NIS2 nel 2026: il ritardo di trasposizione della Francia non cambia nulla alla vostra esposizione

La direttiva (UE) 2022/2555, nota come NIS2, è in vigore dal 16 gennaio 2023. Gli Stati membri avevano tempo fino al 17 ottobre 2024 per recepirla nel diritto nazionale. A metà settembre 2026, la Francia non ha ancora completato tale recepimento.

Il veicolo legislativo francese, una legge sulla resilienza delle infrastrutture critiche e il rafforzamento della cybersicurezza, riunisce tre strumenti europei in un unico testo: NIS2, la direttiva CER sulla resilienza delle entità critiche, e disposizioni legate a DORA per il settore finanziario. Il Senato l'ha adottata a marzo 2025. È bloccata da un voto in commissione a settembre 2025, rinviata più volte, e ora è attesa di nuovo davanti all'Assemblea nazionale in autunno.

L'8 luglio 2026, la Commissione europea ha deferito la Francia alla Corte di giustizia dell'UE, insieme a Spagna, Irlanda e Paesi Bassi, per mancato recepimento della direttiva. La Commissione chiede sanzioni finanziarie.

Questo ritardo non cambia quasi nulla per le organizzazioni interessate. Ecco perché.

Gli obblighi sono già operativi a livello europeo

NIS2 è una direttiva, il che significa che richiede un recepimento nazionale per diventare direttamente vincolante per le singole imprese davanti ai tribunali francesi. Ma tre elementi sono già veri, a prescindere dal calendario legislativo francese.

• Se la vostra organizzazione opera in un altro Stato membro dell'UE, e venti dei ventisette l'hanno già recepita, siete già vincolati lì.
• L'ANSSI pubblica il quadro di riferimento Cyber France (ReCyF) da marzo 2026, e ogni organizzazione seria interessata dovrebbe allinearvisi ora, non aspettare che un decreto lo formalizzi.
• Acquirenti, assicuratori, investitori e grandi clienti non aspettano la legge francese. Clausole di cybersicurezza e questionari di sicurezza circolano già nelle catene di fornitura, nell'automotive, nella logistica e nell'industria, ben prima di qualsiasi scadenza legale.

Il perimetro è ampio e include aziende che non si ritengono coinvolte

Energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione e spazio, oltre a ogni fornitore digitale che serve questi settori. L'ANSSI stima che tra 15 000 e 18 000 entità saranno interessate in Francia, contro circa 500 nel vecchio regime NIS1. Il vero tema è questo cambiamento di scala. NIS2 non prende più di mira solo i grandi operatori critici. Penetra in profondità nell'ecosistema di PMI e mid-cap, già solo attraverso l'obbligo sulla catena di fornitura.

Cosa sarà richiesto una volta che la legge sarà pienamente in vigore

• Gestione dei rischi documentata: politiche di cybersicurezza scritte, procedure di gestione degli incidenti e piani di continuità operativa, revisionati e approvati dall'alta direzione. È un obbligo di governance a livello di consiglio, non un compito delegato all'IT.
• Segnalazione degli incidenti: allarme precoce all'autorità nazionale competente entro 24 ore dal rilevamento di un incidente significativo, e un rapporto completo entro 72 ore. Quasi nessuna organizzazione ha provato questa sequenza in condizioni reali.
• Sicurezza della catena di fornitura: obbligo di valutare e documentare la postura di cybersicurezza di fornitori e subappaltatori. La falla di sicurezza di un fornitore diventa la vostra esposizione di conformità, non in teoria, ma nel testo stesso della direttiva.
• Responsabilità dei dirigenti: i dirigenti possono essere ritenuti personalmente responsabili in caso di non conformità. Le sanzioni raggiungono i 10 milioni di euro o il 2 % del fatturato mondiale. Non è un'ipotesi per il secondo semestre 2026. È il meccanismo attorno al quale è stata costruita la direttiva.

Cosa significa realmente in pratica l'incertezza giuridica francese

L'assenza di una legge francese promulgata non significa assenza di esposizione. Significa tre cose precise, fin da ora.

• I tempi dell'entrata in vigore in Francia sono incerti. La data esatta a partire dalla quale le sanzioni saranno legalmente esecutive davanti ai tribunali francesi non è fissata.
• La sostanza degli obblighi non è incerta. Il contenuto della direttiva è stabile dal dicembre 2022, e la legge francese non lo indebolirà.
• Il mercato non aspetta la legge. Clausole, questionari e requisiti di due diligence legati alla preparazione a NIS2 sono già prassi comune tra acquirenti, assicuratori e grandi controparti.

Aspettare la promulgazione della legge francese prima di iniziare il lavoro di conformità non è una strategia. È una scommessa: che l'applicazione arrivi più lentamente della vostra prossima transazione, del vostro prossimo contratto con un grande cliente o del vostro prossimo audit. Per la maggior parte delle organizzazioni interessate, questa scommessa non regge.

Perché questo conta in un contesto di transazione

Qualsiasi organizzazione nel perimetro di NIS2 verrà chiamata, a un certo punto di una raccolta fondi, un'acquisizione o una cessione, a dimostrare la propria conformità. Non a descriverla. A dimostrarla, con documentazione, con prove di governance, con la dimostrazione che il quadro di gestione del rischio è qualcosa di più di una policy chiusa in un cassetto.

Un acquirente che non ottiene una risposta chiara sulla preparazione a NIS2 non si ritirerà necessariamente. Incorporerà l'incertezza nell'offerta, subordinerà l'operazione a una rimediazione, oppure passerà semplicemente al target successivo la cui risposta è già documentata.

“È esattamente questo divario che la dimensione Sicurezza & Sovranità del protocollo di certificazione CIFSO è concepita per colmare.”

— Aegryn

Non chiede se la vostra organizzazione ha una politica di cybersicurezza. Verifica se quella politica riflette la realtà operativa: preparazione alla risposta agli incidenti, mappatura dei rischi della catena di fornitura, gestione delle identità e degli accessi, governance tracciabile fino all'approvazione dell'alta direzione.

Il ritardo di recepimento in Francia è un fatto legislativo. Non è un periodo di grazia in materia di conformità. Le organizzazioni che lo trattano come tale lo scopriranno nel momento peggiore possibile, in piena due diligence, quando la risposta è richiesta in giorni, non in mesi.

Aegryn Advisory affianca le organizzazioni nel perimetro NIS2 nella documentazione della gestione del rischio, nella preparazione alla risposta agli incidenti e nella valutazione della sicurezza della catena di fornitura, e certifica il risultato nell'ambito della dimensione Sicurezza & Sovranità del CIFSO, prima del momento in cui un acquirente, un assicuratore o un regolatore ne chiede la prova.