Stato di attuazione NIS2

Tracci l'avanzamento del recepimento della Direttiva NIS2 in tutti gli Stati membri dell'UE, incluse autorità competenti e tempistiche di enforcement.

Aggiornato a ottobre 2026

Aggiornamenti recenti sul recepimento

Ottobre 2026 — Austria: il NISG 2026 è entrato in vigore il 1° ottobre; registrazione dei soggetti entro il 1° gennaio 2027. Italia: piena conformità alle misure di sicurezza obbligatoria dal 1° ottobre. Polonia: finestra di registrazione chiusa il 3 ottobre.
15 agosto 2026 — Paesi Bassi: entrata in vigore della Cyberbeveiligingswet (Cbw).
Luglio 2026 — La Commissione europea deferisce Francia, Irlanda e Spagna alla CGUE per mancato recepimento. Il Senato olandese approva la Cbw il 7 luglio.
6 maggio 2026 — Lussemburgo: approvata la legge di recepimento NIS2 (ex progetto di legge 8364).

NIS2: Istantanea dello stato di attuazione

Notifica completa (16)

Adottato (8)

Bozza (3)

Ultima verifica: 09/10/2026 · Revisione mensile

Stato membro	Stato	Autorità competente	Note	Fonte
Austria	Adottato	Federal Ministry of the Interior (BMI) / Bundesamt für Cybersicherheit (operational 1 October 2026)	NISG 2026 promulgato il 23 dicembre 2025 e in vigore dal 1° ottobre 2026; registrazione dei soggetti entro il 1° gennaio 2027; completezza della notifica all'esame della Commissione.	Fonte ufficiale Verificato il 09/10/2026
Belgio	Notifica completa	Centre for Cybersecurity Belgium (CCB) — CyFun® / Safeonweb@Work	Legge NIS2 in vigore dal 18 ottobre 2024; registrazione tramite Safeonweb@Work chiusa il 18 marzo 2025; scadenza autovalutazione CyFun® o SoA ISO 27001 al 18 aprile 2026 (ora superata); certificazione completa entro il 18 aprile 2027.	Fonte ufficiale Verificato il 09/10/2026
Bulgaria	Adottato	Multiple national competent authorities (Ministry of Defence, Ministry of Interior, State Agency for National Security) — Minister of e-Government maintains national register	Modifiche alla Legge sulla cibersicurezza in vigore dal 17 febbraio 2026; sanzioni ridotte per le violazioni commesse prima del 1° giugno 2026; metodologia di designazione del Consiglio dei Ministri prevista entro ~17 agosto 2026 — modello di designazione amministrativa.	Fonte ufficiale Verificato il 09/10/2026
Croazia	Notifica completa	Security and Intelligence Agency (SOA) — National Cybersecurity Center (NCSC-HR); CERT.hr (CARNET) for incident reporting via PiXi; autonomous sector supervisors (HNB, HANFA, HACZ)	Legge sulla cibersicurezza (NN 14/2024) in vigore dal 15 febbraio 2024 — tra i primi recepimenti dell'UE; Regolamento sulla cibersicurezza (NN 135/2024) in vigore dal 30 novembre 2024; modello di notifica guidato dall'autorità con finestra di conformità di 12 mesi; le deviazioni nazionali includono il settore dell'Istruzione, autovalutazione biennale per le entità importanti e controlli tecnici più rigorosi.	Fonte ufficiale Verificato il 09/10/2026
Cipro	Adottato	Digital Security Authority (DSA) — primary; Commissioner of Communications also designated as supervisory authority	Legge di modifica sulla sicurezza delle reti e dei sistemi informativi 60(I)/2025 promulgata il 10 aprile 2025, in vigore dal 25 aprile 2025; le deviazioni nazionali includono un termine di preallarme di 6 ore (più stringente delle 24 h della direttiva) e un modello di identificazione delle entità guidato dalla DSA (nessuna autoregistrazione); la completezza della notifica alla Commissione è in fase di revisione.	Fonte ufficiale Verificato il 09/10/2026
