità di quel paese.

È il caso standard e riguarda la maggior parte dei clienti: energia, trasporti, banche, sanità, acqua potabile, acque reflue, manifattura, alimentare, gestione dei rifiuti, servizi postali, chimica, fornitori digitali, ricerca.

Esempio concreto. Un produttore alimentare ha uno stabilimento con 60 addetti in Polonia e uno con 40 addetti in Belgio. L''entità polacca rientra nell''ambito della legge polacca e deve registrarsi lì. L''entità belga da sola non raggiunge la soglia dimensionale. Stesso gruppo, obblighi diversi, autorità diverse, due programmi di compliance separati.

I consulenti che costruiscono un unico programma NIS2 centrale per un gruppo e si fermano lì lasciano scoperta ogni entità locale. La policy di gruppo è utile. Non sostituisce la registrazione locale e la vigilanza locale.

I fornitori digitali e di servizi gestiti hanno una sola autorità

L''articolo 26(1)(b) isola un elenco preciso e assegna a quei soggetti un unico punto di vigilanza, ovunque operino nell''UE:

• fornitori di servizi DNS
• registri dei nomi di dominio di primo livello
• soggetti che forniscono servizi di registrazione dei nomi di dominio
• fornitori di servizi di cloud computing
• fornitori di servizi di data center
• fornitori di reti di distribuzione dei contenuti
• fornitori di servizi gestiti
• fornitori di servizi di sicurezza gestiti
• fornitori di mercati online, motori di ricerca online e piattaforme di servizi di social network

Questi soggetti rientrano nella giurisdizione dello Stato membro in cui hanno il loro stabilimento principale. Un''autorità. Una registrazione. Una legge nazionale, anche se servono clienti in tutti i 27 Stati membri.

Se gestite un MSP o un MSSP, questo riguarda voi — la vostra posizione di compliance, non solo quella dei clienti. Vedete la nostra guida a NIS2 per MSP e MSSP sul problema del doppio obbligo.

«Stabilimento principale» non è la vostra sede legale

È qui che la maggior parte delle autovalutazioni si rompe. L''articolo 26(2) definisce lo stabilimento principale attraverso una cascata, e la sede legale non compare da nessuna parte.

1. Lo Stato membro in cui le decisioni relative alle misure di gestione dei rischi di cibersicurezza sono prevalentemente adottate.
2. Se quello Stato membro non è determinabile, o se tali decisioni non sono adottate nell''Unione — lo Stato membro in cui sono svolte le operazioni di cibersicurezza.
3. Se nemmeno questo è determinabile — lo Stato membro in cui il soggetto ha lo stabilimento con il maggior numero di dipendenti nell''Unione.

Rileggete il punto uno. Conta dove vengono prese le decisioni. Non dove la società è costituita, non dove siede l''amministratore delegato, non dove vengono emesse le fatture.

Un MSP costituito in Lussemburgo per ragioni fiscali, con CISO, comitato di indirizzo sulla sicurezza e registro dei rischi ad Anversa, ha lo stabilimento principale in Belgio. Si applica la legge belga. Vigila il CCB. L''iscrizione lussemburghese è irrilevante ai fini dell''articolo 26.

Documentate a quale passaggio della cascata siete arrivati e perché. Quando un''autorità lo chiede, «i nostri legali hanno detto Lussemburgo» non è una risposta. I verbali del consiglio che mostrano dove vengono approvate le decisioni di gestione del rischio, sì.

I fornitori extra-UE devono nominare un rappresentante — e quella scelta fissa la giurisdizione

L''articolo 26(3) riguarda i fornitori dell''elenco 26(1)(b) non stabiliti nell''Unione ma che vi offrono servizi. Devono designare un rappresentante stabilito in uno degli Stati membri in cui offrono tali servizi. Il soggetto si considera allora soggetto alla giurisdizione dello Stato membro in cui quel rappresentante è stabilito.

Due conseguenze che i consulenti trascurano sistematicamente.

Nominare un rappresentante non protegge il soggetto. Si può comunque agire legalmente contro il fornitore stesso, anche in presenza di un rappresentante designato.

Non nominarlo non crea immunità. Crea un fornitore non rappresentato che vende in un mercato in cui le autorità possono comunque agire contro di lui.

Conseguenza pratica: se rivendete o integrate una piattaforma cloud statunitense, britannica o svizzera in un servizio essenziale di un cliente, chiedete il loro rappresentante UE e lo Stato membro in cui si trova. Se non sanno indicarlo, avete un rilievo da inserire nella valutazione della catena di approvvigionamento del cliente. Esattamente il tipo di lacuna trattata in sicurezza della catena di approvvigionamento NIS2.

Una sola autorità non significa un solo regolamento

L''articolo 26 stabilisce chi vi vigila. Non armonizza rispetto a cosa vi vigila.

