Due leggi, una data, obblighi immediati
La Cyberbeveiligingswet e la sua legge gemella, la Wet weerbaarheid kritieke entiteiten, sono entrate entrambe in vigore il 15 agosto 2026, e nessuna delle due ha atteso un periodo transitorio prima che gli obblighi più urgenti, la registrazione e la segnalazione delle violazioni, iniziassero ad applicarsi.
La Cyberbeveiligingswet è stata firmata l'8 luglio 2026 e pubblicata come Staatsblad 2026, 187 due giorni dopo. Il suo decreto attuativo, il Cyberbeveiligingsbesluit, è stato pubblicato separatamente come Staatsblad 2026, 189. Insieme recepiscono nel diritto olandese la direttiva UE 2022/2555, la direttiva NIS2. L'ambito è vasto per gli standard nazionali: oltre 8.000 organizzazioni in 18 settori, tra cui energia, acqua potabile, infrastrutture digitali, sanità, pubblica amministrazione e trasporti.
La tabella seguente illustra come le due leggi olandesi differiscano per portata e origine.
| Legge | Direttiva UE recepita | Entità coperte |
|---|---|---|
| Cyberbeveiligingswet | NIS2 (2022/2555) | Oltre 8.000 in 18 settori |
| Wet weerbaarheid kritieke entiteiten | CER (2022/2557) | Circa 500 entità critiche |
I nove mesi rimasti sepolti nella notizia
La copertura mediatica della legge si è fermata sulla frase 'nessun periodo di grazia', ed è vero solo a metà. L'orologio che davvero non ha periodo di grazia è quello per la registrazione presso l'NCSC e per la comunicazione di un incidente, non quello per completare il proprio programma di sicurezza.
La registrazione tramite il registro nazionale, MijnNCSC, è diventata obbligatoria nel momento stesso in cui la legge è entrata in vigore, e qualsiasi modifica ai dati di un'entità registrata deve essere segnalata entro 14 giorni. Due obblighi distinti corrono invece su un binario più lungo: la valutazione del rischio inizia 9 mesi dopo la designazione formale di un'entità, e l'obbligo di avere misure di sicurezza operative inizia 10 mesi dopo la designazione.
Questa distinzione conta per chi legge la legge come se comprasse tempo. Non è così. Compra tempo per costruire il programma. Non compra tempo per evitare la registrazione, e non compra tempo sull'orologio della segnalazione degli incidenti una volta rientrati nell'ambito di applicazione.
Un orologio diverso da quello tedesco
Il recepimento tedesco della NIS2 segue un processo più lento, basato su audit: l'autorità cibernetica tedesca identifica e conferma le entità nell'ambito di applicazione nel corso di una finestra più ampia, prima che gli obblighi si attivino pienamente. Un'azienda che ha controllato il calendario tedesco e ha presupposto che valesse anche per la propria controllata olandese stava guardando l'orologio sbagliato.
Il modello olandese lega la designazione alla registrazione anziché a un ciclo di audit nazionale, quindi il margine personale di 9-10 mesi di un'entità olandese inizia a decorrere dal momento in cui si registra o viene designata, non da una data nazionale fissata dal governo. Due Stati membri UE che recepiscono la stessa direttiva hanno prodotto due calendari pratici diversi, e nessuno dei due è un sostituto affidabile dell'altro.
Cosa significa per voi
Un titolare con una controllata olandese, un fornitore olandese per il trattamento dei dati, o un partner olandese nella logistica o nell'energia deve fare una verifica dell'ambito di applicazione questa settimana, non a dicembre. Si parta dal chiedersi se uno dei 18 settori coperti riguarda un'entità olandese che si controlla o da cui si dipende.
Se è così, si verifichi direttamente lo stato di registrazione su MijnNCSC anziché presumere che un fornitore o una controllata l'abbia già effettuata, perché l'obbligo di registrazione non concede alcun margine. Si individui poi la data di designazione dell'entità, perché è quella data, non il 15 agosto, a far scattare il suo orologio personale di 9-10 mesi per la valutazione del rischio e le misure di sicurezza.
Infine, si informi in modo specifico il consiglio di amministrazione. L'articolo sulla governance della NIS2 pone la responsabilità sull'organo di vertice dell'entità, non solo su una funzione di compliance o IT, e questo principio non si attenua solo perché le scadenze tecniche sono ancora a distanza di mesi.
Da leggere ora: Due Strumenti Open Source Caduti in Poche Ore | OpenAI Conferma la Pausa di Astra