Repubblica Ceca	Adottato	National Cyber and Information Security Agency (NUKIB)	Legge n. 264/2025 Racc. sulla cybersicurezza in vigore dal 1° novembre 2025; autoidentificazione tramite il portale NÚKIB (termine di registrazione 31 dicembre 2025 per le entità nell'ambito); finestra di conformità di 12 mesi per le misure di sicurezza e notifica dalla decisione di registrazione; le entità essenziali devono notificare tutti gli incidenti di origine cibernetica (più rigoroso della Direttiva); NÚKIB ha il potere di limitare o vietare fornitori non sicuri della catena di approvvigionamento per entità di importanza strategica.	Fonte ufficiale Verificato il 09/10/2026
Danimarca	Adottato	Ministry for Societal Resilience and Contingency (MSSB) — coordinator; sector regulators (Danish Energy Agency, Finanstilsynet, telecom regulators) — primary supervisors; CFCS — National CSIRT	Legge NIS2 (L 141) in vigore dal 1° luglio 2025 senza periodo transitorio; autoregistrazione tramite Virk.dk (scadenza 1° ottobre 2025 — superata); approccio di recepimento minimo (senza gold-plating); deviazioni nazionali: non sono previste sanzioni amministrative dirette (le sanzioni seguono il procedimento penale tramite la pubblica accusa) e la responsabilità personale dei dirigenti non è stata recepita (disciplinata dal dovere di diligenza della Legge danese sulle società); la completezza della notifica alla Commissione è in fase di revisione.	Fonte ufficiale Verificato il 09/10/2026
Estonia	Notifica completa	Estonian Information System Authority (RIA)	Legge sulla cibersicurezza modificata in vigore dal 1° gennaio 2026; ~3.500 → ~6.500 entità nell'ambito; istituti di ricerca aggiunti come settore nazionale aggiuntivo; gestione del rischio allineata ai controlli di riferimento E-ITS; conformità per fasi — scadenza autoregistrazione tramite RIA intorno al 1° aprile 2026 (ora superata), controlli di governance entro il 1° gennaio 2027, piena conformità tecnica e primi audit entro il 1° gennaio 2028.	Fonte ufficiale Verificato il 09/10/2026
Finlandia	Notifica completa	Traficom (NCSC-FI) — coordinator; sector authorities supervise	Legge sulla cibersicurezza (124/2025) in vigore dall'8 aprile 2025; scadenza di registrazione 8 maggio 2025 e sistema di gestione del rischio 8 luglio 2025 entrambe trascorse; vigilanza decentralizzata su sette autorità settoriali coordinate dal NCSC-FI di Traficom; sanzioni amministrative imposte da un collegio sanzionatorio istituito separatamente su proposta dell'autorità di vigilanza; le entità del settore pubblico non possono essere sanzionate; settore finanziario escluso (coperto da DORA).	Fonte ufficiale Verificato il 09/10/2026
Francia	Bozza	ANSSI (French National Agency for Information Systems Security)	La Loi Résilience (che riunisce NIS2, CER e DORA) è stata approvata dal Senato il 12 marzo 2025 e dalla commissione speciale dell'Assemblea nazionale il 10 settembre 2025; approvazione definitiva e promulgazione ancora in sospeso. Dopo il parere motivato del 7 maggio 2025, la Commissione ha deferito la Francia alla CGUE nel luglio 2026. Il portale di pre-registrazione MonEspaceNIS2 dell'ANSSI è attivo; ~15.000–18.000 soggetti in 18 settori.	Fonte ufficiale Verificato il 09/10/2026
Germania	Notifica completa	Bundesamt für Sicherheit in der Informationstechnik (BSI)	NIS2UmsuCG in vigore dal 6 dicembre 2025 senza periodo transitorio; ~4.500 → ~29.000–30.000 entità nell'ambito; il termine di registrazione BSI del 6 marzo 2026 è scaduto; registrazione in due fasi tramite portale BSI / Mein Unternehmenskonto (MUK); formazione obbligatoria in cybersicurezza della direzione ogni tre anni; esenzione per "attività trascurabili" ai sensi del § 28(3) BSIG.	Fonte ufficiale Verificato il 09/10/2026
