Stav NIS 2 v Itálii
Co směrnice vyžaduje, jak ji Itálie transponuje a kde v tom obraze sedí ACN a CSIRT Italia.
Přehled
Směrnice NIS 2 je vrstvou EU. Zavazuje každý členský stát, včetně Itálie, jedinou minimální úrovní kybernetické bezpečnosti pro klíčové a důležité subjekty. Itálie musí tuto úroveň vložit do italského práva a pod ní provozovat dozorový režim.
Itálie transponuje NIS 2 prostřednictvím legislativního dekretu ze dne 4. září 2024, č. 138. Dekret byl zveřejněn v Gazzetta Ufficiale dne 1. října 2024 a nabyl účinnosti 16. října 2024, ke dni lhůty pro transpozici EU.
ACN (Agenzia per la Cybersicurezza Nazionale) je jediným příslušným orgánem NIS, jednotným kontaktním místem pro kooperační skupinu EU a domovem národního CSIRT (CSIRT Italia). Devět ministerstev působí jako odvětvové orgány pod koordinací ACN. Pro finanční sektor platí DORA jako lex specialis.
Směrnice EU
La presente direttiva stabilisce misure volte a garantire un livello comune elevato di cibersicurezza nell'Unione in modo da migliorare il funzionamento del mercato interno.
Směrnice (EU) 2022/2555 (NIS 2), článek 1. Stanoví povinnosti, které musí každý členský stát transponovat, včetně testu velikosti a odvětví pro klíčové a důležité subjekty.
Implementace EU
Prováděcí nařízení Komise (EU) 2024/2690
Technická a metodická opatření pro poskytovatele digitální infrastruktury. Přímo použitelné v Itálii bez národní transpozice.
Italská transpozice
Decreto Legislativo 4 settembre 2024, n. 138
Italská transpozice NIS 2. Zveřejněna v Gazzetta Ufficiale dne 1. října 2024, účinná od 16. října 2024. Dekret potvrzuje ACN jako příslušný orgán, rozšiřuje funkce CSIRT Italia, uvádí deset oblastí bezpečnostních opatření a podrobně rozvádí proces oznamování incidentů a odpovědnost řídicího orgánu.
Legislativní dekret 138/2024
Vnáší povinnosti NIS 2 do italského práva. Definuje klíčové (soggetti essenziali) a důležité (soggetti importanti) subjekty, dozorové pravomoci ACN, povinnosti hlášení incidentů a správní sankce. Provozní detail sedí v rozhodnutích ACN a v odvětvových přílohách.
ACN a CSIRT Italia
ACN je jediným příslušným orgánem NIS a jednotným kontaktním místem. CSIRT Italia působí uvnitř ACN a přijímá oznámení o významných incidentech. Odvětvová ministerstva (vnitro, energetika, doprava, zdravotnictví, spravedlnost, kultura, výzkum, digitální transformace, životní prostředí) působí jako odvětvové orgány pod implementační radou, které předsedá ACN.
Registrace a hlášení
Registrační platforma ACN se otevřela 1. prosince 2024. Subjekty v působnosti se musely zaregistrovat nebo aktualizovat své údaje do 28. února 2025. Významné incidenty se řídí rytmem směrnice: včasné varování do 24 hodin, oznámení incidentu do 72 hodin, závěrečná zpráva do jednoho měsíce, zaslané přes CSIRT Italia.
Uvnitř Itálie platí místní právo
Činnost na italském území se řídí italskou transpozicí. Německý Geschäftsführer řídící italskou dceřinou společnost čte pro tu dceřinou společnost legislativní dekret 138/2024, nikoli německý BSIG. Povinnosti směrnice jsou stejné. Postup, registrační platforma a sankce žijí v italském právu a běží přes ACN.
Itálie nemůže jít pod minimální úroveň EU
Směrnice je nástrojem minimální harmonizace. Itálie může být přísnější a u působnosti tak učinila přidáním veřejné správy, poskytovatelů místní veřejné dopravy, výzkumných subjektů a subjektů kulturního zájmu nad základní úroveň směrnice. Itálie nemůže klesnout pod směrnici u povinností klíčových a důležitých subjektů, lhůt pro hlášení incidentů ani odpovědnosti řídicího orgánu.
ACN
Jediný příslušný orgán NIS a jednotné kontaktní místo. Provádí audity, vyžaduje dokumentaci, ukládá správní sankce a vydává závazná regulatorní opatření. Předsedá implementační radě NIS, která koordinuje devět odvětvových ministerstev.
