NIS2 e la Cyberbeveiligingswet: la mia azienda vi rientra?

Dal 15 augustus 2026 nei Paesi Bassi è in vigore la Cyberbeveiligingswet (legge olandese sulla cybersicurezza). Forse ha già sentito parlare di NIS2 da un cliente, un fornitore o un consulente. In questo articolo trova una breve spiegazione di cosa prevede la legge, a chi si applica e cosa significa per una piccola impresa che non vi rientra direttamente.

Questo articolo fornisce informazioni generali e non costituisce consulenza legale. Le regole aggiornate sono disponibili presso l'NCSC e nel testo di legge.

Di cosa si tratta?

NIS2 è una direttiva europea del 2022 (Direttiva (UE) 2022/2555) che mira a rendere digitalmente più resilienti le organizzazioni dei settori importanti. Ogni Paese recepisce la direttiva con una propria legge. Nei Paesi Bassi si tratta della Cyberbeveiligingswet (Cbw). La legge è in vigore dal 15 augustus 2026, senza periodo transitorio, e sostituisce la precedente Wet beveiliging netwerk- en informatiesystemen (Wbni). Secondo l'NCSC vi rientrano oltre 8.000 organizzazioni. L'NCSC è il punto di contatto.

La mia impresa vi rientra?

Dipende da due fattori: il Suo settore e le dimensioni della Sua impresa.

1. Opera in uno dei settori previsti dalla legge?

Per alcuni settori valgono condizioni aggiuntive. Non tutte le imprese che si occupano in qualche modo di prodotti alimentari rientrano quindi automaticamente nella legge.

2. La Sua impresa è abbastanza grande? In breve, vi rientrano le organizzazioni di medie e grandi dimensioni. La Sua impresa rientra nel conteggio se:

• ha 50 o più dipendenti (equivalenti a tempo pieno), oppure
• ha meno di 50 dipendenti, ma il fatturato annuo e il totale di bilancio superano entrambi i 10 milioni di euro.

Le imprese associate e collegate vengono incluse nel calcolo. Un'impresa con 20 dipendenti che fa parte di un gruppo di 200 può quindi comunque rientrarvi.

Eccezioni, indipendentemente dalle dimensioni. Alcuni tipi di organizzazioni vi rientrano sempre, per quanto piccole siano. Ad esempio i fornitori di servizi DNS, i registri dei domini di primo livello, i fornitori di reti e servizi pubblici di comunicazione elettronica, i prestatori di servizi fiduciari e gli enti pubblici. Se la Sua organizzazione è designata ai sensi della Wet weerbaarheid kritieke entiteiten (legge olandese sulla resilienza dei soggetti critici), rientra anche nella Cyberbeveiligingswet.

Verificare in autonomia con l'autovalutazione

La Rijksinspectie Digitale Infrastructuur (RDI) mette a disposizione un'autovalutazione NIS2 gratuita. Risponde a domande sul Suo settore, sulle dimensioni e sui servizi e ottiene un risultato. Da questo emerge anche se la Sua organizzazione è un soggetto essenziale o importante. La differenza riguarda soprattutto la vigilanza: per i soggetti essenziali l'autorità di vigilanza può effettuare controlli anche di propria iniziativa, per i soggetti importanti soprattutto a posteriori. La Sua impresa fa parte di un gruppo o opera in più Paesi? In tal caso Le sarà utile la guida sui modelli aziendali complessi dell'NCSC.

Cosa deve fare se vi rientra?

• Registrarsi. Registra la Sua organizzazione tramite MijnNCSC.
• Obbligo di diligenza. Effettua un'analisi dei rischi e adotta misure adeguate e proporzionate. L'NCSC indica almeno dieci ambiti, tra cui la gestione degli incidenti, i backup e il ripristino, la sicurezza della catena di approvvigionamento, la formazione, gli aggiornamenti, la gestione degli accessi, l'autenticazione a più fattori o le passkey, la crittografia e la verifica dell'efficacia delle misure. Gli organi direttivi approvano le misure e ne vigilano l'attuazione.
• Obbligo di notifica. Un incidente significativo va notificato tramite MijnNCSC: entro 24 ore un preallarme, entro 72 ore una notifica con una prima valutazione della gravità e dell'impatto, ed entro un mese una relazione finale.

Questa notifica è distinta dall'obbligo di notifica delle violazioni dei dati personali previsto dal GDPR. Quest'ultimo vale per chiunque tratti dati personali, anche per un libero professionista, e la notifica va effettuata all'Autoriteit Persoonsgegevens (l'autorità olandese per la protezione dei dati). Quando un evento costituisce una violazione dei dati e se deve notificarlo, lo può leggere in Si tratta di una violazione dei dati e devo notificarla? Un attacco in cui sono stati sottratti anche dati dei clienti potrebbe quindi dover essere notificato a entrambe le autorità.

Non vi rientra? La catena di fornitura può comunque riguardarLa

La maggior parte delle piccole imprese non rientra nella legge. In tal caso non ha alcun obbligo di registrazione, nessun obbligo di notifica all'NCSC e nessuna vigilanza. Tuttavia, le organizzazioni che vi rientrano devono tenere conto anche dei rischi legati ai loro fornitori e prestatori di servizi diretti. Secondo l'NCSC la legge non impone obblighi ai fornitori stessi, ma i clienti possono stabilire requisiti per la loro sicurezza digitale. Tali requisiti vengono poi inseriti in un contratto o in un questionario.

Fornisce servizi a un'organizzazione più grande, ad esempio come sviluppatore web, gestore IT o studio di contabilità? In tal caso potrebbe ricevere domande come: utilizzate la verifica in due passaggi, chi ha accesso ai nostri dati, dove si trovano i backup e con quale rapidità notificate un incidente?

• I requisiti devono essere adeguati al rischio del Suo servizio. Un fornitore con accesso ai sistemi riceve requisiti più severi rispetto al fornaio che consegna il pranzo.
• Si tratta dei fornitori diretti. I fornitori dei Suoi fornitori ne sono esclusi.
• La legge non prescrive alcun certificato. Può essere utile nel dialogo, ma non costituisce una garanzia.
• Si muova per tempo: individui le misure che ha già adottato e metta per iscritto gli accordi con il Suo cliente.

Per approfondire

• NCSC: Cyberbeveiligingswet (NIS2)
• NCSC: La mia organizzazione rientra nella Cyberbeveiligingswet?
• NCSC: Obbligo di diligenza
• NCSC: Obbligo di notifica
• NCSC: La Cyberbeveiligingswet e i fornitori
• RDI: Autovalutazione NIS2
• Testo di legge della Cyberbeveiligingswet

Desidera saperne di più? Segua il corso gratuito Sicuri online per imprenditori, lezione 9.1 NIS2 e la Cyberbeveiligingswet.