Grecia	Notifica completa	National Cybersecurity Authority (NCSA)	Legge 5160/2024 in vigore dal 28 novembre 2024; integrata dalla MD 1645/2025 (registrazione) e dalla MD 1689/2025 (quadro di sicurezza a 22 tematiche); le scadenze di registrazione (28 marzo 2025 per l'infrastruttura digitale; 30 settembre 2025 generale) sono scadute; nomina obbligatoria dell'ICSSO (incompatibile con il DPO); gli audit della NCSA sono iniziati nel Q4 2025.	Fonte ufficiale Verificato il 09/10/2026
Ungheria	Adottato	SZTFH (primary) / NKI/NCSC (CSIRT)	Legge LXIX del 2024 in vigore dal 1° gennaio 2025; SZTFH è il regolatore principale (registrazione, registro dei revisori, contributi di vigilanza); NKI/NCSC è il CSIRT nazionale; banche, infrastrutture del mercato finanziario e pubblica amministrazione escluse dall'ambito; termini di registrazione e contratto del revisore scaduti; prima scadenza per audit di cibersicurezza 30 giugno 2026 (scaduto); parere motivato della CE del 7 maggio 2025 — valutazione della Commissione in corso.	Fonte ufficiale Verificato il 09/10/2026
Irlanda	Bozza	National Cyber Security Centre (NCSC-IE)	Il National Cyber Security Bill 2024 è ancora all'esame del Parlamento e non è stato approvato; la Commissione ha deferito l'Irlanda alla CGUE nel luglio 2026 per mancato recepimento. Continua ad applicarsi la NIS1 (S.I. 360 of 2018); vigilanza federata proposta (NCSC capofila + CRU, ComReg, Central Bank of Ireland).	Fonte ufficiale Verificato il 09/10/2026
Italia	Notifica completa	Italian National Cybersecurity Authority (ACN) + sector regulators	D.Lgs. n. 138/2024 in vigore dal 16 ottobre 2024; l'ACN è il regolatore principale e gestisce un portale centrale per registrazione e notifiche. Ambito esteso con gli allegati nazionali III e IV. Scadenze di registrazione superate nel 2025; notifica degli incidenti obbligatoria dal 1° gennaio 2026; piena conformità alle misure di sicurezza richiesta dal 1° ottobre 2026. Pienamente notificato alla Commissione.	Fonte ufficiale Verificato il 09/10/2026
Lettonia	Notifica completa	National Cybersecurity Centre (NCSC)	La Legge nazionale sulla cybersecurity della Lettonia è in vigore dal 1° settembre 2024 (sostituisce la precedente Legge sulla sicurezza IT); il Regolamento n. 397 (requisiti minimi di cybersecurity) è in vigore dal 2 luglio 2025; il parere motivato della CE del maggio 2025 è risolto. Il Centro nazionale di cybersecurity (NCSC) — Ministero della Difesa con CERT.LV — è il supervisore principale; l'Ufficio per la protezione della Costituzione supervisiona le infrastrutture ICT critiche. I soggetti devono nominare un responsabile della cybersecurity, classificare i sistemi in tre livelli (A/B/C) e svolgere revisioni annuali della sicurezza ICT. Tutte le scadenze iniziali (registrazione, nomina del responsabile, prima autovalutazione) sono trascorse; recepimento pienamente notificato.	Fonte ufficiale Verificato il 09/10/2026
Lituania	Notifica completa	National Cyber Security Centre (NCSC)	La Legge sulla Cibersicurezza modificata della Lituania è entrata in vigore il 18 ott. 2024; la Risoluzione Governativa sull'Attuazione è seguita il 12 nov. 2024. Il NCSC ha notificato il registro iniziale di 1.443 soggetti intorno al 17 apr. 2025; la conformità è scaglionata (misure organizzative ~17 apr. 2026 — scadute; misure tecniche ~17 apr. 2027). La Lituania amplia l'ambito oltre la Direttiva (amministrazione pubblica locale, soggetti critici di R&S, fornitori di hosting di informazioni elettroniche), impone la nomina di un responsabile della cibersicurezza e richiede ai soggetti essenziali una valutazione di conformità indipendente triennale. Pienamente notificata alla Commissione europea.	Fonte ufficiale Verificato il 09/10/2026