CSIRT Italia
Národní CSIRT, hostovaný ACN. Přijímá oznámení o významných incidentech od subjektů v působnosti, poskytuje technickou metodiku a podporu při zvládání incidentů a přeshraničně koordinuje s partnerskými CSIRT prostřednictvím sítě CSIRT EU.
ENISA
Agentura EU pro kybernetickou bezpečnost. Vydává metodiky, spravuje evropskou databázi zranitelností a podporuje přeshraniční koordinaci. Není dozorem pro italské subjekty; tím je ACN.
NIS 2 děláme tak, jak to dělá naše německá mateřská společnost.
Povinnosti směrnice jsou stejné, ale postup nikoli. Italská dceřiná společnost se registruje na platformě ACN, podává oznámení o incidentech CSIRT Italia a odpovídá se dozoru ACN. Odkazy na BSIG, německý portál BSI nebo německé odvětvové orgány se nepřenášejí. Vnitřní práci na shodě lze sdílet napříč skupinou; národní podání nikoli.
Italská registrační povinnost zatím neexistuje.
Registrační platforma ACN se otevřela 1. prosince 2024 a první registrační okno se uzavřelo 28. února 2025. Aktualizace registračních údajů se řídí dvoutýdenním pravidlem směrnice. Subjekt v působnosti, který se nikdy nezaregistroval, není osvobozen; je v rozporu a ACN má jak pravomoc správní sankce, tak pravomoc závazného opatření.
Má na starosti náš odvětvový regulátor, ne ACN.
Itálie zvolila model jediného příslušného orgánu. ACN dozoruje napříč všemi odvětvími NIS 2 a je jednotným kontaktním místem pro kooperační skupinu EU. Odvětvová ministerstva působí jako odvětvové orgány a přispívají odbornou znalostí domény pod implementační radou, které předsedá ACN, ale závazná dozorová a sankční pravomoc podle NIS 2 spočívá na ACN. Pro finance platí DORA jako lex specialis a tento kanál vede finanční odvětvový regulátor.
Většina italských malých a středních provozovatelů, které vidíme, stále čte NIS 2 optikou starého perimetru NIS 1 podle D.Lgs. 65/2018, ve kterém spadala do působnosti jen hrstka jmenovaných provozovatelů. Nový dekret rozšiřuje perimetr o řád, přivádí veřejnou správu, místní veřejnou dopravu a výzkumné subjekty a přesouvá odpovědnost na řídicí orgán. Amministratore delegato nebo legale rappresentante je osobně na háku za schválení řízení rizik a za školení.
Praktický krok je stejný jako všude jinde v EU. Potvrďte působnost podle směrnice a dekretu, zaregistrujte se na platformě ACN, nastavte čtyři průběžné povinnosti (udržování registrace, hlášení incidentů přes CSIRT Italia, riziko dodavatelského řetězce, dozor řídicím orgánem) a zdokumentujte minimum. Odvětvové přílohy ACN zpřesňují detail; nenahrazují registr povinností.
Registr povinností NIS 2 budujeme na vrstvě EU, ne na žádné jediné národní transpozici. Tentýž kontrolní seznam funguje pro italskou dceřinou společnost používající legislativní dekret 138/2024, německou mateřskou společnost používající BSIG, francouzskou sesterskou používající Ordonnance n° 2024-1093 i nizozemskou používající Cyberbeveiligingswet. Odkazy na články se přepínají podle lokality; věcné povinnosti nikoli.
U italské působnosti začnete kontrolou působnosti, poté přejdete k rytmu hlášení incidentů přes CSIRT Italia, doložkám dodavatelského řetězce a schválení řídicím orgánem. Tam, kde ACN vydává rozhodnutí nebo odvětvové přílohy, na ně odkazujeme; neduplikujeme je.
- Směrnice (EU) 2022/2555 (NIS 2), EUR-Lex
- Prováděcí nařízení Komise (EU) 2024/2690
- Decreto Legislativo 4 settembre 2024, n. 138, Gazzetta Ufficiale 1 ottobre 2024
- ACN, Agenzia per la Cybersicurezza Nazionale, oficiální stránka (acn.gov.it)
- CSIRT Italia, národní tým pro reakci na bezpečnostní incidenty počítačů (csirt.gov.it)
- Evropská komise, sledování transpozice směrnice NIS 2, Itálie
- Banca d'Italia, příslušný orgán pro DORA ve finančním sektoru