Dal 1° ottobre 2026 in Austria è in vigore la nuova legge sulla sicurezza delle reti e dei sistemi informativi, in breve NISG 2026 (Netz- und Informationssystemsicherheitsgesetz). Recepisce la direttiva europea NIS2 e trasforma la cybersicurezza in un obbligo di legge per migliaia di imprese. Secondo la Camera di commercio austriaca (Wirtschaftskammer), circa 4.000 imprese ed enti di 18 settori sono direttamente interessati, a cui si aggiungono molti fornitori che vengono coinvolti negli obblighi tramite i loro clienti.
Una delle migliori panoramiche in lingua tedesca sull'argomento è stata realizzata dal giurista e consulente aziendale viennese Franz Kopp su https://nis-2-ready.at a complemento del suo libro „Quick Guide NIS-2 in Österreich“ (Guida rapida alla NIS-2 in Austria, Springer Gabler). Ho studiato a fondo il sito e le sue guide e riassumo qui ciò che amministratori e amministratrici devono sapere ora: chi è interessato, quali scadenze sono in corso, cosa va notificato in caso di incidente e quali sanzioni sono previste. La mia azienda sta percorrendo proprio ora questa strada, perciò in alcuni punti aggiungo ciò che abbiamo imparato nella pratica.
Che cos'è la NIS2 e che cos'è la NISG 2026?
La NIS2 è la seconda direttiva UE sulla sicurezza delle reti e dell'informazione (direttiva (UE) 2022/2555). Obbliga gli Stati membri a introdurre standard minimi vincolanti di cybersicurezza per i settori critici e importanti dell'economia. L'Austria lo ha fatto con la NISG 2026, pubblicata nella Gazzetta ufficiale federale (BGBl. I Nr. 94/2025). Le disposizioni operative si applicano dal 1° ottobre 2026, il relativo regolamento NISV 2026 dal 2 ottobre 2026.
Il nucleo della legge si riassume in quattro frasi. Le imprese interessate devono registrarsi. Devono predisporre una gestione dei rischi per il proprio IT che copra dieci ambiti definiti. Devono notificare gli incidenti di sicurezza significativi entro 24 ore. E la direzione è personalmente responsabile affinché tutto ciò avvenga.
Sono interessato? Le tre domande di verifica
Se un'impresa rientra nella NISG 2026 non dipende solo dal settore né solo dalle dimensioni, ma da entrambi insieme. A ciò si aggiungono alcuni casi particolari che valgono indipendentemente dalle dimensioni.
La prima domanda riguarda le dimensioni. In linea di principio rientrano le medie imprese a partire da 50 dipendenti oppure con più di 10 milioni di euro di fatturato annuo e contemporaneamente più di 10 milioni di euro di totale di bilancio. È considerata grande un'impresa a partire da 250 dipendenti oppure con più di 50 milioni di euro di fatturato e più di 43 milioni di euro di totale di bilancio. Importante: avere meno di 50 dipendenti non esclude automaticamente l'applicazione, perché contano anche i dati finanziari. Nei gruppi vengono di norma conteggiate anche le imprese associate e collegate, a meno che la società non sia effettivamente autonoma sul piano organizzativo, tecnico e operativo.
La seconda domanda riguarda l'attività. La legge elenca in due allegati quali servizi sono inclusi. L'allegato 1 comprende i settori ad alta criticità: energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi TIC, pubblica amministrazione e spazio. L'allegato 2 comprende altri settori critici: servizi postali e di corriere, gestione dei rifiuti, chimica, alimentare, industria manifatturiera, per esempio di dispositivi medici, elettronica, macchinari e veicoli, servizi digitali e ricerca. Decisivo è il servizio concreto così come descritto dalla legge, non un'etichetta generica di settore.
La terza domanda riguarda i clienti. Anche chi non rientra direttamente può essere coinvolto negli obblighi tramite i propri committenti, perché questi devono mettere in sicurezza la loro catena di fornitura. Ne parlo più avanti.
Soggetto essenziale o importante?
La NISG 2026 distingue due classi. Le grandi imprese di un settore dell'allegato 1 sono di norma soggetti essenziali. Le medie imprese di entrambi gli allegati e le grandi imprese dell'allegato 2 sono soggetti importanti. Gli obblighi sono in sostanza gli stessi, ma i soggetti essenziali sono sottoposti a una vigilanza più severa e a un quadro sanzionatorio più elevato.
