NIS2: la Francia deferita alla Corte di giustizia UE, 15.000 entità senza quadro nazionale

La direttiva NIS2 doveva essere recepita entro il 17 ottobre 2024. La Francia ha mancato la scadenza, al punto che l'8 luglio 2026 la Commissione ha deciso di deferirla alla Corte di giustizia dell'UE insieme a Spagna, Irlanda e Paesi Bassi, con richiesta di sanzioni finanziarie. La cosiddetta legge Résilience, che avrebbe dovuto recepire il testo, non figura all'ordine del giorno della sessione di luglio: il suo esame slitta all'autunno. L'obbligo europeo, invece, decorre da ottobre 2024.

Un dettaglio cambia tutto per chi vuole muoversi subito: il quadro di riferimento tecnico è già pubblico. L'ANSSI ha pubblicato a marzo 2026 il suo Référentiel Cyber France, che traduce i requisiti di NIS2 in obiettivi di sicurezza, venti per le entità essenziali, quindici per le entità importanti. In altre parole, la sostanza di ciò che verrà richiesto è nota ancor prima del voto della legge. Attendere il testo per iniziare significa aspettare la formalizzazione di obblighi la cui sostanza è già disponibile.

Il vero tema è il cambio di scala: da poche centinaia di operatori sotto NIS1, la Francia passa a 15.000 o 18.000 entità coinvolte, suddivise tra "entità essenziali" ed "entità importanti". PMI industriali, enti locali, attori della sanità, dei trasporti o dell'agroalimentare scopriranno di rientrare nel perimetro, con obblighi di gestione del rischio, notifica degli incidenti e supervisione dell'ANSSI.

Il salto concettuale è lo stesso vissuto a suo tempo con il GDPR: la cybersicurezza smette di essere un tema per soli esperti e buone intenzioni, per diventare un dispositivo di cui bisogna poter dimostrare l'esistenza e il funzionamento. Governance, analisi dei rischi, sicurezza della catena di approvvigionamento, gestione degli incidenti, continuità operativa: ogni requisito della direttiva presuppone delle prove concrete.

E l'asimmetria delle sanzioni concentra l'attenzione: fino a 10 milioni di euro o il 2% del fatturato mondiale per le entità essenziali, con controlli proattivi; 7 milioni o l'1,4% per le entità importanti, controllate dopo un incidente. In entrambi i casi, il giorno del controllo l'improvvisazione si vede.

NIS2 impone una base minima di misure: politiche di sicurezza e analisi dei rischi, gestione degli incidenti, continuità operativa e gestione delle crisi, sicurezza della catena di approvvigionamento, sicurezza delle acquisizioni e dello sviluppo, valutazione dell'efficacia delle misure, igiene informatica e formazione, crittografia, sicurezza delle risorse umane e controllo degli accessi, autenticazione a più fattori. Dieci ambiti di requisiti che disegnano, di fatto, un quadro di riferimento.

Si aggiunge il meccanismo di notifica degli incidenti significativi, con scadenze serrate: allerta precoce entro 24 ore, notifica entro 72 ore, relazione finale entro un mese. Rispettare queste tempistiche non si improvvisa il giorno dell'incidente: presuppone un rilevamento, una qualificazione e una catena decisionale già in atto, e già collaudate.

Il perimetro reale va oltre le 15.000 entità designate: la direttiva impone loro di presidiare la sicurezza della propria catena di approvvigionamento, e questo requisito si trasmette per via contrattuale. Un fornitore software, un manutentore industriale o un operatore logistico fuori perimetro riceverà i questionari e le clausole dei propri clienti regolamentati.

Per questi fornitori, la lettura intelligente è commerciale: chi si presenta con una maturità cyber misurata e dimostrabile trasforma un vincolo subito in un argomento di qualificazione. Nelle gare d'appalto del 2027 sarà un criterio di selezione, non un valore aggiunto opzionale.

Per un'organizzazione che scopre il tema, l'ordine ragionevole si articola in tre passaggi: stabilire se si rientra nel perimetro, e a quale titolo; misurare la propria maturità reale rispetto ai requisiti della direttiva, entità per entità, piuttosto che accumulare audit occasionali; e convertire gli scarti in un piano d'azione datato, perché l'adeguamento richiederà mesi e il calendario non aspetterà.

Il nostro catalogo conta 11 quadri di riferimento per la cybersicurezza per strumentare questa misurazione, e la logica vale anche per i gruppi: ogni controllata valutata sulla stessa base, per un consolidamento che mostra dove concentrare lo sforzo. La conformità a NIS2 sarà una maratona amministrata; meglio affrontarla con uno strumento.