Brubru
Intelligenza strategica dell'Unione Europea
La Direttiva (UE) 2022/2555 è la normativa di cybersicurezza orizzontale dell'UE, che sostituisce la NIS1 (Direttiva 2016/1148) a partire dal 18 ottobre 2024. Copre 18 settori, impone la responsabilità a livello del consiglio di amministrazione, prevede dieci misure di sicurezza minime, richiede la segnalazione degli incidenti entro 24 ore, 72 ore e un mese, e stabilisce sanzioni massime di 10 milioni di euro o il 2% del fatturato annuo globale per le entità essenziali.
Perché NIS2 ha sostituito NIS1 e quali sono state le modifiche?
La prima Direttiva NIS (2016/1148) è stata la prima normativa europea di carattere orizzontale in materia di cybersicurezza. La sua principale debolezza risiedeva nella struttura: richiedeva agli Stati membri di identificare gli "operatori di servizi essenziali" attraverso una procedura nazionale, senza imporre vincoli minimi su come tale identificazione dovesse essere effettuata. Il risultato è stato prevedibile: una frammentazione significativa. Diversi Stati membri hanno identificato entità diverse, applicato requisiti di sicurezza differenti e imposto sanzioni che vanno da quelle insignificanti a quelle sostanziali. Il mercato unico operava quindi con più di diciotto regimi di cybersicurezza differenti.
NIS2 affronta questa problematica attraverso tre cambiamenti strutturali. In primo luogo, una regola sulla dimensione sostituisce l'esercizio di identificazione discrezionale: qualsiasi entità di medie o grandi dimensioni in un settore coperto è automaticamente inclusa. In secondo luogo, le dieci misure minime previste nell'articolo 21(2) stabiliscono un livello armonizzato, anziché lasciare i requisiti di sicurezza alla discrezione nazionale. Infine, il sistema di vigilanza e sanzioni viene rafforzato, con multe massime collegate al fatturato globale, seguendo lo stesso modello di GDPR.
La direttiva si basa sull'articolo 114 del TFUE (armonizzazione del mercato interno), ed è stata adottata il 14 dicembre 2022 e pubblicata nel GU L 333 del 27 dicembre 2022. È entrata in vigore il 16 gennaio 2023. Gli Stati membri hanno avuto fino al 17 ottobre 2024 per recepirla. La direttiva NIS1 (Direttiva 2016/1148) è stata abrogata con effetto dal 18 ottobre 2024 (articolo 44).
NIS2 è una direttiva, non un regolamento: stabilisce obiettivi vincolanti che gli Stati membri devono raggiungere attraverso misure di trasposizione nazionale. Questo consente flessibilità nell'incorporazione delle regole nei sistemi giuridici nazionali, ma le obbligazioni sostanziali – le dieci misure minime, i tempi per la segnalazione degli incidenti, le sanzioni massime – sono livelli minimi armonizzati, il che significa che gli Stati membri possono andare oltre, ma non al di sotto di un livello minimo.
NIS2 è supportato da diversi strumenti correlati che devono essere letti insieme.
Chi è incluso: la regola del limite di dimensione e il quadro dei 18 settori.
NIS2 si applica a enti pubblici o privati appartenenti ai settori indicati nell'Allegato I o II, che rientrano nella categoria di piccole e medie imprese (PMI) o superano i relativi limiti. In base alla Raccomandazione della Commissione 2003/361/EC, una piccola e media impresa ha 50 o più dipendenti e un fatturato annuo o il totale delle attività in bilancio superiore a 10 milioni di euro. Gli enti che superano i limiti delle PMI (250 o più dipendenti, fatturato superiore a 50 milioni di euro o totale del bilancio superiore a 43 milioni di euro) nell'Allegato I sono classificati come enti essenziali.
Le imprese micro e piccole (con meno di 50 dipendenti e un fatturato inferiore a 10 milioni di euro) sono generalmente escluse dall'ambito di applicazione, salvo non rientrare in una delle specifiche categorie di esenzione per dimensione indicate di seguito.
La classificazione a due livelli e perché è importante per la supervisione.
In termini generali, le entità più grandi e di maggiore importanza a livello sistemico. La categoria comprende:
Sorveglianza ex ante e ex post (Articolo 32). Monitoraggio proattivo, ispezioni, audit e scans senza aspettare la prova di non conformità.