Lussemburgo	Adottato	ILR (most sectors) / CSSF (financial); HCPN coordination	NIS2 recepita con la legge del 6 maggio 2026 (ex progetto di legge 8364), che sostituisce la legge NIS1; completezza della notifica all'esame della Commissione. Vigilanza ripartita — ILR per la maggior parte dei settori, CSSF per i soggetti finanziari, HCPN per il coordinamento; ambito ampliato (~6.000–8.000 soggetti); notifica degli incidenti e registrazione tramite la piattaforma SERIMA dell'ILR.	Fonte ufficiale Verificato il 09/10/2026
Malta	Notifica completa	CIPD (primary) / MCA (digital + postal); CSIRT Malta (incidents)	NIS2 recepita tramite Legal Notice 71 of 2025 (S.L. 460.41), pubblicato l'8 aprile 2025 e pienamente in vigore dal 23 gennaio 2026 ai sensi del L.N. 22 of 2026; sostituisce NIS1 (L.N. 216/2018). Il CIPD è supervisore principale; la MCA è competente per le infrastrutture digitali e i servizi postali/di corriere; CSIRT Malta (all'interno del CIPD) gestisce la risposta agli incidenti; il CIPAB assiste in materia di sanzioni. Le entità devono autoregistrarsi presso il CIPD e designare un CSIRT interno/autonomo; i primi audit formali sono attesi nella seconda metà del 2027.	Fonte ufficiale Verificato il 09/10/2026
Paesi Bassi	Adottato	Sector-specific competent authorities under the Cbw; NCSC (CSIRT)	La Cyberbeveiligingswet (Cbw) è stata approvata dal Senato (Eerste Kamer) il 7 luglio 2026 ed è in vigore dal 15 agosto 2026, in sostituzione della Wbni; completezza della notifica all'esame della Commissione. Modello multi-regolatore con autorità settoriali (es. RDI per le infrastrutture digitali, ILT per i trasporti); l'NCSC è CSIRT nazionale e coordinatore. Doppia notifica degli incidenti (NCSC + autorità settoriale); formazione obbligatoria del management; registrazione tramite mijn.ncsc.nl ora obbligatoria.	Fonte ufficiale Verificato il 09/10/2026
Polonia	Notifica completa	Ministry of Digital Affairs (lead) / sectoral ministries (supervision); CSIRT GOV, NASK, MON (incidents)	UKSC modificata (legge sul sistema nazionale di cybersicurezza) in vigore dal 3 aprile 2026; procedura d'infrazione chiusa con il recepimento. Il Ministero degli Affari digitali guida e tiene il registro; i ministeri di settore vigilano; CSIRT GOV/NASK/MON gestiscono gli incidenti. SGSI obbligatorio (ISO 27001 + ISO 22301), formazione non delegabile del board e responsabilità personale; sanzioni fino a 100 mln PLN. Finestra di registrazione chiusa il 3 ottobre 2026; prossime scadenze: SGSI completo entro il 3 aprile 2027, primo audit entro il 3 aprile 2028.	Fonte ufficiale Verificato il 09/10/2026
Portogallo	Notifica completa	CNCS (lead) / sectoral + special supervisory authorities; Crisis Office (coordination)	Il Portogallo ha completato il recepimento della NIS2 con il Decreto-Legge n. 125/2025 (Regime Jurídico da Cibersegurança); pubblicato il 4 dicembre 2025; in vigore dal 3 aprile 2026 (120 giorni dopo la pubblicazione); sostituisce integralmente la Legge 46/2018 e il Decreto-Legge 65/2021; termine del 17 ottobre 2024 mancato; parere motivato della CE del 7 maggio 2025 risolto con la pubblicazione. Modello di vigilanza multilivello — CNCS come autorità capofila + autorità settoriali e di vigilanza speciali + nuovo Ufficio di Crisi. Responsabile della cybersicurezza obbligatorio (componente dell'organo di gestione o suo diretto referente) e punto di contatto permanente 24/7 con il CNCS, entrambi dovuti entro il 4 maggio 2026 (20 giorni lavorativi dall'entrata in vigore — scaduto). Classificazione degli enti pubblici in Gruppo A / Gruppo B. Conformità a fasi — registrazione sulla piattaforma CNCS 60 giorni dopo il lancio (data da confermare); obblighi principali (gestione del rischio, catena di approvvigionamento, rendicontazione annuale) 24 mesi dopo la pubblicazione dei regolamenti attuativi del CNCS.	Fonte ufficiale Verificato il 09/10/2026