Indipendentemente dalle dimensioni rientrano i prestatori di servizi fiduciari qualificati, i registri dei nomi di dominio di primo livello, i fornitori di servizi DNS e determinati fornitori di servizi di comunicazione pubblica. Inoltre, l'autorità per la cybersicurezza può classificare un'impresa con provvedimento, per esempio se è l'unico fornitore di un servizio critico in Austria. Proprio questo caso riguarda la mia azienda: poiché gestiamo servizi DNS, siamo un soggetto essenziale nonostante le nostre dimensioni. Chi offre hosting, domini o infrastruttura IT dovrebbe quindi verificare questo punto con particolare attenzione.
Le scadenze: registrazione entro il 31 dicembre 2026
Per le imprese che soddisfacevano già i requisiti il 1° ottobre 2026, la tabella di marcia prevede quattro tappe.
Primo, la registrazione ai sensi del § 29 presso l'autorità per la cybersicurezza. Deve avvenire entro tre mesi dall'entrata in vigore, quindi entro la fine del 2026. Vanno indicati, tra l'altro, nome e dati di contatto, settore e tipo di soggetto, gli Stati UE interessati, lo stabilimento principale e i valori soglia. Va inoltre designato un punto di contatto con numero di telefono e indirizzo e-mail. Se questi dati cambiano in seguito, la modifica va comunicata entro due settimane o tre mesi, a seconda dei casi. In pratica la registrazione avviene tramite il portale austriaco dei servizi per le imprese, l'Unternehmensserviceportal (USP), nella sezione „NIS2 Services“. Chi soddisfa i requisiti solo in un secondo momento, per esempio a seguito di una crescita, deve registrarsi al più tardi entro tre mesi da quel momento.
Secondo, la gestione dei rischi ai sensi del § 32. Qui non è previsto un periodo transitorio generale, quindi le misure vanno predisposte parallelamente alla registrazione.
Terzo, l'autodichiarazione ai sensi del § 33, comma 1. Entro dodici mesi dal sorgere dell'obbligo di registrazione, l'impresa deve comunicare all'autorità in forma strutturata quali misure ha attuato, compresa la sicurezza della catena di fornitura e i risultati dell'analisi dei rischi. Per la maggior parte delle imprese già incluse ciò significa: entro la fine di settembre 2027.
Quarto, la verifica indipendente ai sensi del § 33, comma 2. Non avviene automaticamente, ma su richiesta dell'autorità, al più presto due anni dopo l'entrata in vigore. In linea di principio l'attuazione va poi dimostrata entro due anni tramite un organismo indipendente. I soggetti essenziali, invece, devono documentare la parte operativa e organizzativa entro due mesi. I certificati validi possono coprire solo questa parte operativa e organizzativa, non quella tecnica.
I dieci ambiti di misure del § 32
Il cuore della legge è il § 32. Richiede misure tecniche, operative e organizzative adeguate e proporzionate, secondo un approccio multirischio. Devono essere coperti almeno dieci ambiti.
Primo, un'analisi dei rischi e la sicurezza dei sistemi informativi: quali sistemi, servizi e minacce determinano il proprio rischio? Secondo, la gestione degli incidenti di sicurezza, cioè rilevamento, valutazione, escalation e trattamento. Terzo, la continuità operativa con backup, ripristino e gestione delle crisi. Quarto, la sicurezza della catena di fornitura e dei fornitori di servizi. Quinto, la sicurezza nell'acquisizione, nello sviluppo e nella manutenzione, compresa la gestione delle vulnerabilità. Sesto, procedure per valutare l'efficacia delle misure, per esempio indicatori, test di controllo e audit. Settimo, igiene informatica e formazione. Ottavo, crittografia e cifratura. Nono, sicurezza del personale, controllo degli accessi e gestione degli asset. Decimo, autenticazione a più fattori, comunicazioni protette ed eventualmente comunicazioni di emergenza.
Che cosa significhi „proporzionato“ dipende dall'esposizione al rischio, dalle dimensioni, dalla probabilità di accadimento e dalla possibile gravità di un incidente, comprese le conseguenze sociali ed economiche. I costi da soli non sono un motivo di esenzione. La NISV 2026 aggiunge che l'analisi dei rischi deve considerare rischi tecnologici, umani, legati alla catena di fornitura e legati all'ubicazione. Chi non può soddisfare un requisito temporaneamente o a causa delle proprie dimensioni deve motivare e documentare misure sostitutive e verificarne l'efficacia almeno una volta all'anno.
