Sulla base della ricerca del Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann

Non è più una questione di "se", ma di "quando": la legge di attuazione NIS-2 sta arrivando – senza periodi di transizione. Qualsiasi amministratore delegato o membro del consiglio di amministrazione che creda che la cybersicurezza sia ancora una questione di competenza del dipartimento IT si sbagglia di grosso e rischia la propria responsabilità personale.

La direttiva UE NIS-2 (Network and Information Security 2, UE 2022/2555) impone alle aziende un approccio fondamentalmente diverso alla sicurezza informatica: la cybersicurezza diventa un compito di leadership con un ancoraggio legale, responsabilità personale e sanzioni severe. In Germania, la legge sull'attuazione della NIS-2 e sul rafforzamento della cybersicurezza (NIS2UmsuCG) recepisce questi requisiti – il disegno di legge del gabinetto è stato trasmesso al Bundestag nell'autunno del 2025, e l'approvazione è prevista a breve. Questo articolo spiega cosa significa concretamente tutto ciò.

Cos'è la NIS-2 e chi riguarda?

La NIS-2 è la direttiva UE riveduta sulla sicurezza delle reti e delle informazioni. Sostituisce la prima direttiva NIS del 2016 e ne amplia notevolmente l'ambito di applicazione. L'obiettivo è garantire un livello elevato e uniforme di cybersicurezza in tutta l'UE.

La differenza più importante rispetto alla versione precedente è che la NIS-2 si applica a un numero di aziende nettamente superiore rispetto a prima. Mentre il vecchio quadro normativo era concepito principalmente per gli operatori espliciti di infrastrutture critiche (KRITIS), ora rientrano nell'ambito di applicazione anche numerose altre imprese. In futuro, diverse decine di migliaia di aziende in Germania ricadranno sotto la nuova legge BSI (BSIG), comprese molte che finora non erano regolamentate (Teichmann, NIS2-Schulungspflicht der Geschäftsleitung – Regulatorische Grauzonen und nationale Umsetzung, Computer und Recht 2025, pagg. 718–725).

La legge distingue due categorie. I soggetti particolarmente importanti – le cosiddette "essential entities" – sono le aziende più grandi in settori critici come l'energia, i trasporti, le banche, la sanità, l'approvvigionamento idrico e l'infrastruttura digitale. I soggetti importanti – "important entities" – sono le medie imprese in settori più ampi come i servizi postali, la gestione dei rifiuti, il settore chimico, quello alimentare, il manifatturiero e i fornitori digitali.

Come regola generale, le aziende con più di 50 dipendenti o con un fatturato annuo superiore a 10 milioni di euro nei settori citati dovrebbero verificare con urgenza il proprio coinvolgimento. Il BSI offre uno strumento di verifica online a tale scopo. Un aspetto importante è anche il seguente: i fornitori di servizi IT del gruppo che prestano servizi essenziali per le società controllanti interessate possono rientrare essi stessi nell'ambito di applicazione (Teichmann, Computer und Recht 2025, pagg. 718–725).

Il cambio di paradigma: la cybersicurezza è ora una questione di competenza della direzione

Il principio cardine della NIS-2 è che la direzione dell'azienda è personalmente responsabile. Questa non è una responsabilità che si può delegare al responsabile IT o a un fornitore di servizi esterno.

L'art. 38 del progetto BSIG obbliga esplicitamente la direzione dei soggetti essenziali e importanti ad approvare e monitorare le misure tecniche e organizzative di cybersicurezza, a partecipare regolarmente a corsi di formazione in materia di sicurezza IT e ad assumersi la responsabilità personale in caso di violazione.

Teichmann sottolinea che questo non rappresenta una rottura fondamentale con la normativa vigente, ma introduce una specificazione e un inasprimento decisivi: la cybersicurezza viene normata per la prima volta esplicitamente come un compito di leadership (Teichmann, Cybersicherheit als Führungsaufgabe: Die BSI-Handreichung zur NIS-2-Schulungspflicht, Betriebs-Berater 2026, pagg. 74–77). Ciò che prima si poteva dedurre solo dalle norme generali sulla responsabilità degli organi societari, come l'art. 43 GmbHG e l'art. 93 AktG, ora è scritto nero su bianco nella legge. Chi, in veste di amministratore delegato, trascura l'attuazione delle misure NIS-2 non rischia solo sanzioni pecuniarie contro l'azienda, ma risponde anche personalmente, e l'azienda può rivalersi su di lui (Teichmann, Strafbare Non-Compliance: Persönliche Haftung von Geschäftsleitern und Organen bei Verstößen gegen die NIS2-Richtlinie, CyberStR 2026, pagg. 65–73).