Romania	Notifica completa	National Cybersecurity Directorate (DNSC)	La Romania ha completato il recepimento di NIS2 tramite GEO 155/2024 (adottata il 30 dic 2024; in vigore dal 31 dic 2024); perfezionata dalla Legge 124/2025 (in vigore dal 10 lug 2025) che estende il settore sanitario alla catena di approvvigionamento farmaceutica e alle farmacie al dettaglio (NACE 4773); resa operativa tramite Ordinanze DNSC 1/2025 (registrazione) e 2/2025 (valutazione dei rischi), entrambe in vigore dal 20 ago 2025; disposizioni sanzionatorie dal 30 gen 2025; autorità principale DNSC; potere di raddoppiare la multa massima nei casi aggravati (incl. tetti di 10 M€ / 2%); designazione obbligatoria di una persona responsabile della cybersicurezza (indipendente dal responsabile operativo IT) e formazione obbligatoria in cybersicurezza per la dirigenza; registrazione delle entità tramite la piattaforma NIS2@RO — termine iniziale ~19 set 2025 (scaduto); solo le registrazioni successive al 20 ago 2025 sono legalmente valide; catena di conformità in quattro fasi — registrazione → autovalutazione del livello di rischio → autovalutazione della maturità (entro 60 giorni) → piano di rimedio (entro 30 giorni); escluse le entità di difesa nazionale, ordine pubblico, sicurezza nazionale, MAE e applicazione della legge.	Fonte ufficiale Verificato il 09/10/2026
Slovacchia	Notifica completa	NBÚ (lead) / sector ministries (supervision); SK-CERT (incidents)	La Slovacchia ha completato il recepimento di NIS2 tramite la <strong>Legge n. 366/2024 Coll.</strong>, che modifica la Legge sulla cybersicurezza n. 69/2018 Coll.; adottata dal Consiglio Nazionale il 28 nov 2024; pubblicata nella Raccolta delle Leggi il 19 dic 2024; in vigore dal 1° gen 2025; la Slovacchia è il 4° Stato membro dell'UE a completare il recepimento; si prevede che circa 3.500–14.000 entità rientrino nell'ambito; autorità principale NBÚ (Národný bezpečnostný úrad); SK-CERT (National Cyber Security Centre, all'interno del NBÚ) gestisce la risposta agli incidenti; ministeri settoriali (es. Salute, Trasporti) hanno ruoli complementari; quadro allineato alla famiglia di norme ISO 27000; ordinanza di supporto sulle misure di sicurezza sviluppata nel 2025; le terze parti della catena di fornitura sono esplicitamente regolate come entità dirette (oltre il minimo della Direttiva); registrazione tramite la piattaforma JISKB — termine iniziale ~1° mar 2025 (scaduto); nuove entità entro 60 giorni dall'ingresso nell'ambito; piena conformità a tutti gli obblighi richiesta entro il 31 dic 2026; SK-CERT può richiedere un rapporto intermedio tra la notifica entro 72 ore e il rapporto finale.	Fonte ufficiale Verificato il 09/10/2026
Slovenia	Notifica completa	URSIV (lead/NCC-SI/SPOC); SI-CERT (private) / SIGOV-CERT (gov) (incidents)	La Slovenia ha completato il recepimento della NIS2 attraverso la Legge sulla sicurezza dell'informazione (ZInfV-1) (Zakon o informacijski varnosti); adottata dall'Assemblea Nazionale il 23 maggio 2025; pubblicata nella Gazzetta Ufficiale n. 40/25 il 4 giugno 2025; in vigore dal 19 giugno 2025; nuova legge organica che sostituisce la precedente ZInfV (2018); adottata con procedura d'urgenza a seguito del parere motivato della CE del 7 maggio 