Obbligo di notifica: 24 ore, 72 ore, un mese
Se si verifica un incidente di sicurezza significativo, si applica una procedura di notifica in tre fasi al CSIRT (gruppo di intervento per la sicurezza informatica in caso di incidente) settoriale competente oppure, se non esiste, al CSIRT nazionale. I termini decorrono dal momento in cui si viene a conoscenza dell'incidente.
Entro 24 ore va inviato un preallarme, indicando se si sospetta un attacco e se potrebbero essere coinvolti altri Paesi. Entro 72 ore segue la notifica vera e propria, con una prima valutazione della gravità e dell'impatto ed eventualmente gli indicatori di compromissione. Al più tardi un mese dopo è dovuta una relazione finale che descriva le cause, il tipo di minaccia, le misure correttive e gli effetti transfrontalieri. Se l'incidente è ancora in corso, viene presentata prima una relazione intermedia. Inoltre, i clienti i cui servizi sono compromessi devono essere informati senza indugio. Il CSIRT, da parte sua, risponde entro 24 ore e, su richiesta, fornisce supporto.
Quando un incidente è significativo? La NISV 2026 indica criteri in presenza dei quali lo è in ogni caso: una perdita finanziaria diretta superiore a 500.000 euro o al 5 per cento del fatturato dell'anno precedente (conta il valore più basso), la fuga di segreti commerciali, la morte o un grave danno alla salute di una persona, un accesso riuscito e presumibilmente doloso che probabilmente provoca gravi interruzioni operative, un'interruzione per più di 100.000 utenti o il 10 per cento degli utenti per oltre 24 ore, un'interruzione nel territorio di almeno un Land austriaco per oltre 24 ore, nonché l'attivazione di piani di crisi o di emergenza. Anche incidenti minori ripetuti con la stessa causa possono, sommati, diventare significativi. Le manutenzioni programmate non contano.
Per esperienza diretta: questi criteri non vanno letti per la prima volta in piena emergenza. Per il nostro team abbiamo introdotto un processo di notifica scritto con una reperibilità chiaramente definita e un'esercitazione chiamata „significativo o no?“. Nella notte tra sabato e domenica nessuno vuole mettersi a consultare la legge.
Una questione per i vertici: obblighi della direzione
Il § 31 fa espressamente della NIS2 un compito di leadership. La direzione o il consiglio di amministrazione deve assicurare che le misure del § 32 vengano attuate e vigilare costantemente su di esse. Il lavoro operativo può essere delegato all'IT, alla sicurezza delle informazioni, agli acquisti o a fornitori esterni, ma la responsabilità resta in alto.
Inoltre, i membri degli organi di gestione devono partecipare a corsi di cybersicurezza pensati specificamente per il livello dirigenziale. Un generico corso di sensibilizzazione per i dipendenti non è sufficiente. La legge non prescrive durata, frequenza né forma dell'attestato di partecipazione. Contenuti utili sono, per esempio, la situazione di rischio attuale, i compiti previsti dalla legge, le situazioni decisionali durante un incidente, i rischi della catena di fornitura e la questione di che cosa dimostri effettivamente una prova. Per i dipendenti la legge richiede inoltre una formazione regolare e adeguata.
Come prova, Franz Kopp raccomanda di adottare delibere su ruoli e budget, di farsi riferire regolarmente e di documentare le decisioni. Un buon report per la direzione contiene la situazione di rischio, lo stato di attuazione dei dieci ambiti di misure, i fornitori critici, gli incidenti, le misure in ritardo, i risultati degli audit e lo stato della formazione.
Sanzioni e responsabilità
Le sanzioni pecuniarie sono pesanti. Per i soggetti essenziali arrivano fino a 10 milioni di euro o al 2 per cento del fatturato mondiale dell'anno precedente, per i soggetti importanti fino a 7 milioni di euro o all'1,4 per cento, in ciascun caso l'importo più alto. Anche la mancata registrazione o dati errati costituiscono un illecito amministrativo, così come l'omessa notifica.