I cinque ambiti di obbligo centrali

La gestione del rischio è il primo e fondamentale ambito di obbligo. Le aziende devono adottare misure tecniche e organizzative adeguate e proporzionate per gestire i rischi per la sicurezza. Ciò include concetti di analisi dei rischi e sicurezza delle informazioni, misure per la gestione degli incidenti di sicurezza, una gestione della continuità operativa funzionante con concetti di backup e di emergenza, la messa in sicurezza attiva della catena di fornitura, nonché corsi di formazione periodici e sensibilizzazione dei dipendenti. Il parametro di riferimento non è una sicurezza perfetta, ma lo stato dell'arte in combinazione con un rapporto costi-benefici adeguato. Il punto di riferimento tipico è la norma ISO/IEC 27001 (Teichmann, Auswirkungen der EU-NIS-2-Richtlinie auf Unternehmen, ZWH 2026, pagg. 6–11).

Gli obblighi di notifica costituiscono il secondo ambito di obbligo e sono particolarmente impegnativi nella pratica. La NIS-2 introduce un rigoroso obbligo di notifica entro 24 ore in caso di incidenti di sicurezza significativi. Un incidente è significativo se ha causato o può causare gravi interruzioni operative o perdite finanziarie rilevanti. Il processo di segnalazione si articola in tre fasi: entro 24 ore deve essere inviata una notifica iniziale al BSI, entro 72 ore una notifica completa dell'incidente con una prima valutazione, ed entro un mese deve essere presentata una relazione finale. Chi segnala in ritardo o non segnala affatto rischia sanzioni pecuniarie significative. Le aziende hanno quindi bisogno di processi interni funzionanti di rilevamento e di escalation per garantire che gli incidenti rilevanti raggiungano il livello decisionale in tempo utile (Teichmann, Die neue 24-Stunden-Meldepflicht für Cyberangriffe nach ISG, Jusletter, 29 settembre 2025).

L'obbligo di formazione per la direzione rappresenta la vera novità della NIS-2. I membri del consiglio di amministrazione e gli amministratori delegati devono partecipare regolarmente a corsi di formazione sulla cybersicurezza. La motivazione della legge specifica il termine "regolarmente" come almeno ogni tre anni. Il BSI raccomanda inoltre di adattare la frequenza in base al rischio: in caso di avvicendamento del management, di modifica dei processi aziendali o di aumento della minaccia, è opportuno effettuare la formazione in anticipo. Dal punto di vista dei contenuti, secondo le linee guida del BSI del 30 settembre 2025, i corsi devono coprire almeno le basi della NIS-2 e i doveri personali della direzione, i metodi di identificazione e valutazione dei rischi, l'importanza delle misure di protezione tecniche e organizzative, nonché le conseguenze legali in caso di violazione dei doveri. Non è richiesta una conoscenza approfondita da esperti IT, ma una solida comprensione di ciò che i cyber-rischi significano per la propria azienda e di come la dirigenza possa contrastarli. Le attività di formazione devono essere documentate e dimostrate al BSI su richiesta (Teichmann, Cybersicherheit als Führungsaufgabe, BB 2026, pagg. 74–77).

La responsabilità della catena di fornitura è il quarto ambito di obbligo e viene spesso sottovalutata nella pratica. La NIS-2 richiede che le aziende gestiscano attivamente la sicurezza dell'intera catena di fornitura. I fornitori di servizi, i fornitori di software e altri terzi con accesso ai sistemi IT devono essere inclusi nella valutazione del rischio. Le clausole contrattuali, gli audit di sicurezza e i requisiti di sicurezza specifici nei confronti dei fornitori non sono quindi un optional, ma un obbligo di legge (Teichmann, IT-Sicherheit in der Lieferkette, Der Betriebswirt 2024, pagg. 251–265).

Le sanzioni dimostrano chiaramente che il legislatore fa sul serio. I soggetti particolarmente importanti rischiano sanzioni pecuniarie fino a 10 milioni di euro o al 2% del fatturato annuo globale, a seconda di quale sia l'importo più elevato. Per i soggetti importanti la sanzione arriva fino a 7 milioni di euro o all'1,4% del fatturato annuo. Inoltre, alcune leggi di attuazione nazionali prevedono la possibilità di sospendere temporaneamente la direzione. A ciò si aggiunge la responsabilità civile interna personale della direzione nei confronti della propria azienda (Teichmann, Strafbare Non-Compliance, CyberStR 2026, pagg. 65–73).

