Stato della NIS 2 in Estonia
Cosa richiede la direttiva, come l'Estonia la recepisce attraverso il Cybersecurity Act e dove si colloca RIA nel quadro.
Panoramica
La direttiva NIS 2 è il livello UE. Vincola ogni Stato membro, Estonia compresa, con un'unica soglia minima di cybersicurezza per i soggetti essenziali e importanti. L'Estonia deve trasferire quella soglia nel diritto estone e gestire un regime di vigilanza sottostante.
L'Estonia ha recepito la NIS 2 attraverso modifiche all'esistente Küberturvalisuse seadus (Cybersecurity Act) anziché con una legge del tutto nuova. Le modifiche sono state approvate dal Riigikogu nel dicembre 2025 e sono entrate in vigore il 1° gennaio 2026. Il termine di recepimento UE del 17 ottobre 2024 è stato mancato, motivo per cui la Commissione europea ha inviato all'Estonia un parere motivato nel maggio 2025.
L'Information System Authority (Riigi Infosüsteemi Amet, RIA) è l'autorità nazionale competente e il punto di contatto unico. CERT-EE, il CSIRT nazionale estone, opera all'interno di RIA. L'autoregistrazione avviene tramite RIA, con notizie che indicano una finestra iniziale di autoregistrazione che si protrae fino alla primavera del 2026.
Direttiva UE
Direttiva (UE) 2022/2555 (NIS 2)
La direttiva UE sulla cybersicurezza. Fissa gli obblighi che ogni Stato membro deve recepire, compresi i test dimensionale e settoriale per i soggetti essenziali e importanti.
Attuazione UE
Regolamento di esecuzione (UE) 2024/2690 della Commissione
Misure tecniche e metodologiche per i fornitori di infrastrutture digitali. Direttamente applicabile in Estonia senza recepimento nazionale.
Recepimento estone
Küberturvalisuse seadus, modifiche NIS 2 in vigore dal 1° gennaio 2026
Il recepimento estone della NIS 2 è un pacchetto di modifiche all'esistente Cybersecurity Act, integrato da regolamenti di attuazione e orientamenti di RIA. Le modifiche estendono il perimetro regolamentato da circa 3.500 a un gruppo di soggetti sostanzialmente più ampio nei settori energia, trasporti, salute, infrastruttura digitale e pubblica amministrazione.
Küberturvalisuse seadus, modificato per la NIS 2
L'Estonia non ha redatto una nuova legge sulla cybersicurezza. L'esistente Cybersecurity Act è stato modificato per portare gli obblighi della NIS 2: le categorie di soggetti essenziali e importanti, i poteri di vigilanza di RIA, gli obblighi di segnalazione degli incidenti e le sanzioni. Il dettaglio operativo è completato da regolamenti di attuazione e orientamenti di RIA.
RIA come autorità competente, CERT-EE come CSIRT
RIA (Riigi Infosüsteemi Amet, l'Information System Authority) è l'autorità nazionale competente e il punto di contatto unico ai sensi della NIS 2. CERT-EE, il CSIRT nazionale, si colloca all'interno di RIA e gestisce la gestione e il coordinamento degli incidenti. I regolatori settoriali mantengono i loro ruoli esistenti dove si applica la lex specialis.
Registrazione e segnalazione
Le modifiche al Cybersecurity Act sono entrate in vigore il 1° gennaio 2026. Le notizie indicano una finestra iniziale di autoregistrazione di circa tre mesi da tale data per i soggetti che rientrano nell'ambito ampliato; le aziende dovrebbero confermare la finestra precisa rispetto agli orientamenti correnti di RIA. Gli incidenti significativi seguono la cadenza della direttiva: preallarme entro 24 ore, notifica entro 72 ore e relazione finale entro un mese.
Il diritto locale si applica all'interno dell'Estonia
Le operazioni sul territorio estone seguono il recepimento estone. Un Geschäftsführer tedesco che gestisce una controllata estone legge il Küberturvalisuse seadus per quella controllata, non il BSIG tedesco. Gli obblighi della direttiva sono gli stessi; la procedura, il portale e le sanzioni risiedono nel diritto estone e sono soggetti alla vigilanza di RIA.
L'Estonia non può scendere al di sotto della soglia minima UE
La direttiva è uno strumento di armonizzazione minima. L'Estonia può essere più rigorosa, e storicamente lo è stata in settori selezionati data la sua impostazione di governo digitale. Non può scendere al di sotto della direttiva sugli obblighi dei soggetti essenziali e importanti, sui termini di segnalazione degli incidenti o sulla responsabilità dell'organo di gestione.
