Stato della NIS 2 in Belgio
Cosa richiede la direttiva, come il Belgio la recepisce e dove si colloca il CCB nel quadro.
Panoramica
La direttiva NIS 2 è il livello UE. Vincola ogni Stato membro, Belgio compreso, con un'unica soglia minima di cybersicurezza per i soggetti essenziali e importanti. Il Belgio deve trasferire quella soglia nel diritto belga e gestire un regime di vigilanza sottostante.
Il Belgio recepisce la NIS 2 attraverso la legge del 26 aprile 2024 che istituisce un quadro per la cybersicurezza delle reti e dei sistemi informativi di interesse generale per la sicurezza pubblica. La legge è stata pubblicata nel Moniteur belge / Belgisch Staatsblad il 17 maggio 2024 ed è entrata in vigore il 18 ottobre 2024, insieme a un decreto reale che completa il dettaglio operativo. Il Belgio è uno dei pochi Stati membri che ha rispettato il termine del 17 ottobre 2024 della direttiva.
Il Centre for Cybersecurity Belgium (CCB) è l'autorità competente principale. CERT.be opera come servizio all'interno del CCB. La registrazione avviene tramite il portale Safeonweb@work. I regolatori settoriali restano coinvolti dove già esistono: la Banca nazionale del Belgio (NBB) e la FSMA per la finanza, dove il DORA agisce come lex specialis; il BIPT per le comunicazioni elettroniche.
Direttiva UE
Direttiva (UE) 2022/2555 (NIS 2)
La direttiva UE sulla cybersicurezza. Fissa gli obblighi che ogni Stato membro deve recepire, compresi i test dimensionale e settoriale per i soggetti essenziali e importanti.
Attuazione UE
Regolamento di esecuzione (UE) 2024/2690 della Commissione
Misure tecniche e metodologiche per i fornitori di infrastrutture digitali. Direttamente applicabile in Belgio senza recepimento nazionale.
Recepimento belga
Legge del 26 aprile 2024 (legge NIS 2)
Il recepimento belga della NIS 2, pubblicato nel Moniteur belge il 17 maggio 2024 e in vigore dal 18 ottobre 2024. Il decreto reale di attuazione del giugno 2024 e gli orientamenti del CCB completano il dettaglio operativo. La legge abroga la legge del 7 aprile 2019 (il recepimento belga della NIS 1).
Legge del 26 aprile 2024
Porta gli obblighi della NIS 2 nel diritto belga. Definisce i soggetti essenziali e importanti, i poteri di vigilanza del CCB, gli obblighi di segnalazione degli incidenti e le sanzioni. La maggior parte del dettaglio operativo risiede nel decreto reale del giugno 2024 e negli orientamenti del CCB.
CCB come vigilante, CERT.be come CSIRT
Il Centre for Cybersecurity Belgium gestisce vigilanza, audit e sanzioni. CERT.be opera all'interno del CCB come CSIRT nazionale per la gestione degli incidenti. Safeonweb@work è il portale rivolto al pubblico per la registrazione e gli orientamenti.
Registrazione e segnalazione
I fornitori del settore digitale dovevano registrarsi su Safeonweb@work entro il 18 dicembre 2024. Tutti gli altri soggetti essenziali e importanti dovevano registrarsi entro il 18 marzo 2025. Gli incidenti significativi seguono la cadenza della direttiva: preallarme entro 24h, notifica entro 72h e relazione finale entro un mese.
Il diritto locale si applica all'interno del Belgio
Le operazioni sul territorio belga seguono il recepimento belga. Un Geschäftsführer tedesco che gestisce una controllata belga legge la legge del 26 aprile 2024 per quella controllata, non il BSIG tedesco. Gli obblighi della direttiva sono gli stessi; la procedura, il portale e le sanzioni risiedono nel diritto belga.
Il Belgio non può scendere al di sotto della soglia minima UE
La direttiva è uno strumento di armonizzazione minima. Il Belgio può essere più rigoroso, e in pratica lo è tramite il framework CyberFundamentals e il decreto reale. Non può scendere al di sotto della direttiva sugli obblighi dei soggetti essenziali e importanti, sui termini di segnalazione degli incidenti o sulla responsabilità dell'organo di gestione.
CCB
Centre for Cybersecurity Belgium, l'autorità nazionale di cybersicurezza che opera sotto l'ufficio del Primo ministro. Autorità competente principale per la NIS 2: vigilanza, audit, sanzioni e il portale di registrazione Safeonweb@work. Pubblica il framework CyberFundamentals, dove un'attuazione convalidata conferisce una presunzione di conformità con le misure di gestione del rischio della NIS 2.