Nessun periodo di transizione: perché occorre agire subito

Bisogna sfatare un errore comune: la legge di attuazione NIS-2 entrerà in vigore senza periodi di transizione. Il giorno successivo alla pubblicazione sulla Gazzetta Ufficiale federale, tutti gli obblighi saranno applicabili. Chi per allora non avrà ancora adottato alcuna misura si troverà in una situazione di rischio immediato.

Teichmann avverte esplicitamente che le aziende devono prepararsi già adesso, poiché non sono previsti periodi di transizione (Teichmann, Computer und Recht 2025, pagg. 718–725). Il ritardo nel processo legislativo – originariamente la NIS-2 avrebbe dovuto essere recepita entro ottobre 2024 – non deve essere interpretato come un segnale di cessato allarme, bensì come tempo prezioso guadagnato per la preparazione. Chi sfrutta questo tempo ottiene un reale vantaggio competitivo.

Cosa si applica già oggi: la responsabilità degli organi societari

Indipendentemente dalla NIS-2, già oggi vale la regola che gli amministratori delegati e i membri del consiglio di amministrazione che trascurano gravemente la sicurezza IT violano i propri doveri ai sensi dell'art. 43 GmbHG o dell'art. 93 AktG. La responsabilità generale di gestione comprende il dovere di garantire un'adeguata gestione del rischio, inclusi i cyber-rischi. Chi, nonostante i segnali di allarme, non introduce un piano di risposta agli incidenti, rifiuta gli investimenti necessari per la sicurezza o ignora gli standard di sicurezza disponibili, si espone al rischio di una responsabilità civile interna personale. Con le parole di Teichmann: non sarebbe un esercizio conforme ai doveri d'ufficio se la direzione decidesse contro un'adeguata gestione della sicurezza IT (Teichmann, Cybersicherheit als Führungsaufgabe, BB 2026, pagg. 74–77).

La NIS-2 specifica e inasprisce questa responsabilità già esistente. Allinearsi fin da oggi ai requisiti NIS-2 non serve quindi solo a proteggersi da future sanzioni, ma permette già ora di adempiere ai propri doveri legali in qualità di direzione aziendale.

Interazioni con altre normative

La NIS-2 non è un elemento isolato. Nel settore finanziario, da gennaio 2025 si applicano i requisiti del DORA (Digital Operational Resilience Act), che, in quanto norma più specifica, si sovrappongono in gran parte ai requisiti NIS-2. Le banche, le assicurazioni e le imprese di investimento devono utilizzare il DORA come quadro di riferimento primario (Teichmann, Digital Operational Resilience Act – EU-weit einheitliche IT-Sicherheitsregeln für Finanzinstitute, BB 2025, pagg. 2760–2770). Inoltre, a partire dal 2027, i produttori di prodotti connessi dovranno soddisfare i requisiti del Cyber Resilience Act (CRA), che rende la cybersicurezza un requisito di prodotto obbligatorio (Teichmann, Cybersicherheit als Produkteigenschaft, NJW 2025, pagg. 2577–2582). Poiché le violazioni dei dati personali spesso accompagnano gli incidenti informatici, gli obblighi di notifica previsti dalla NIS-2 e dal GDGPR devono essere coordinati – la rendicontazione parallela al BSI e all'autorità per la protezione dei dati è possibile e deve essere pianificata nella pratica.

Conclusione: la cybersicurezza come vantaggio strategico

La NIS-2 non è un programma burocratico marginale, ma un cambiamento fondamentale nella responsabilità legale dei vertici aziendali per la cybersicurezza. Il messaggio che emerge dalla vasta ricerca di Teichmann è chiaro: chi aspetta l'entrata in vigore della legge agisce troppo tardi.

Tuttavia, chi intende la cybersicurezza non come un semplice obbligo di costo ma come un vantaggio strategico ottiene molto più della conformità: fiducia dei clienti, migliori condizioni assicurative, vantaggi competitivi negli appalti pubblici e un'organizzazione più resiliente in grado di resistere anche a un attacco informatico grave. Le basi scientifiche per questo approccio esistono – e sono inequivocabili.

Tutte le fonti citate si riferiscono a pubblicazioni scientifiche del Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann. La bibliografia completa è documentata nell'elenco delle pubblicazioni (aggiornato a maggio 2026).