RIA
Riigi Infosüsteemi Amet, l'Information System Authority. Autorità nazionale competente, punto di contatto unico e regolatore della cybersicurezza ai sensi della NIS 2. Gestisce il centro nazionale di cybersicurezza, emana orientamenti, esercita la vigilanza e coordina la risposta agli incidenti tramite CERT-EE.
CERT-EE
Il CSIRT nazionale estone, organizzativamente parte di RIA. Riceve le notifiche di incidente, coordina la risposta tra settore pubblico e operatori di infrastrutture critiche, e si connette alla rete di CSIRT dell'UE.
ENISA
L'agenzia UE per la cybersicurezza. Pubblica orientamenti, gestisce la banca dati europea delle vulnerabilità e sostiene il coordinamento transfrontaliero. Non è un vigilante per i soggetti estoni; lo è RIA.
L'Estonia è nell'UE, quindi il NIS2UmsuCG tedesco si applica anche qui.
Ogni Stato membro recepisce la direttiva nel proprio diritto. Una controllata estone segue il Küberturvalisuse seadus, sotto la vigilanza di RIA, anche se la capogruppo si trova in Germania. La segnalazione passa tramite CERT-EE, non tramite il BSI tedesco. Gli obblighi sostanziali sono allineati a livello di direttiva, ma la procedura e il vigilante sono estoni.
Non c'è un registro pubblico NIS 2 in Estonia, quindi possiamo aspettare.
Le modifiche al Cybersecurity Act impongono ai soggetti nell'ambito di applicazione di autoregistrarsi presso RIA dopo l'entrata in vigore del 1° gennaio 2026. Che un registro pubblico sia o meno visibile agli esterni è una questione distinta; l'obbligo di registrazione si applica una volta che un soggetto soddisfa il test dimensionale e settoriale. Attendere fino a quando l'applicazione delle sanzioni diventa visibile è l'errore più comune.
Non siamo in un settore critico, quindi la NIS 2 non si applica.
Il perimetro della NIS 2 è più ampio del vecchio elenco OES della NIS 1. Settori come la gestione dei rifiuti, i servizi postali e di corriere, la fabbricazione di determinati prodotti, la produzione alimentare e i fornitori digitali rientrano ora nell'ambito di applicazione ai sensi dell'Allegato II se è soddisfatto il test dimensionale. Le pubbliche amministrazioni e alcuni fornitori digitali rientrano a prescindere dalla dimensione. Il controllo va effettuato rispetto all'allegato settoriale della direttiva, non rispetto alla percezione del soggetto di essere critico.
L'Estonia è entrata nella NIS 2 da una base di governo digitale elevata. RIA gestiva già il centro nazionale di cybersicurezza, CERT-EE era già operativo e il Cybersecurity Act esisteva già. Il passo della NIS 2 non è stata una nuova architettura, è stato un ambito più ampio e una governance più stretta: più settori inclusi, responsabilità dell'organo di gestione formalizzata e termini di segnalazione degli incidenti allineati alla direttiva.
La mossa pratica è la stessa che ovunque nell'UE: confermare l'ambito ai sensi della direttiva, autoregistrarsi presso RIA, predisporre i quattro obblighi continuativi (mantenimento della registrazione, segnalazione degli incidenti, rischio della catena di approvvigionamento, vigilanza dell'organo di gestione) e documentare il minimo. La base estone aiuta con la maturità tecnica, ma non sostituisce il registro degli obblighi NIS 2.
Costruiamo il registro degli obblighi NIS 2 sul livello UE, non su un singolo recepimento nazionale. La stessa checklist funziona per un soggetto estone ai sensi del Küberturvalisuse seadus, una capogruppo tedesca ai sensi del BSIG e una consociata francese ai sensi dell'Ordonnance n° 2024-1093. I riferimenti agli articoli cambiano per locale; gli obblighi sostanziali no.
Per l'ambito estone si parte dal controllo di applicabilità, poi si passa all'autoregistrazione presso RIA, alla cadenza di segnalazione degli incidenti verso CERT-EE, alle clausole sulla catena di approvvigionamento e all'approvazione dell'organo di gestione. Dove RIA pubblica orientamenti settoriali, li citiamo; non li duplichiamo.
- Direttiva (UE) 2022/2555 (NIS 2): EUR-Lex
- Regolamento di esecuzione (UE) 2024/2690 della Commissione
- Küberturvalisuse seadus (Cybersecurity Act): Riigi Teataja
- Commissione europea, tracker di recepimento della direttiva NIS 2: Estonia (digital-strategy.ec.europa.eu)
- RIA: Riigi Infosüsteemi Amet, sito ufficiale (ria.ee)
- CERT-EE: CSIRT nazionale estone, all'interno di RIA
- Comunicati stampa del Riigikogu sul disegno di legge di recepimento della NIS 2