Il deferimento dei quattro Paesi per mancato rispetto degli obblighi presenti nella Direttiva sulla cybersicurezza.
La Commissione Europea porta la Francia, la Spagna, l’Irlanda e i Paesi Bassi di fronte alla Corte di Giustizia dell’Unione Europea per non aver adempito correttamente agli obblighi Direttiva Nis2.
Il deferimento, ha spiegato la Commissione, arriva “per non aver notificato il recepimento completo” della direttiva Nis2 (Direttiva UE 2022/2555) nelle rispettive legislazioni nazionali. La Direttiva rappresenta uno dei pilastri della strategia europea per la cybersicurezza. Introduce infatti dei limiti più rigorosi per la protezione delle reti e dei sistemi informativi nei settori considerati critici.
In quest’ottica il mancato recepimento, secondo Bruxelles, “compromette gli sforzi dell’Unione per rafforzare la resilienza informatica e la capacità di risposta agli incidenti cyber“.
Più stringente la tutela per i settori critici
Entrata in vigore nel gennaio 2023, la Nis2 ha ampliato in modo significativo il perimetro delle organizzazioni che devono rispettare gli obblighi di cybersecurity. Coinvolti gli enti pubblici e privati che operano in “18 settori essenziali e importanti“.
I Soggetti Nis2 devono adottare “misure avanzate di gestione del rischio informatico, rafforzare la governance della sicurezza e notificare tempestivamente gli incidenti significativi alle autorità competenti“.
Quando scadeva il termine?
I Paesi membri avevano tempo fino al 17 ottobre 2024 per recepire la Direttiva nei rispettivi ordinamenti nazionali. La maggior parte dei Paesi ha completato il processo. Tuttavia, Spagna, Francia, Irlanda e Paesi Bassi non hanno ancora notificato alla Commissione il recepimento completo della normativa.
Per questo motivo Bruxelles aveva già avviato la procedura di infrazione inviando:
- una lettera di costituzione in mora il 28 novembre 2024.
- Un parere motivato il 7 maggio 2025.
Non avendo ricevuto una notifica completa entro i termini previsti, la Commissione ha deciso di procedere con il deferimento alla Corte di Giustizia dell’Unione Europea. La Corte emana sentenze giuridicamente vincolanti ed è legittimata ad imporre sanzioni finanziarie per le violazioni degli obblighi comunitari.
Bruxelles chiede anche sanzioni economiche
Oltre al ricorso presso la Corte, la Commissione ha chiesto l’applicazione di sanzioni finanziarie nei confronti dei quattro Paesi. Le richieste comprendono:
- una somma forfettaria.
- Delle penalità economiche giornaliere fino alla completa notifica del recepimento della Direttiva.
L’obiettivo “è incentivare una rapida attuazione delle norme e garantire un livello uniforme di protezione informatica in tutta l’Unione“.
Verso nuove modifiche
Lo scorso, nell’ambito di un più ampio pacchetto dedicato alla cybersicurezza, la Commissione aveva inoltre proposto una serie di modifiche mirate alla direttiva NIS2.
Le modifiche vogliono aumentare la certezza giuridica e semplificare l’applicazione delle norme da parte delle imprese che operano nell’UE. E al contempo, rendere più chiari gli obblighi in materia di sicurezza informatica e gestione dei rischi.
Per approfondire
- Consulta l’EU infringement procedure
- Leggi la Direttiva Nis2