2025; autorità principale URSIV (Ufficio governativo per la sicurezza dell'informazione), che funge anche da NCC-SI e da punto di contatto unico nazionale; SI-CERT (gestito da ARNES) come CSIRT nazionale per il settore privato; SIGOV-CERT per le istituzioni governative; ambito esteso oltre il minimo della Direttiva fino a includere istituzioni di ricerca e di istruzione superiore; quadro di requisiti di cybersicurezza allegato alla legge; ISO/IEC 27001 come standard applicabile; ISMS + BCMS obbligatori; termine di registrazione presso URSIV 19 dicembre 2025 (scaduto); nuovi soggetti 30 giorni dall'ingresso nell'ambito di applicazione; termini scaglionati di gestione dei rischi — 19 giugno 2026 (fornitori di servizi essenziali ai sensi della precedente ZInfV) / 19 dicembre 2026 (tutti gli altri soggetti essenziali/importanti); valutazione di conformità da parte di un CAB accreditato almeno ogni 2 anni per i soggetti essenziali.	Fonte ufficiale Verificato il 09/10/2026
Spagna	Bozza	CNC (proposed lead/SPOC); CCN-CERT (public) / INCIBE-CERT (private) / ESPDEF-CERT (defence) (CSIRTs)	L'Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, approvato dal Consiglio dei ministri il 14 gennaio 2025, è ancora all'esame delle Cortes Generales; la Commissione ha deferito la Spagna alla CGUE nel luglio 2026. Continua ad applicarsi la NIS1 (RD-ley 12/2018). Il progetto istituisce il Centro Nacional de Ciberseguridad (CNC) come autorità capofila; CSIRT CCN-CERT (pubblico), INCIBE-CERT (privato), ESPDEF-CERT (difesa); ambito oltre il minimo della direttiva; sanzioni scaglionate da 10.000 € a 2 mln €, con massimali NIS2 per i casi più gravi.	Fonte ufficiale Verificato il 09/10/2026
Svezia	Notifica completa	MSB/MCF (lead/coordinator/SPOC/CSIRT); PTS (digital sectors); sector authorities	La Svezia ha completato il recepimento della NIS2 con la Cybersäkerhetslagen (Legge sulla cibersicurezza, SFS 2025:1506), adottata dal Riksdag il 10 dicembre 2025 e in vigore dal 15 gennaio 2026 — una nuova legge organica che sostituisce la Legge sulla sicurezza delle informazioni 2018:1174; la Cybersäkerhetsförordningen è stata emanata contestualmente. La Svezia non ha rispettato il termine del 17 ottobre 2024 e ha ricevuto un parere motivato della CE il 7 maggio 2025 (risolto dopo l'entrata in vigore). MSB (Myndigheten för samhällsskydd och beredskap) è stata rinominata MCF (Myndigheten för civilt försvar — Agenzia svedese per la difesa civile e la resilienza) dal 1° gennaio 2026; MSB/MCF agisce come coordinatore nazionale, punto di contatto unico UE e CSIRT nazionale. La Svezia applica un modello di vigilanza decentralizzato — le autorità settoriali vigilano sui rispettivi settori, mentre PTS (Post- och telestyrelsen — Agenzia svedese delle poste e telecomunicazioni) coregolamenta l'infrastruttura digitale, i fornitori digitali, la gestione dei servizi TIC (B2B), lo spazio e i servizi postali e di corriere. Approccio dell'intera entità — l'intero perimetro informatico delle entità rientranti nell'ambito deve essere conforme. La formazione obbligatoria dei vertici è sanzionabile. I prestatori di servizi fiduciari devono trasmettere sia l'allerta precoce sia la notifica dell'incidente entro 24 ore (deroga al termine di 72h). Possibile divieto temporaneo di esercitare funzioni direttive per i membri degli organi di direzione di entità essenziali. Termine di registrazione 16 febbraio 2026 (scaduto); portale di notifica MSB/MCF attivo dal 2 febbraio 2026; tutti gli obblighi si applicano immediatamente dal 15 gennaio 2026 senza periodo di grazia generale.	Fonte ufficiale Verificato il 09/10/2026

