Stato di NIS 2 in Croazia
Cosa richiede la direttiva, come la Croazia la traspone e dove si collocano SOA, NCSC-HR e CERT.hr nel quadro.
Panoramica
La direttiva NIS 2 è lo strato dell'UE. Vincola ogni Stato membro, Croazia inclusa, a un unico livello minimo per i soggetti essenziali e importanti. La Croazia deve portare quel livello nel diritto croato e gestire la vigilanza al di sotto di esso.
La Croazia traspone NIS 2 attraverso la legge sulla cibersicurezza (Zakon o kibernetičkoj sigurnosti, NN 14/2024), adottata dal Parlamento croato nel gennaio 2024 e in vigore dal 15 febbraio 2024. Il regolamento attuativo dettagliato (Uredba o kibernetičkoj sigurnosti, NN 135/2024) è seguito nel novembre 2024. La Croazia è stata uno dei pochi Stati membri che ha rispettato la scadenza di trasposizione del 17 ottobre 2024 con ampio anticipo.
La vigilanza è ripartita. L'Agenzia di sicurezza e intelligence (SOA, Sigurnosno-obavještajna agencija) ospita il National Cyber Security Center (NCSC-HR) ed è l'autorità competente centrale per la maggior parte dei settori. L'Ufficio del Consiglio nazionale di sicurezza (UVNS) agisce come punto di contatto unico verso l'UE. CERT.hr, operato all'interno di CARNet, è il CSIRT nazionale operativo e gestisce la piattaforma di notifica degli incidenti PiXi.
Direttiva UE
Direttiva (UE) 2022/2555 (NIS 2)
La direttiva sulla cibersicurezza a livello UE. Fissa gli obblighi che ogni Stato membro deve trasporre, inclusi i criteri di dimensione e settore per i soggetti essenziali e importanti.
Atto di esecuzione UE
Regolamento di esecuzione (UE) 2024/2690
Misure tecniche e metodologiche per i fornitori di infrastrutture digitali. Direttamente applicabile in Croazia, senza trasposizione nazionale.
Trasposizione croata
Zakon o kibernetičkoj sigurnosti, NN 14/2024 (in vigore dal 15 febbraio 2024)
La trasposizione croata di NIS 2. Il regolamento attuativo Uredba o kibernetičkoj sigurnosti (NN 135/2024) aggiunge il dettaglio operativo, incluse le modalità di vigilanza e i doveri di autovalutazione per i soggetti.
Legge sulla cibersicurezza NN 14/2024
Trasferisce gli obblighi di NIS 2 nel diritto croato. Definisce i soggetti essenziali e importanti, i poteri di vigilanza, i doveri di notifica degli incidenti e le sanzioni. Il regolamento di accompagnamento NN 135/2024 specifica le misure di cibersicurezza e la vigilanza con un dettaglio operativo maggiore rispetto alla direttiva stessa.
SOA, NCSC-HR e UVNS
L'Agenzia di sicurezza e intelligence (SOA) ospita il National Cyber Security Center (NCSC-HR), che agisce come autorità competente centrale per la maggior parte dei settori. L'Ufficio del Consiglio nazionale di sicurezza (UVNS) è il punto di contatto unico con l'UE. I regolatori settoriali mantengono i loro ruoli dove si applica la lex specialis, per esempio nel settore finanziario ai sensi di DORA.
Registrazione e notifica
La Croazia ha rispettato la scadenza di trasposizione del 17 ottobre 2024 con ampio anticipo. I soggetti essenziali e importanti si autoidentificano e si registrano attraverso i canali previsti da NN 14/2024 e NN 135/2024. Gli incidenti significativi seguono le tempistiche della direttiva: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese. La notifica passa attraverso la piattaforma PiXi gestita da CARNet, a cui si accede tramite e-Ovlaštenja.
L'attività croata segue il diritto croato
L'attività sul territorio croato segue la trasposizione croata. Un amministratore delegato tedesco con una controllata croata legge NN 14/2024 per quella controllata, non il BSIG. Gli obblighi della direttiva sono identici. Procedura, portale e sanzioni risiedono nel diritto croato.
La Croazia non deve scendere sotto il livello dell'UE
La direttiva è un'armonizzazione minima. La Croazia può andare più rigida, e su punti come il regime di autovalutazione probabilmente lo ha fatto. La Croazia non può scendere sotto la direttiva, né sugli obblighi per i soggetti essenziali e importanti, né sui termini di notifica, né sulla responsabilità dell'organo di gestione.
SOA / NCSC-HR
L'Agenzia di sicurezza e intelligence (SOA) ospita il National Cyber Security Center (NCSC-HR), l'autorità competente centrale per la vigilanza sulla cibersicurezza ai sensi di NN 14/2024. NCSC-HR coordina l'azione di vigilanza e pubblica linee guida. UVNS si colloca a fianco come punto di contatto unico con l'UE.
