Come leggere le fonti (senza confondersi)

Regolamenti: sono direttamente applicabili in tutti gli Stati membri (non richiedono “recepimento” nazionale, anche se servono spesso regole attuative e vigilanza).

Direttive: fissano obiettivi e requisiti minimi e devono essere recepite con norme nazionali (quindi scadenze e dettagli operativi possono variare da Paese a Paese).

NIS2: la “spina dorsale” della cybersecurity UE

La Direttiva (UE) 2022/2555 (“NIS2”) sostituisce la precedente NIS1 (Direttiva (UE) 2016/1148) e punta a un livello comune elevato di cibersicurezza nell’Unione, con ambito più ampio e strumenti di vigilanza più solidi.

NIS2 introduce obblighi di gestione del rischio e di notifica degli incidenti significativi per un numero maggiore di settori e soggetti (tipicamente organizzazioni medio-grandi in settori considerati critici).

• Scadenze UE: gli Stati membri dovevano recepire NIS2 entro il 17 ottobre 2024 e NIS2 abroga NIS1 dal 18 ottobre 2024. 
• Governance: viene esplicitata la responsabilità del top management per il mancato rispetto delle misure di gestione del rischio.
• Cooperazione operativa: la direttiva inquadra CSIRT, EU‑CyCLONe e meccanismi di cooperazione e scambio informazioni.

Esempio Italia: la NIS2 è richiamata anche in chiave di recepimento nazionale (es. D.Lgs. 4 settembre 2024, n. 138, citato in analisi e commenti di settore).

Cybersecurity Act (UE): ENISA e certificazione europea

Il Regolamento (UE) 2019/881 (“Cybersecurity Act”) rafforza il mandato dell’ENISA e istituisce un quadro europeo per schemi di certificazione della cybersicurezza per prodotti/servizi/processi ICT, con l’obiettivo di ridurre la frammentazione nel mercato interno.

In pratica, quando nei capitolati, nelle gare o nelle policy si parla di “certificazione europea di cybersecurity”, il riferimento normativo di base è questo regolamento e i relativi schemi che ne discendono.

DORA: resilienza digitale per il settore finanziario

Il Regolamento (UE) 2022/2554 (“DORA”) definisce requisiti armonizzati di resilienza operativa digitale per il settore finanziario, coprendo governance del rischio ICT, incident reporting, test di resilienza e gestione del rischio di terze parti (provider ICT).

Le disposizioni del regolamento si applicano dal 17 gennaio 2025 (art. 64), e sono direttamente applicabili insieme ai relativi atti delegati.

CRA e CER: sicurezza dei prodotti e resilienza dei soggetti critici

Il Regolamento (UE) 2024/2847 (“Cyber Resilience Act”) introduce requisiti di cibersicurezza per i prodotti con elementi digitali immessi sul mercato UE e prevede un’applicazione a partire dall’11 dicembre 2027.

La Direttiva (UE) 2022/2557 (“CER”) riguarda invece la resilienza dei soggetti critici (Critical Entities Resilience) e rafforza un quadro di resilienza rispetto a più tipologie di rischi e minacce, non solo cyber.

• Quando citare CRA: procurement di software/hardware/IoT, requisiti per vendor, vulnerability handling e security-by-design nei prodotti.
• Quando citare CER: continuità operativa e resilienza “all-hazards” per enti/organizzazioni critiche (integra cyber + fisico + organizzativo).

Altri riferimenti UE da tenere nel radar (spesso collegati alla cybersecurity)

• GDPR (Reg. (UE) 2016/679): data breach, misure di sicurezza, accountability e gestione dei fornitori.
• eIDAS (Reg. (UE) 910/2014): identità digitale, firme e servizi fiduciari (molto rilevante per autenticazione forte e trust services).
• Direttiva attacchi ai sistemi informativi (Dir. 2013/40/UE): profili penali legati agli attacchi informatici.
• Norme settoriali: telecomunicazioni, energia, trasporti e sanità spesso hanno requisiti “verticali” che si sommano a NIS2.

Mini-checklist per una “mappa normativa” aziendale

• Identifica se l’organizzazione rientra in NIS2 (settore, dimensione, ruolo nella supply chain) e costruisci un registro obblighi (risk, incident reporting, governance).
• Se sei nel settore finanziario (o lavori per esso), separa il perimetro DORA (ICT risk + terze parti + test) dal perimetro NIS2, evitando doppioni documentali.
• Se produci o distribuisci prodotti digitali, prepara un percorso CRA: requisiti tecnici, documentazione e gestione vulnerabilità lungo il ciclo di vita del prodotto.
• Inserisci requisiti di certificazione e assurance dove utile (Cybersecurity Act/ENISA) in contratti, gare e vendor management.