Tutte le entità incluse: entità di medie dimensioni dell'Allegato I che non rientrano nella categoria di "essenziali", e entità dell'Allegato II (salvo in categorie specifiche di esenzione per dimensione). Questa classificazione copre una popolazione di imprese molto più ampia di quella che NIS1 aveva raggiunto.
Le entità importanti sono soggette alle stesse responsabilità sostanziali delle entità essenziali (misure di gestione del rischio previste dall'articolo 21, segnalazione degli incidenti prevista dall'articolo 23, registrazione), ma sono soggette a un controllo meno rigoroso: le autorità competenti intervengono in modo reattivo (ex post), in seguito a prove, indicazioni o informazioni che suggeriscono una mancata conformità.
Sorveglianza Solo *ex post* (Articolo 33). L'autorità deve avere un fondamento prima di agire; non può effettuare controlli proattivi casuali come quelli che effettua per le entità essenziali.
Gli Stati membri erano tenuti a stabilire, pubblicare e notificare alla Commissione l'elenco delle entità essenziali e importanti (e dei fornitori di servizi di registrazione di domini) entro il 17 aprile 2025. L'elenco doveva essere rivisto e aggiornato almeno ogni due anni. Le entità erano tenute a fornire informazioni di registrazione, inclusi nome, indirizzo, dettagli di contatto, settore e intervalli di indirizzi IP.
Articolo 20 – Responsabilità a livello del consiglio di amministrazione e l'obbligo di formazione
Il NIS1 non prevedeva una clausola di responsabilità a livello di gestione. La sicurezza informatica era considerata una funzione IT. Il NIS2 cambia radicalmente questa situazione: la direttiva ora attribuisce la responsabilità per la sicurezza informatica direttamente al consiglio di amministrazione, non al team tecnico.
L'articolo 20(1) richiede agli Stati membri di garantire che… organismi di gestione Entità essenziali e importanti approvano le misure di gestione del rischio per la sicurezza informatica previste dall'Articolo 21, ne supervisionano l'implementazione e possono essere ritenute responsabili in caso di violazioni dell'Articolo 21. Questo crea una linea diretta di responsabilità dal consiglio di amministrazione o da qualsiasi organo di governo alla postura di sicurezza dell'organizzazione.
L'articolo 20(2) introduce un obbligo di formazione: i membri dei organi di gestione devono seguire corsi di formazione sulla sicurezza informatica per acquisire le conoscenze e le competenze necessarie per identificare i rischi e valutare le pratiche di gestione del rischio di cybersecurity e il loro impatto sui servizi offerti. Le entità sono incoraggiate (sebbene non sia obbligatorio a livello UE) a offrire corsi simili ai propri dipendenti in modo regolare.
Per le entità essenziali, l'articolo 32(5) consente alle autorità competenti, solo come ultima risorsa, di richiedere la sospensione temporanea dell'esercizio di funzioni manageriali da parte di qualsiasi persona responsabile o che agisca come legale rappresentante dell'entità. Tale potere è disponibile solo dopo che tutte le misure di applicazione previste sono state esaurite e l'entità non è stata in grado di risolvere la carenza entro una scadenza stabilita.
L'articolo 32(6) richiede inoltre agli Stati membri di garantire che le persone fisiche che agiscono come rappresentanti legali, che hanno responsabilità manageriali nei confronti di un'entità essenziale, o che hanno l'autorità di prendere decisioni per conto di tale entità, possano essere ritenute personalmente responsabili per la violazione del loro dovere di garantire la conformità alla direttiva. Lo stesso vale per le entità importanti, come indicato nell'articolo 33(5). Questa disposizione relativa alla responsabilità personale rappresenta uno dei cambiamenti più significativi nell'ambito della governance introdotti da NIS2.
Articolo 21 – l'approccio "all-hazard" e il livello minimo obbligatorio.
L'articolo 21(1) richiede alle entità di adottare misure tecniche, operative e organizzative adeguate e proporzionate, basate su un approccio universaleQuesto significa che il quadro di gestione dei rischi deve affrontare tutte le minacce plausibili – non solo gli attacchi informatici, ma anche le minacce fisiche all'ambiente dei sistemi (allagamenti, incendi, interruzioni di corrente), le minacce interne e la compromissione della catena di approvvigionamento. La proporzionalità viene valutata in base all'esposizione del soggetto ai rischi, alle dimensioni, alla probabilità e alla gravità degli incidenti e al loro impatto sociale ed economico.