Molti di questi Stati membri hanno adottato leggi primarie ma necessitano ancora di una legislazione secondaria completa e della notifica alla Commissione prima che l'applicazione sia considerata completa.

Legenda stato

Notifica completa = recepimento nazionale adottato e nessuna lettera di messa in mora aperta della Commissione in merito a notifica incompleta.
Adottato = legge di recepimento nazionale adottata (o pubblicata) ma la Commissione ha richiesto ulteriori informazioni/completezza della notifica (o notifica ancora da confermare). Se la legge è già in vigore ma la notifica è in attesa di revisione, viene indicato.
Bozza = processo legislativo in corso/nessuna legge nazionale finale pubblicata.

Visualizza le guide per paese e settore

Note chiave di attuazione

Scadenza e azione della Commissione

Tutti gli Stati membri erano tenuti a recepire la NIS2 entro il 17 ottobre 2024; la maggior parte ha mancato questa scadenza. Il 7 maggio 2025, la Commissione europea ha inviato pareri motivati a 19 Stati membri per non aver notificato il recepimento completo. Nel luglio 2026 la Commissione ha deferito Francia, Irlanda e Spagna alla Corte di giustizia dell'UE (CGUE) per mancato recepimento della NIS2 e può chiedere sanzioni pecuniarie.

"Adottato" vs "Notifica completa"

Alcuni Stati membri hanno emanato leggi nazionali ma non hanno ancora notificato completamente tutte le misure di attuazione alla Commissione. Altri Stati membri sono ancora in fase di bozza o di revisione legislativa/parlamentare.

Esecuzione e prontezza normativa

Laddove la legge nazionale sia in vigore, la registrazione delle entità, la segnalazione degli incidenti, i poteri di vigilanza e le sanzioni (fino a 10 milioni di euro o al 2% del fatturato per le entità essenziali) vengono introdotti gradualmente tramite regolamenti secondari.

Applicazione in sospeso

Negli Stati membri con stato Adottato o Bozza, gli obblighi di registrazione e segnalazione non sono ancora applicabili finché la legge nazionale non è in vigore e le autorità non hanno pubblicato strumenti e portali legali. Ciò non impedisce alle imprese diligenti di iniziare ora i loro percorsi di conformità al NIS2.

Precisazioni sulle autorità competenti

In tutta l'UE, gli Stati membri designano una o più autorità competenti responsabili dell'attuazione e dell'applicazione della NIS2.

Vigilanza sulla conformità

Supervisione dell'adesione agli obblighi NIS2 da parte di entità essenziali e importanti

Ricezione delle segnalazioni di incidenti

Elaborazione e coordinamento delle risposte alle notifiche di incidenti di cybersecurity

Mantenimento degli elenchi delle entità

Mantenimento dei registri delle entità essenziali e importanti all'interno della loro giurisdizione

Applicazione dei requisiti

Attuazione dei requisiti di gestione del rischio e di governance tramite azioni normative

Tipi di autorità tipici

Autorità/agenzie nazionali per la cybersecurity o regolatori dedicati alla cybersecurity (ad es. CCB, ACN, NUKIB, ANSSI)
Regolatori settoriali per finanza, telecomunicazioni, energia dove le responsabilità sono delegate
I CSIRT svolgono funzioni di coordinamento e segnalazione ai sensi della legge nazionale