CERT.be
Il Computer Security Incident Response Team nazionale. Opera come servizio all'interno del CCB anziché come agenzia separata. Gestisce le notifiche di incidente, il coordinamento tecnico e la cooperazione operativa con gli altri CSIRT dell'UE.
ENISA
L'agenzia UE per la cybersicurezza. Pubblica orientamenti, gestisce la banca dati europea delle vulnerabilità e sostiene il coordinamento transfrontaliero. Non è un vigilante per i soggetti belgi; lo è il CCB.
Il Belgio è sulla stessa tempistica della Germania.
Il Belgio ha rispettato il termine del 17 ottobre 2024. La legge del 26 aprile 2024 è stata pubblicata nel Moniteur belge il 17 maggio 2024 ed è entrata in vigore il 18 ottobre 2024, con termini di registrazione già trascorsi nel dicembre 2024 e nel marzo 2025. La Germania, al contrario, sta ancora finalizzando il suo NIS2UmsuCG. I soggetti belgi non possono usare il ritardo tedesco come copertura; il loro vigilante è attivo e la registrazione è scaduta se mancata.
Non c'è ancora un portale di registrazione funzionante.
Safeonweb@work è attivo e operativo. I fornitori del settore digitale dovevano registrarsi entro il 18 dicembre 2024; tutti gli altri soggetti essenziali e importanti entro il 18 marzo 2025. La registrazione tardiva è una lacuna di conformità su cui il CCB può intervenire, e i dati di registrazione devono essere mantenuti aggiornati ai sensi dell'articolo 27 della direttiva.
Rientrano nell'ambito di applicazione solo i settori che avevano già un regolatore NIS 1.
La NIS 2 amplia il perimetro ben oltre l'elenco OES della NIS 1. I nuovi settori includono le pubbliche amministrazioni, la fabbricazione, gli alimenti, i servizi postali e di corriere, la gestione dei rifiuti e i prodotti chimici, tra gli altri. Il test dimensionale si limita per impostazione predefinita alle medie e grandi imprese, ma i piccoli soggetti possono essere catturati se sono fornitori unici o se la legge li aggiunge. Il controllo di applicabilità va effettuato caso per caso.
Il Belgio è il raro paese dell'UE in cui la NIS 2 è operativa, non teorica. Il CCB è dotato di personale, il portale di registrazione funziona, il decreto reale è in vigore e il framework CyberFundamentals offre ai soggetti un percorso di attuazione concreto con una presunzione di conformità incorporata. Gli operatori belgi che non si sono ancora registrati non sono in anticipo sui tempi, sono in ritardo.
La mossa pratica è la stessa che ovunque nell'UE: confermare l'ambito ai sensi della direttiva, registrarsi su Safeonweb@work, predisporre i quattro obblighi continuativi (mantenimento della registrazione, segnalazione degli incidenti, rischio della catena di approvvigionamento, vigilanza dell'organo di gestione) e documentare il minimo. Il framework CyFun aiuta con i controlli sostanziali, ma non sostituisce il registro degli obblighi NIS 2.
Costruiamo il registro degli obblighi NIS 2 sul livello UE, non su un singolo recepimento nazionale. La stessa checklist funziona per una controllata belga che usa la legge del 26 aprile 2024, una capogruppo tedesca che usa il BSIG e una consociata olandese che usa la Cyberbeveiligingswet. I riferimenti agli articoli cambiano per locale; gli obblighi sostanziali no.
Per l'ambito belga si parte dal controllo di applicabilità, poi si passa alla registrazione su Safeonweb@work, alla cadenza di segnalazione degli incidenti, alle clausole sulla catena di approvvigionamento e all'approvazione dell'organo di gestione. Dove il CCB pubblica orientamenti CyFun, li citiamo; non li duplichiamo.
- Direttiva (UE) 2022/2555 (NIS 2): EUR-Lex
- Regolamento di esecuzione (UE) 2024/2690 della Commissione
- Legge del 26 aprile 2024 che istituisce un quadro per la cybersicurezza delle reti e dei sistemi informativi di interesse generale per la sicurezza pubblica: Moniteur belge / Belgisch Staatsblad, 17 maggio 2024
- Decreto reale del giugno 2024 di attuazione della legge NIS 2: Moniteur belge / Belgisch Staatsblad
- Centre for Cybersecurity Belgium (CCB): ccb.belgium.be
- Safeonweb@work: atwork.safeonweb.be (portale di registrazione NIS 2)
- CERT.be: CSIRT nazionale, operante all'interno del CCB
- Framework CyberFundamentals (CyFun): CCB