Mexedia : la directive NIS2 en Italie entre dans sa phase opérationnelle
Mexedia S.p.A. Société Benefit, cotée sur Euronext Growth Paris, a publié le 21 octobre 2026 un communiqué sur la mise en œuvre en Italie de la directive européenne NIS2. Elle y relève que le calendrier fixé par l'Agence pour la cybersécurité nationale (ACN) entre dans sa phase opérationnelle.
Diffusé à des fins exclusivement informatives, le texte ne contient pas d'information privilégiée selon la société. Il relève de la prise de position institutionnelle, sans annonce de décision opérationnelle propre au groupe.
Un calendrier de mise en conformité échelonné jusqu'en janvier 2028
La directive NIS2, qui porte sur la sécurité des réseaux et des systèmes d'information, a été transposée en droit italien par le décret législatif n° 138 du 4 septembre 2024. Pour les entités inscrites sur la liste NIS en 2025, le délai de dix-huit mois accordé pour adopter les mesures de sécurité de base arrive à échéance en octobre. Ce délai court à compter de la communication de leur inscription.
Pour les entités recensées à la mi-2026, l'obligation de notifier les incidents significatifs s'appliquera à partir d'avril 2027, et les mesures de base devront être adoptées d'ici janvier 2028. Mexedia rappelle que, par rapport à la première directive européenne de 2016, le périmètre ne se limite plus aux opérateurs de services essentiels et aux fournisseurs de services numériques.
Il s'étend désormais à un nombre beaucoup plus large d'entreprises, classées en entités essentielles et entités importantes selon leur secteur et leur taille. Selon le communiqué, le critère est proportionnel, mais le principe est unique : la continuité des services numériques constitue un intérêt qui dépasse celui de chaque entreprise.
Responsabilité des administrateurs, sanctions et notification en 24 heures
Pour Mexedia, l'évolution principale du nouveau cadre relève de la gouvernance. Le décret charge les organes d'administration d'approuver les modalités de mise en œuvre des mesures de sécurité, d'en superviser l'application et de répondre des violations. Les administrateurs sont eux-mêmes soumis à une obligation de formation spécifique.
Pour les entités essentielles, les sanctions pécuniaires peuvent atteindre 10 millions d'euros ou, si ce montant est supérieur, 2 % du chiffre d'affaires annuel mondial. En cas de non-respect des mises en demeure de l'autorité, le décret prévoit aussi l'incapacité d'exercer des fonctions de direction pour les personnes physiques responsables, jusqu'au rétablissement de la conformité.
Les incidents significatifs doivent faire l'objet d'une pré-notification dans les 24 heures suivant leur découverte, d'une notification sous 72 heures, puis d'un rapport final dans le mois qui suit la notification. L'ACN demande en outre aux entités NIS d'identifier et de déclarer leurs fournisseurs significatifs. Mexedia, qui opère dans les télécommunications et les services numériques et contrôle Stantup Service S.r.l., estime que, pour un groupe détenant des participations dans ce secteur, la capacité à garantir la continuité et la fiabilité des services devient « un élément de la valeur, en plus d'une obligation ».
Le groupe inscrit NIS2 dans un ensemble européen plus large. Celui-ci comprend les obligations de transparence de l'AI Act et l'échéance de fin 2027 fixée par eIDAS 2 pour la mise à disposition des portefeuilles européens d'identité numérique. « Les règles européennes de ces derniers mois demandent aux entreprises de démontrer, et pas seulement de déclarer », a déclaré Anna Lisa Trulli, Benefit Unit Officer de Mexedia (propos traduits de l'italien).
