Il ritardo nel recepimento della direttiva europea
La Commissione europea ha deciso di deferire Francia, Spagna, Irlanda e Paesi Bassi alla Corte di Giustizia dell’Unione europea per non aver notificato misure nazionali idonee a garantire il recepimento completo della Direttiva NIS2. La decisione, annunciata l’8 luglio 2026, rappresenta un passaggio significativo nel percorso intrapreso dall’Unione per rafforzare il livello comune di cybersicurezza e di protezione delle infrastrutture e dei servizi essenziali.
Più precisamente, la contestazione della Commissione non implica necessariamente che nei quattro Paesi non sia stata adottata alcuna disposizione nazionale, ma che non sia stato comunicato un quadro normativo completo e conforme a tutti gli obblighi previsti dalla direttiva.
La NIS2, formalmente identificata come Direttiva UE 2022/2555, è entrata in vigore nel gennaio 2023 e avrebbe dovuto essere recepita dagli Stati membri entro il 17 ottobre 2024. La normativa ha sostituito la precedente Direttiva NIS, ampliandone l’ambito di applicazione e introducendo prescrizioni più rigorose per soggetti pubblici e privati di 18 settori critici.
Le organizzazioni interessate devono adottare adeguate misure di gestione del rischio informatico, predisporre procedure per la gestione degli incidenti e assicurare una tempestiva comunicazione degli eventi significativi alle autorità competenti.
Dalla procedura di infrazione al possibile intervento della Corte
Il deferimento alla Corte costituisce l’ultima fase di questa procedura. In seguito alla scadenza del termine di recepimento, il 28 novembre 2024 la Commissione aveva inviato ai Paesi inadempienti una lettera di costituzione in mora, chiedendo informazioni sulle iniziative adottate e sollecitando il completamento del processo legislativo nazionale. Non ritenendo sufficienti le risposte ricevute, aveva successivamente trasmesso un parere motivato.
Poiché Francia, Spagna, Irlanda e Paesi Bassi non hanno notificato il pieno recepimento neppure dopo questo richiamo, la Commissione ha scelto di rivolgersi alla Corte di Giustizia.
La procedura dimostra che il recepimento delle direttive non costituisce un semplice adempimento formale: l’assenza di norme nazionali complete può produrre differenze significative tra gli Stati, indebolendo la capacità dell’Unione di prevenire e gestire attacchi informatici con effetti transfrontalieri.
Nel ricorso la Commissione ha inoltre richiesto l’applicazione di sanzioni finanziarie, che potrebbero comprendere sia una somma forfettaria sia penalità giornaliere dovute fino alla completa comunicazione delle misure di recepimento.
Spetterà comunque alla Corte valutare l’effettiva violazione e determinare l’eventuale importo delle sanzioni, considerando la gravità e la durata dell’inadempimento, i suoi effetti sugli interessi dell’Unione e la capacità economica dello Stato coinvolto.
Una questione strategica per la resilienza digitale europea
Il ritardo dei quattro Stati assume particolare rilevanza perché la NIS2 è uno dei principali strumenti della strategia europea per la resilienza digitale. Gli attacchi informatici rivolti a enti pubblici, aziende sanitarie, operatori energetici, infrastrutture di trasporto e fornitori di servizi digitali possono compromettere non soltanto singole organizzazioni, ma anche la continuità di servizi fondamentali per cittadini e imprese.
Per questa ragione la direttiva introduce una visione della sicurezza basata sulla responsabilità dell’intera organizzazione: richiede controlli tecnici e organizzativi, politiche di continuità operativa, sicurezza della catena di fornitura, gestione delle vulnerabilità, formazione del personale e coinvolgimento diretto degli organi di amministrazione. Un’attuazione disomogenea rischia di creare aree con livelli di protezione differenti all’interno del mercato unico e di rendere più difficile il coordinamento europeo in presenza di incidenti su larga scala.
La decisione della Commissione invia quindi un messaggio che riguarda tutti gli Stati membri: la sicurezza delle reti e dei sistemi informativi è una responsabilità condivisa e il rispetto delle scadenze legislative è essenziale per costruire un sistema europeo realmente coordinato. Parallelamente all’attività di controllo, la Commissione ha proposto alcune modifiche mirate alla direttiva, per aumentare la certezza giuridica, chiarire gli obblighi applicabili e semplificare gli adempimenti per le imprese.
Questi interventi non riducono però l’importanza del recepimento nazionale: senza norme interne complete, autorità competenti, procedure di vigilanza e regimi sanzionatori definiti, gli obiettivi della NIS2 non possono essere pienamente raggiunti. Il deferimento evidenzia pertanto come la conformità normativa sia diventata parte integrante della capacità europea di proteggere infrastrutture, servizi essenziali e cittadini dalle minacce informatiche.