L'articolo 21(5) richiede alla Commissione di adottare atti di attuazione che specificano i requisiti tecnici e metodologici per le misure previste nel paragrafo 2, rivolte a determinati fornitori di servizi digitali entro il 17 ottobre 2024. Questi atti di attuazione illustrano in pratica cosa significano le dieci misure per i fornitori di servizi cloud, i servizi DNS, i fornitori di servizi gestiti e altri.
| Misurare | Articolo | Ambito | Obbligo principale |
|---|---|---|---|
| Analisi del rischio e politiche di sicurezza dei sistemi informativi | Articolo 21(2)(a) | Tutte le entità | Documentare i risultati dell'analisi dei rischi e mantenere aggiornate le politiche di sicurezza del sistema informativo. |
| Gestione degli incidenti | Articolo 21(2)(b) | Tutte le entità | Stabilire procedure che coprano la prevenzione, il rilevamento, l'analisi, il contenimento, la risposta e il ripristino in caso di incidenti. |
| Continuità operativa, backup, ripristino di emergenza | Articolo 21(2)(c) | Tutte le entità | Implementare la gestione del backup, i piani di ripristino in caso di disastro e le procedure di gestione delle crisi, al fine di garantire la continuità del servizio in caso di incidente. |
| Sicurezza della catena di approvvigionamento | Articolo 21(2)(d) | Tutte le entità | Garantire la sicurezza dei rapporti con i fornitori e i prestatori diretti; valutare le loro vulnerabilità, la qualità della cybersecurity e le procedure di sviluppo sicure. Tenere conto delle valutazioni dei rischi nella catena di approvvigionamento a livello europeo (Articolo 22). |
| Acquisizione, sviluppo e manutenzione sicura. | Articolo 21(2)(e) | Tutte le entità | Sicurezza dei sistemi di rete e delle informazioni durante l'acquisizione, lo sviluppo e la manutenzione, inclusa la gestione delle vulnerabilità e la divulgazione. |
| Politiche di valutazione dell'efficacia | Articolo 21(2)(f) | Tutte le entità | Stabilire politiche e procedure per valutare regolarmente l'efficacia delle misure di gestione del rischio di sicurezza informatica. |
| Igiene digitale e formazione | Articolo 21(2)(g) | Tutte le entità | Implementare pratiche di base per l'igiene informatica e mantenere un programma di formazione sulla sicurezza informatica per il personale. |
| Crittografia e cifratura | Articolo 21(2)(h) | Tutte le entità | Implementare politiche e procedure per l'utilizzo della crittografia e, quando appropriato, della crittografia. La strategia nazionale di cybersicurezza deve promuovere la crittografia end-to-end, in conformità con l'Articolo 7. |
| Sicurezza delle risorse umane e controllo degli accessi. | Articolo 21(2)(i) | Tutte le entità | Implementare misure di sicurezza per le risorse umane, politiche di controllo degli accessi e gestione degli asset, al fine di ridurre la superficie di rischio derivante da minacce interne. |
| Autenticazione a più fattori | Articolo 21(2)(j) | Tutte le entità | Implementare l'autenticazione a più fattori (MFA) o soluzioni di autenticazione continua, proteggere le comunicazioni vocali/video/testo e i sistemi di comunicazione di emergenza, ove appropriato. |
Articolo 23 – allerta precoce, notifica e rapporto finale
Un evento è considerato significativo se ha causato o è in grado di causare: (a) un grave disturbo delle operazioni o una perdita finanziaria per l'entità; oppure (b) danni sostanziali o non sostanziali a persone fisiche o giuridiche. Il solo potenziale di causare tale disturbo è sufficiente – non è necessario che si siano verificati danni reali. Il considerando 101 chiarisce che la valutazione iniziale dovrebbe considerare l'importanza dei sistemi interessati, la gravità e le caratteristiche tecniche della minaccia, eventuali vulnerabilità sottostanti e l'esperienza dell'entità con incidenti simili.
Il semplice atto di segnalazione non comporta per l'ente che effettua la segnalazione un aumento delle responsabilità. Allo stesso modo, le segnalazioni volontarie previste dall'articolo 30 (per incidenti non significativi, situazioni a rischio e minacce informatiche) non comportano ulteriori obblighi oltre a quelli che si applicherebbero qualora l'ente non avesse effettuato la segnalazione. Queste disposizioni sono state create per incentivare la segnalazione tempestiva e senza esitazioni, evitando che le aziende trattiene le informazioni per timore che la divulgazione possa essere utilizzata contro di loro.
