Recepimento NIS2: l'Italia è in regola, tre Paesi UE ancora senza legge

Un MSP di Milano gestisce l''infrastruttura di un fornitore francese di un operatore italiano. L''operatore è nell''elenco dell''ACN e deve avere le misure di base entro ottobre 2026. Il fornitore francese, invece, non ha ancora una legge nazionale NIS2. Chi risponde al questionario di sicurezza?

Il 17 ottobre 2026 sono passati due anni dalla scadenza europea per il recepimento NIS2. Ecco la situazione al 21 ottobre 2026 e cosa implica per il suo lavoro di consulenza.

Recepimento NIS2: chi ha una legge e chi no

La direttiva (UE) 2022/2555 andava recepita entro il 17 ottobre 2024. Secondo un tracker secondario aggiornato a metà settembre 2026, 24 Stati membri su 27 hanno ora una legge in vigore. Francia, Irlanda e Spagna no. Verifichi ogni riga sulla fonte nazionale.

L''Italia è tra i Paesi che hanno rispettato la scadenza: il decreto legislativo 138/2024 è in vigore dal 16 ottobre 2024 e l''Agenzia per la cybersicurezza nazionale (ACN) lo applica con proprie determinazioni. La Germania ha seguito il 6 dicembre 2025, la Polonia il 3 aprile 2026, i Paesi Bassi il 15 agosto 2026 e l''Austria il 1° ottobre 2026.

L''8 luglio 2026 la Commissione europea ha deferito Irlanda, Spagna, Francia e Paesi Bassi alla Corte di giustizia dell''UE per mancata notifica del recepimento completo.

Per l''Italia il quadro è diverso: le obbligazioni arrivano a tappe. Secondo la determinazione ACN 379907/2025, i soggetti inseriti nel 2025 devono avere le misure di base entro 18 mesi dalla notifica dell''ACN, il che porta a metà ottobre 2026. Legga la data sull''avviso del cliente.

Francia: ritirata dall''ordine del giorno il giorno prima

Il Senato francese ha approvato il testo il 12 marzo 2025, con 181 voti contro 134. Il dibattito all''Assemblea nazionale era fissato per il 7 e il 9 ottobre 2026. Il 6 ottobre la Conférence des présidents ha ritirato entrambe le sedute. Non c''è una nuova data. Restano circa 397 emendamenti, con l''articolo 16 bis su cifratura e backdoor come nodo principale.

L''autorità francese, ANSSI, ha pubblicato il quadro ReCyF a marzo 2026, con 20 obiettivi per i soggetti essenziali e 15 per quelli importanti. Dettagli nella nostra guida su la legge NIS2 francese e il ReCyF.

Spagna e Irlanda: bozze, non leggi

Il Consiglio dei ministri spagnolo ha approvato il disegno di legge sul coordinamento e la governance della cybersicurezza (Ley de Coordinación y Gobernanza de la Ciberseguridad) il 14 gennaio 2025, con procedura d''urgenza. È ancora una bozza in attesa di dibattito parlamentare. Vedi la Spagna e il deferimento alla Corte.

In Irlanda il National Cyber Security Bill è ancora in redazione. Vedi a che punto è il testo irlandese.

Il deferimento alla Corte colpisce gli Stati, non i suoi clienti

La Commissione chiede alla Corte una somma forfettaria e sanzioni giornaliere finché lo Stato non notifica il recepimento completo. Sono sanzioni contro lo Stato, non contro il suo cliente. I Paesi Bassi hanno messo in vigore la loro legge cinque settimane dopo il deferimento.

Cosa cambia e cosa no senza una legge nazionale

Una direttiva si rivolge agli Stati membri. Finché la Francia non recepisce, un''impresa francese non ha obbligo legale di registrazione, calendario nazionale di controllo o sanzione ai sensi di una legge NIS2 nazionale.

Ma l''obbligo arriva attraverso la catena di fornitura. L''articolo 21, paragrafo 2, lettera d, della NIS2 impone di gestire il rischio dei fornitori. Un soggetto italiano iscritto all''elenco ACN, un operatore tedesco o un ospedale olandese chiederà requisiti a tutti i fornitori, anche francesi, spagnoli e irlandesi, tramite questionari e clausole contrattuali. Queste clausole sono già esigibili. Il meccanismo è spiegato in NIS2 e sicurezza della catena di fornitura.

Il primo audit NIS2 di un cliente può quindi arrivare da un committente, non da un''autorità. E un''autorità di un Paese che ha recepito verifica che cosa i propri soggetti hanno chiesto ai fornitori.

Triage per clienti in Paesi senza legge

Parta dall''ambito, non dalla legge mancante. Tre domande per cliente:

1. Il cliente fornisce un soggetto di un Paese dove la NIS2 è già in vigore? Allora i questionari arrivano adesso.
2. Rientra in un settore NIS2 per dimensione e attività secondo il testo UE? Allora l''ambito è probabile, qualunque sia il calendario nazionale.
3. Ha già le evidenze per le dieci misure dell''articolo 21?

Una gap analysis risponde alla terza domanda in un pomeriggio, non in un trimestre. Faccia il quick scan di NIS2Certify e trasformi le lacune nel piano di lavoro che vende.

Poi documenti le evidenze: policy datate, inventario degli asset, piano di incidente testato e registro dei fornitori. È ciò che chiederà prima un committente e poi un''autorità. La nostra guida su cosa controllano le autorità dopo la registrazione mostra le stesse evidenze dal lato del supervisore.

Cosa dire ai clienti questo mese

Non dica a un cliente francese, spagnolo o irlandese che la NIS2 non si applica ancora. Gli dica che la legge nazionale è in ritardo, che i suoi committenti in altri Paesi no, e che le evidenze costruite ora serviranno comunque.