Viene sanzionata in primo luogo l'impresa stessa. La legge non prevede una sanzione personale automatica per gli amministratori. Le conseguenze di diritto societario, civile e assicurativo vanno però esaminate separatamente, e chi non riesce a documentare il proprio dovere di vigilanza si trova in una posizione debole in caso di controversia. Per i soggetti essenziali esiste inoltre un livello di escalation ai sensi del § 39: se l'impresa non ottempera entro il termine a un provvedimento correttivo, l'autorità può vietare temporaneamente ai membri degli organi di gestione di esercitare le loro funzioni direttive finché le misure non sono state attuate. Non si tratta di un divieto generale di esercitare la professione. Raccomando comunque di esaminare in questo contesto anche la propria polizza D&O e la propria assicurazione cyber.
NIS2 nella catena di fornitura: cosa aspetta i fornitori
Molte imprese più piccole sentiranno la NIS2 non tramite la legge, ma tramite i loro clienti. I soggetti essenziali e importanti devono tenere conto nella propria gestione dei rischi della sicurezza della loro catena di fornitura e dei loro fornitori di servizi diretti. Questo non trasforma automaticamente un fornitore in un soggetto NISG. Per lui nascono però obblighi vincolanti attraverso contratti e gare d'appalto.
Il livello di rigore dipende dal rischio. Un servizio cloud con accesso amministrativo viene verificato in modo diverso da un fornitore di materiale d'ufficio. Prove tipiche sono una descrizione del servizio e delle sue dipendenze tecniche, un punto di contatto per gli incidenti di sicurezza, regole per gli accessi e l'autenticazione a più fattori, un processo di patch e gestione delle vulnerabilità, un piano di backup e ripristino testato, un processo di gestione degli incidenti con informazione ai clienti, un elenco dei subappaltatori essenziali e rapporti di audit o certificati con un ambito di applicazione adeguato.
Una frase come „L'appaltatore rispetta la NIS2“ è troppo generica come clausola contrattuale. I buoni contratti stabiliscono concretamente quali misure di sicurezza si applicano, chi informa chi sugli incidenti ed entro quale termine, quali prove vengono accettate, come si svolgono le verifiche e come vengono gestiti i subappaltatori e le carenze. Noi siamo passati esattamente attraverso tutto questo con grandi clienti: questionari, penetration test, test di verifica. Chi si prepara per tempo guadagna fiducia e talvolta anche incarichi.
Cosa dovrebbe fare concretamente adesso
Verifichi e documenti se è interessato: dimensioni comprese le imprese collegate, attività secondo gli allegati 1 e 2, casi particolari indipendenti dalle dimensioni. Metta per iscritto il risultato e lo faccia firmare dalla direzione.
Se è interessato, si registri tramite l'USP entro il 31 dicembre 2026 e designi un punto di contatto raggiungibile.
Elabori un piano di misure secondo i dieci ambiti del § 32, lo faccia approvare dalla direzione e archivi fin dall'inizio la prova di ogni misura. Questo dossier è la base per l'autodichiarazione nell'autunno 2027.
Scriva un processo di notifica ed escalation per 24 e 72 ore e lo eserciti. Formi la direzione e il team. E passi in rassegna i suoi principali fornitori di servizi e i contratti con i clienti per quanto riguarda i requisiti di sicurezza.
La mia conclusione
La NIS2 non è un progetto IT da delegare ai tecnici, ma un compito di leadership con scadenze chiare. La buona notizia: chi gestisce già il proprio IT in modo ordinato ha molto di pronto e deve soprattutto renderlo dimostrabile. La cattiva: senza documentazione, in caso di incidente niente di tutto ciò conta.
Per iniziare consiglio il sito https://nis-2-ready.at con il suo breve test di applicabilità e le sei guide. Vincolanti sono le fonti primarie nel sistema federale austriaco di informazione giuridica (RIS). Questo articolo è il mio riassunto da imprenditore e non sostituisce una consulenza legale.
Sono felice di consigliarLa
La mia azienda ha appena attuato la NISG 2026 come soggetto essenziale: classificazione, registrazione, piano di misure, processo di notifica e di emergenza, formazione della direzione e del team, prove per la catena di fornitura. Condivido volentieri questa esperienza. Se vuole sapere se la Sua impresa è interessata o cerca una strada pragmatica per l'attuazione, sarò lieto di consigliarLa personalmente. Mi scriva semplicemente: https://www.mariokoerbler.com/it/contatto