L'ENISA deve sviluppare e mantenere un database europeo delle vulnerabilità, accessibile a tutti gli stakeholder, inclusi gli enti al di fuori dello scopo del NIS2. Il database elenca le vulnerabilità pubblicamente note in prodotti e servizi ICT, comprese le versioni interessate, la gravità, le patch disponibili e indicazioni sulla mitigazione del rischio quando le patch non sono disponibili. Ogni Stato membro deve designare un CSIRT (Cybersecurity Incident Response Team) come coordinatore per la divulgazione coordinata delle vulnerabilità, agendo come un intermediario di fiducia tra ricercatori e fornitori.
Articoli 31-37 – regime differenziato per entità essenziali e importanti
Le autorità competenti dispongono di un'ampia gamma di poteri di vigilanza proattivi nei confronti delle imprese essenziali, tra cui:
Le misure di applicazione comprendono: avvisi; istruzioni vincolanti; ordinanze per cessare comportamenti di contraffazione; nomina di un responsabile per il monitoraggio; divulgazione pubblica delle violazioni; sanzioni amministrative; e, come ultima risorsa, sospensione temporanea delle certificazioni o divieto temporaneo per un singolo manager di esercitare funzioni manageriali.
La supervisione delle entità importanti è reattiva. L'autorità competente deve disporre di prove, indizi o informazioni che suggeriscano una non conformità prima di poter agire. Una volta che la situazione è stata identificata, gli strumenti di supervisione e i poteri di applicazione disponibili sono identici a quelli previsti per le entità essenziali.
Le entità importanti non sono tenute a documentare sistematicamente la conformità alle misure di gestione dei rischi per la sicurezza informatica, da presentare all'autorità competente in assenza di un intervento di vigilanza. Tuttavia, devono mantenere una documentazione interna e renderla disponibile su richiesta.
La Commissione ha stimato che la distinzione tra la supervisione *ex ante* e *ex post* rappresenti il fattore chiave per la proporzionalità: il costo della documentazione proattiva e della preparazione agli audit è significativo, e destinare queste risorse alle entità ad alto rischio evita di imporre oneri sproporzionati sulle imprese di medie dimensioni in settori meno critici.
Articolo 34 – limiti massimi delle sanzioni e fattori aggravanti
| Categoria entità | Massima sanzione | Articolo | Appunti |
|---|---|---|---|
| Entità essenziali | 10.000.000 EUR o il 2% del fatturato annuale mondiale totale (ciò che è maggiore). | Articolo 34(4) | Fatturato dell'attività dell'entità a cui l'entità appartiene; si applica alle violazioni degli articoli 21 o 23. |
| Entità importanti | 7.000.000 di euro o il 1,4% del fatturato annuale totale mondiale (a seconda di quale sia maggiore). | Articolo 34(5) | Fatturato dell'attività dell'entità a cui l'entità appartiene; si applica alle violazioni degli articoli 21 o 23. |
| Pagamenti di penali periodici | Autonomia nazionale | Articolo 34(6) | Gli Stati membri possono prevedere pagamenti di sanzione periodici per obbligare un’entità a cessare un’infrazione. |
| Enti pubblici amministrativi | Autonomia nazionale | Articolo 34(7) | Gli Stati membri stabiliscono se e in quale misura le sanzioni amministrative si applicano alle pubbliche amministrazioni. |
Quando viene applicata una sanzione, le autorità competenti devono tenere necessariamente conto di almeno:
Quando lo stesso comportamento costituisce sia una violazione del NIS2 sia una violazione della privacy dei dati ai sensi del GDPR, e una sanzione GDPR è stata imposta, l'autorità competente potrebbe non imporre una sanzione separata ai sensi del NIS2 per lo stesso comportamento (Articolo 35(2)).
Una direttiva non è direttamente applicabile: ogni Stato membro deve incorporarla nella propria legislazione nazionale entro una scadenza di trasposizione. Per quanto riguarda la Direttiva NIS2, la scadenza di trasposizione da parte dell'UE è… 17 ottobre 2024La mappa mostra, per ogni Stato membro, la principale misura nazionale che è stata comunicata alla Commissione e la data in cui è stata notificata. 23 dei 27 Stati membri hanno comunicato misure elencate qui; l'elenco completo e ufficiale di tutte le misure di trasposizione nazionali per ogni Stato membro è disponibile su… Misure di trasposizione nazionale – EUR-Lex.