NIS2 è una direttiva, non un regolamento. Ogni Stato membro l''ha recepita in una propria legge, con un proprio portale di registrazione, propri termini, una propria interpretazione delle soglie dimensionali e, in diversi casi, un proprio framework di controllo — il CyFun belga, la categorizzazione ACN italiana, il BSIG tedesco.

E il recepimento è ancora incompleto. L''8 luglio 2026 la Commissione europea ha deferito Irlanda, Spagna, Francia e Paesi Bassi alla Corte di giustizia dell''UE per mancata notifica di misure di recepimento complete, chiedendo sanzioni pecuniarie in ciascun caso. Cosa significhi per i fornitori l''abbiamo trattato in Francia e Spagna deferite alla CGUE.

Per un fornitore dell''elenco 26(1)(b) lo stabilimento principale è quindi una vera variabile strategica. Dove vengono prese le vostre decisioni di sicurezza determina in quale portale vi registrate, a quale CSIRT notificate, con quale cultura di vigilanza avete a che fare e a quale framework devono essere mappate le vostre evidenze. Non è qualcosa da scoprire durante un audit. Verificate la posizione di ogni paese nella nostra timeline di attuazione NIS2.

L''articolo 27 impedisce di scegliere in silenzio una giurisdizione favorevole

L''articolo 27 impone agli Stati membri di raccogliere, tramite i punti di contatto unici, le informazioni identificative di ogni soggetto dell''elenco 26(1)(b) e trasmetterle all''ENISA. L''ENISA tiene un registro a livello di Unione e ne consente l''accesso alle autorità competenti su richiesta.

Le informazioni trasmesse comprendono il nome del soggetto, il settore e sottosettore pertinenti degli allegati, indirizzo e recapiti, gli Stati membri in cui presta servizi e i suoi intervalli di indirizzi IP.

Questi ultimi due elementi pesano più di quanto sembri. Siete voi a dichiarare i paesi serviti, l''ENISA detiene il registro e qualsiasi autorità nazionale può chiederne l''accesso.

Quindi un fornitore che si registra nello Stato membro con la reputazione di vigilanza più leggera mentre le decisioni di sicurezza reali sono prese altrove non si sta nascondendo. Sta depositando una dichiarazione che fornisce alle autorità la materia prima per notare la discrepanza. La registrazione è già di per sé l''obbligo NIS2 più disatteso — vedete l''obbligo di registrazione.

Sbagliare giurisdizione si somma in tre violazioni distinte

Raramente resta un problema di scartoffie.

Registrazione. Se vi registrate nello Stato membro sbagliato, siete non registrati in quello giusto. Nella maggior parte delle leggi nazionali è una violazione autonoma, del tutto indipendente da quanto sia buona la vostra postura di sicurezza reale.

Notifica degli incidenti. Il preallarme entro 24 ore va al CSIRT dello Stato membro competente. Se lo mandate a quello sbagliato, l''orologio continua a correre mentre ve ne accorgete. Una notifica tardiva è una violazione separata rispetto all''incidente stesso. I termini sono in notifica degli incidenti NIS2.

Catena di approvvigionamento. I vostri clienti devono valutare i propri fornitori ai sensi dell''articolo 21(2)(d). Un fornitore che non sa indicare la propria autorità di vigilanza è un fornitore il cui stato di conformità non è verificabile — e questo finisce direttamente come rischio aperto nella documentazione fornitori del cliente.

Cosa documentare per ogni cliente multipaese

Quattro documenti. Nessuno richiede molto tempo. Tutti vengono richiesti.

1. Una mappa delle entità. Ogni entità giuridica, il paese, l''organico, il fatturato e il settore dell''allegato I o II in cui rientra. Vi dice quali entità rientrano separatamente nell''ambito ai sensi dell''articolo 26(1)(a).
2. Una nota sullo stabilimento principale per ogni soggetto dell''elenco 26(1)(b). Indicate il passaggio della cascata applicato, le evidenze a supporto e la data. Una pagina basta.
3. Il fascicolo di registrazione. Portale, data di invio, numero di protocollo, autorità competente e il canale del CSIRT nazionale per le notifiche.
4. I dati del rappresentante per ogni fornitore extra-UE nella catena di approvvigionamento critica del cliente, incluso lo Stato membro del rappresentante.

Rivedete la nota sullo stabilimento principale ogni volta che la funzione sicurezza si sposta. Spostare un SOC, esternalizzare le security operations in un altro paese o assumere un CISO in una nuova sede può spostare la giurisdizione lungo la cascata. Nessuna autorità vi manderà un avviso.

La maggior parte delle organizzazioni scopre che l''assunzione sulla giurisdizione era sbagliata proprio quando le viene già chiesto di dimostrare altro. Il nostro quick scan NIS2 gratuito attraversa ambito di applicazione, giurisdizione e misure dell''articolo 21 in circa dieci minuti e restituisce una gap analysis che potete portare direttamente al cliente.

L''articolo 26 sono due paragrafi di testo giuridico. Sbagliarlo invalida tutto ciò che ci costruite sopra.