CERT.hr (CARNet)
Il CSIRT nazionale, operato all'interno di CARNet (Croatian Academic and Research Network). Gestisce la piattaforma di notifica PiXi che i soggetti essenziali e importanti usano per la notifica obbligatoria degli incidenti. Tratta direttamente i settori bancario, delle infrastrutture dei mercati finanziari, delle infrastrutture digitali, della ricerca e dell'istruzione. Gli altri settori passano attraverso le rispettive autorità di vigilanza.
ENISA
L'agenzia dell'UE per la cibersicurezza. Pubblica linee guida, opera la banca dati europea delle vulnerabilità e coordina a livello transfrontaliero. Non è un regolatore per i soggetti croati. Quel ruolo spetta a SOA / NCSC-HR.
La Croazia è solo una copia tradotta del BSIG tedesco.
Entrambi traspongono la stessa direttiva, ma la procedura differisce. La Croazia instrada la vigilanza attraverso SOA / NCSC-HR, non un'agenzia civile paragonabile al BSI. La notifica passa attraverso la piattaforma PiXi ed e-Ovlaštenja, non il portale del BSI. La legge croata formalizza inoltre un regime di autovalutazione che la bozza tedesca non rispecchia. Il livello direttiva è identico, lo strato operativo no.
La Croazia ha mancato la scadenza e non ha un canale di registrazione funzionante.
La Croazia ha adottato NN 14/2024 nel gennaio 2024 e l'ha portata in vigore il 15 febbraio 2024, ben prima della scadenza dell'UE del 17 ottobre 2024. Il regolamento attuativo NN 135/2024 è seguito nel novembre 2024. I soggetti essenziali e importanti si autoidentificano e si registrano ai sensi della legge, e notificano attraverso la piattaforma PiXi tramite e-Ovlaštenja. Un gruppo straniero che si blocca su un processo croato mancante sta leggendo informazioni vecchie.
Solo i settori dell'Allegato I rientrano nell'ambito.
Il criterio di dimensione e settore della direttiva si applica, ma la legge e il regolamento raggiungono anche i soggetti importanti nei settori dell'Allegato II e determinati soggetti indipendentemente dalla dimensione, come la pubblica amministrazione e specifici fornitori digitali. L'applicabilità va verificata soggetto per soggetto, rispetto al testo croato e alla direttiva, non rispetto a un singolo elenco settoriale.
La maggior parte degli operatori croati che incontriamo legge ancora NIS 2 come una continuazione del precedente quadro sulle infrastrutture critiche. È vero solo in parte. La vigilanza ora passa attraverso SOA / NCSC-HR con UVNS come contatto UE, l'ambito è più ampio del vecchio regime, e l'organo di gestione porta una responsabilità personale per l'approvazione della gestione del rischio e il completamento della propria formazione.
Il passo pratico è lo stesso di ovunque nell'UE: verificare l'applicabilità rispetto alla direttiva, registrarsi attraverso i canali previsti da NN 14/2024 e NN 135/2024, impostare i quattro obblighi continui (mantenere aggiornati i dati di registrazione, notifica degli incidenti, rischio della catena di fornitura, vigilanza da parte dell'organo di gestione) e documentare il minimo. La piattaforma PiXi ed e-Ovlaštenja sono l'interfaccia operativa, non l'obbligo stesso.
Costruiamo il registro degli obblighi NIS 2 sullo strato dell'UE, non su una singola trasposizione nazionale. La stessa checklist si adatta a una controllata croata ai sensi di NN 14/2024, una capogruppo tedesca ai sensi del BSIG e una consociata francese ai sensi dell'Ordonnance n° 2024-1093. I riferimenti agli articoli cambiano per paese, gli obblighi sottostanti no.
Per l'ambito croato si parte dalla verifica di applicabilità, poi la cadenza di notifica degli incidenti, le clausole della catena di fornitura e l'approvazione dell'organo di gestione. Dove SOA / NCSC-HR o CERT.hr pubblicano linee guida settoriali, le colleghiamo. Non le copiamo.
- Direttiva (UE) 2022/2555 (NIS 2): EUR-Lex
- Regolamento di esecuzione (UE) 2024/2690
- Zakon o kibernetičkoj sigurnosti, NN 14/2024: Narodne novine
- Uredba o kibernetičkoj sigurnosti, NN 135/2024: Narodne novine
- SOA: Sigurnosno-obavještajna agencija, sito ufficiale
- NCSC-HR: National Cyber Security Center, ospitato da SOA
- UVNS: Ufficio del Consiglio nazionale di sicurezza, punto di contatto unico con l'UE
- CERT.hr: operato all'interno di CARNet, CSIRT nazionale
- PiXi: piattaforma croata di notifica degli incidenti NIS 2 (CARNet)