Clicca su un indicatore relativo allo Stato membro per conoscere la normativa nazionale trasposta e la data di pubblicazione. Fonte: EUR-Lex. Misure di attuazione nazionale, recuperate nel maggio 2026. Se un indicatore mostra "Notificato tramite EUR-Lex", consultare il link EUR-Lex sopra per le misure del relativo paese.
Il Gruppo di Cooperazione, la Rete dei CSIRTs e EU-CyCLONe
Il organismo di cooperazione strategica, composto da rappresentanti degli Stati Membri, della Commissione e di ENISA, fornisce indicazioni in merito alla trasposizione e all'implementazione, favorisce lo scambio di buone pratiche e supervisiona le valutazioni coordinate dei rischi di sicurezza delle catene di approvvigionamento critiche ai sensi dell'Articolo 22. Si rivolge al Parlamento Europeo e al Consiglio, e si riunisce almeno annualmente con il Gruppo Entità Critiche, nell'ambito della Direttiva CER.
Lo strato di collaborazione operativa: una rete di Team Nazionali di Risposta agli Incidenti di Sicurezza Informatica, più CERT-EU. Scambia informazioni sulle capacità, sugli incidenti, sulle vulnerabilità e sui quasi-incidenti, può coordinare la risposta agli incidenti transfrontalieri e offre assistenza transfrontaliera ai Stati Membri. La Commissione partecipa come osservatore; ENISA fornisce la segreteria.
La Rete Organizzazione di Relazione per la Crisi Cibernetica Europea gestisce incidenti e crisi di sicurezza informatica su larga scala a livello operativo. È composta dalle autorità nazionali di gestione delle crisi cibernetiche. Quando un incidente potrebbe avere un impatto significativo sull'Unione, la Commissione partecipa pienamente, non come osservatore. Presenta relazioni ogni 18 mesi al Parlamento Europeo e al Consiglio.
L'ENISA (l'Agenzia dell'Unione Europea per la sicurezza informatica) svolge un ruolo centrale nel quadro del NIS2. Fornisce la segreteria alla Rete dei CSIRTs e a EU-CyCLONe, sviluppa e mantiene il database europeo delle vulnerabilità (Articolo 12), gestisce il registro ENISA di determinati fornitori di servizi digitali (Articolo 27), pubblica un rapporto biennale sullo stato della sicurezza informatica nell'Unione (Articolo 18) e fornisce linee guida e assistenza tecnica agli Stati membri per lo sviluppo dei CSIRTs e delle strategie nazionali di sicurezza informatica. Il ruolo dell'ENISA è notevolmente ampliato dal NIS2 rispetto al NIS1.
Dal passaggio da NIS1 a NIS2 e le prospettive future
termini e concetti chiave del quadro NIS2
domande pratiche di conformità
Due domande determinano l'ambito di applicazione. La prima: la vostra organizzazione offre servizi in uno dei 18 settori elencati negli allegati I o II del NIS2? La seconda: dispone di 50 o più dipendenti, e un fatturato annuo o un totale del bilancio superiore a 10 milioni di euro? Se entrambe le risposte sono affermative, la vostra organizzazione rientra nell'ambito di applicazione. Si noti che anche se siete al di sotto di questi limiti, potreste comunque rientrare nell'ambito, qualora rientrate in una delle categorie speciali previste dall'articolo 2 (paragrafi 2-4), ad esempio, se siete l'unico fornitore di un servizio essenziale in uno Stato membro, o se siete un fornitore di servizi di fiducia o di servizi DNS.
Sì, se forniscono servizi all'interno dell'Unione. Alcune categorie di entità – fornitori di servizi DNS, registri di nomi di dominio (TLD), fornitori di servizi di cloud computing, fornitori di servizi di data center, fornitori di CDN, fornitori di servizi gestiti, fornitori di servizi di sicurezza gestiti e fornitori di mercati online, motori di ricerca e social network – rientrano nella giurisdizione dello Stato membro dell'UE in cui hanno la sede principale nell'Unione. Se tale entità non è stabilita nell'UE ma offre servizi al suo interno, deve nominare un rappresentante nell'Unione (Articolo 26(3)). Il mancato nominare un rappresentante non esime l'entità dalle obbligazioni della direttiva; qualsiasi Stato membro in cui l'entità offre servizi può intraprendere azioni legali per violazioni.
