L’11 giugno 2026, la Commissione Europea ha presentato un pacchetto legislativo che ridisegna la sicurezza informatica dell’Unione Europea su due assi distinti: la semplificazione della direttiva NIS2 per quasi 30.000 aziende e un nuovo framework vincolante per i fornitori ICT ad alto rischio. Per la prima volta, Bruxelles si dota di uno strumento che consente di escludere un singolo fornitore tecnologico dal mercato europeo, anche senza che il suo paese d’origine sia classificato come “paese di interesse”.<\/p>\n\n\n\n
Il pacchetto \u00e8 composto da tre pilastri: la revisione della direttiva NIS2, le modifiche al Cybersecurity Act del 2019 e una comunicazione sulla sicurezza della catena di fornitura ICT. Henna Virkkunen, Vicepresidente esecutiva della Commissione Europea, ha dichiarato che le misure rimuovono “il carico di conformit\u00e0 da quasi 30.000 aziende”, incluse “oltre 6.000 micro e piccole imprese”, con l’obiettivo di concentrare gli obblighi sulle entit\u00e0 che rappresentano rischi sistemici reali.<\/p>\n\n\n\n
Il pacchetto della Commissione del giugno 2026 si innesta su un processo avviato a gennaio 2026, quando la Commissione aveva pubblicato la proposta formale di modifica del Cybersecurity Act. L’annuncio dell’11 giugno ha consolidato tutte le misure in un unico quadro politico coerente, aprendo la procedura legislativa ordinaria al Parlamento Europeo e al Consiglio dell’UE.<\/p>\n\n\n\n
Il primo pilastro affronta la frammentazione normativa prodotta dall’implementazione nazionale di NIS2: 27 recepimenti diversi hanno generato requisiti non omogenei tra gli Stati membri, aumentando i costi per le aziende che operano in pi\u00f9 paesi. Il secondo pilastro introduce il framework per i fornitori ad alto rischio, uno strumento di sicurezza economica che va ben oltre la cybersecurity tradizionale. Il terzo pilastro rafforza il mandato dell’Agenzia europea per la cybersecurity ENISA, assegnandole nuovi compiti di certificazione per i servizi di sicurezza gestiti.<\/p>\n\n\n\n
Il contesto politico \u00e8 decisivo: il pacchetto arriva dopo mesi di pressioni da parte dell’industria tecnologica europea, che aveva segnalato costi di conformit\u00e0 sproporzionati per le PMI, e dopo l’esercitazione Cyber Europe 2026 del 17 giugno, che ha coinvolto oltre 5.000 esperti testando la risposta coordinata UE ad attacchi su reti ferroviarie e portuali. I risultati hanno evidenziato lacune nella condivisione delle informazioni tra Stati membri, rafforzando la logica del pacchetto.<\/p>\n\n\n\n
La revisione della direttiva NIS2 \u00e8 la misura con l’impatto pi\u00f9 immediato. La Commissione stima che 28.700 aziende beneficeranno di una riduzione degli obblighi di conformit\u00e0, con tre categorie distinte che ricevono trattamenti differenziati.<\/p>\n\n\n\n
Le micro e piccole imprese, circa 6.200 entit\u00e0, vengono esentate dalla maggior parte degli obblighi di reporting e gestione del rischio. Sotto la NIS2 originale, anche una societ\u00e0 con 10 dipendenti che operava in un settore essenziale doveva implementare sistemi di notifica degli incidenti e audit periodici, con costi stimati tra 50.000 e 120.000 euro annui secondo i dati raccolti dalla Commissione nella consultazione pubblica del 2025.<\/p>\n\n\n\n
Il secondo gruppo, che la proposta definisce “small midcap enterprises”, \u00e8 la novit\u00e0 pi\u00f9 rilevante. Questa categoria, circa 22.000 aziende, beneficia di requisiti semplificati ma non azzerati: mantengono l’obbligo di notificare gli incidenti significativi e di condurre valutazioni del rischio, ma attraverso procedure standardizzate e meno onerose rispetto ai grandi operatori. La logica \u00e8 proporzionale: le entit\u00e0 che non hanno capacit\u00e0 di causare effetti sistemici sull’infrastruttura critica non devono sostenere gli stessi oneri delle banche sistemiche o degli operatori energetici nazionali.<\/p>\n\n\n\n
Il terzo cambiamento strutturale riguarda il punto di notifica. La NIS2 originale imponeva notifiche multiple, spesso a pi\u00f9 autorit\u00e0 nazionali con formati diversi. Il pacchetto introduce un unico punto di accesso per le notifiche di incidenti, riducendo la duplicazione burocratica e tagliando, secondo le stime della Commissione, i tempi di compliance del 35% per le aziende transfrontaliere.<\/p>\n\n\n\n
La riduzione degli obblighi si applica in modo selettivo. Le entit\u00e0 nei settori pi\u00f9 critici, classificati come “essenziali” dalla NIS2 originale, mantengono tutti i requisiti esistenti o li vedono intensificati. Questi includono operatori di infrastrutture critiche (energia, acqua, trasporti, sanit\u00e0), fornitori di servizi digitali sistemici e operatori di infrastrutture di comunicazione elettronica.<\/p>\n\n\n\n
Il rischio principale, segnalato da diversi esperti legali, \u00e8 che la semplificazione crei un perimetro ambiguo tra le categorie. Un’azienda di medie dimensioni che fornisce software gestionale a ospedali potrebbe trovarsi in una zona grigia: non \u00e8 essa stessa un operatore sanitario, ma la sua compromissione potrebbe avere effetti a cascata su entit\u00e0 essenziali. La proposta della Commissione delega agli Stati membri la risoluzione di questi casi limite, il che potrebbe riprodurre la frammentazione che il pacchetto intende risolvere.<\/p>\n\n\n\n
Il secondo pilastro del pacchetto \u00e8 il pi\u00f9 dirompente sotto il profilo geopolitico. Per la prima volta, l’Unione Europea si dota di uno strumento giuridico che consente di designare un fornitore di tecnologie ICT come “ad alto rischio” e di imporre restrizioni al suo utilizzo nell’infrastruttura critica europea.<\/p>\n\n\n\n
Il meccanismo funziona su due livelli. Nel primo livello, la Commissione identifica un “paese di interesse”, ovvero uno Stato terzo il cui contesto normativo, di intelligence o geopolitico pone rischi sistemici per la sicurezza delle reti europee. Nel secondo livello, a partire da questa designazione, la Commissione identifica i fornitori ICT specifici collegati a quel paese e valuta se le loro componenti, prodotti o servizi debbano essere soggetti a restrizioni.<\/p>\n\n\n\n
La clausola pi\u00f9 discussa consente alla Commissione, in situazioni eccezionali, di applicare restrizioni direttamente a una specifica azienda anche se il suo paese d’origine non \u00e8 stato designato come paese di interesse. Questo significa che un fornitore con sede in un paese neutro ma con propriet\u00e0 o struttura di governance che la Commissione ritiene rischiosa potrebbe essere bersagliato direttamente. La proposta non specifica criteri espliciti per questa valutazione, lasciando ampia discrezionalit\u00e0 alla Commissione. I critici considerano questa mancanza di criteri un rischio per la certezza giuridica e per le relazioni commerciali internazionali.<\/p>\n\n\n\n
Il framework si applica a 18 settori critici identificati dalla proposta. Le restrizioni possono includere il divieto di utilizzo di componenti specifici nelle reti 5G, nei sistemi di controllo industriale (ICS\/SCADA) e nelle infrastrutture cloud che gestiscono dati classificati o dati personali su scala sistemica.<\/p>\n\n\n\n