Sì. Un singolo incidente di cybersecurity potrebbe configurarsi sia come un incidente significativo ai sensi del NIS2 (che attiva la cascata di segnalazione di 24/72/1 mese prevista dall'articolo 23), sia come violazione dei dati personali soggetta alla notifica prevista dall'articolo 33 del GDPR (con un termine di 72 ore all'autorità di vigilanza). In tali circostanze, l'articolo 35(1) del NIS2 richiede che le autorità competenti e l'autorità di protezione dei dati collaborino. Inoltre, l'articolo 35(2) prevede che, qualora l'autorità di protezione dei dati abbia già imposto una sanzione ai sensi dell'articolo 58(2)(i) del GDPR per lo stesso comportamento, l'autorità competente del NIS2 non deve imporre una sanzione amministrativa separata del NIS2 per lo stesso comportamento. Tuttavia, è possibile applicare altre misure di controllo previste dal NIS2 (ad esempio, avvertimenti, istruzioni obbligatorie).
Gli articoli 34(4) e (5) si riferiscono al volume totale di vendite annuale mondiale dell'anno finanziario precedente dell'"impresa a cui l'entità essenziale appartiene". Il concetto di "impresa" in questo contesto si basa sulla definizione prevista dal diritto antitrust negli articoli 101 e 102 del TFUE, e pertanto comprende l'intero gruppo di società sotto controllo unitario, non solo l'entità legale che ha commesso l'illecito. Per una sussidiaria di un'ampia multinazionale, questo può comportare una sanzione massima significativamente più elevata rispetto a quella che si applicherebbe se si utilizzasse solo il fatturato della sussidiaria stessa. Il considerando 130 del NIS2 conferma questa interpretazione.
Dipende da se le regole specifiche del settore hanno lo stesso effetto. L'articolo 4(1) del NIS2 prevede che, qualora un atto legislativo dell'Unione specifico per un settore richieda alle entità di adottare misure di gestione dei rischi per la sicurezza informatica o di segnalare incidenti significativi, e quando tali requisiti sono almeno equivalenti alle obbligazioni previste dal NIS2, le relative disposizioni del NIS2 non si applicano. DORA (Regolamento 2022/2554) ne è un esempio principale: le entità finanziarie soggette a DORA sono esentate dalle disposizioni relative alla gestione dei rischi e alla segnalazione degli incidenti previste dal NIS2, per quanto coperto da DORA. Tuttavia, la Commissione ha pubblicato linee guida nel luglio 2023 per assistere in questa analisi, e non tutte le entità finanziarie sono coperte da DORA allo stesso modo. In caso di dubbio, è consigliabile consultare un legale per verificare se le vostre obbligazioni specifiche del settore soddisfano effettivamente il test di equivalenza previsto dal NIS2.
Fotografia: Christina Morillo via Pexels
Fonti primarie per il NIS2 e la trasposizione nazionale.
Il testo completo della Direttiva (UE) 2022/2555 in merito a EUR-Lex, comprensivo di tutti i preamboli, degli articoli operativi e degli allegati I-III. CELEX 32022L2555Il testo consolidato include qualsiasi atto di modifica successivo.
La pagina NIS2 di ENISA fornisce documenti guida, kit di implementazione, il database europeo di vulnerabilità e informazioni sulla trasposizione da parte degli Stati membri. ENISA è l'organismo principale dell'UE che sostiene l'implementazione di NIS2.
Linee guida pubblicate dalla Commissione nel luglio 2023 che chiariscono quando le regole specifiche di un settore (come DORA) sono equivalenti agli effetti del NIS2, pubblicate su EUR-Lex. Lettura essenziale per le entità nei settori regolamentati, per valutare quale regime si applica a loro.
Il fascicolo procedurale del Parlamento Europeo per la NIS2, che traccia l'intera storia legislativa dalla proposta della Commissione alla prima lettura, al trilogato e all'adozione finale. Riferimento 2020/0359(COD).
Usa gli strumenti di Brubru basati sull'IA per gestire la conformità al NIS2 e alle leggi europee sulla sicurezza informatica.