Stato della NIS 2 in Francia
Cosa richiede la direttiva, come la Francia la recepisce e dove si colloca l'ANSSI all'interno del quadro.
Panoramica
La direttiva NIS 2 è il livello UE. Vincola ogni Stato membro, Francia inclusa, con un'unica base di cybersicurezza per le entità essenziali e importanti. La Francia deve trasporre questa base nel diritto francese e gestire un regime di vigilanza al di sotto di essa.
La Francia recepisce la NIS 2 mediante l'Ordonnance n° 2024-1093 del 2 dicembre 2024 e i decreti di attuazione che la seguono. Il testo si sovrappone all'esistente regime OIV (Opérateurs d'Importance Vitale) e al regime OSE della NIS 1 (Opérateurs de Services Essentiels) anziché sostituirli del tutto.
L'ANSSI (Agence nationale de la sécurité des systèmes d'information) è l'autorità di vigilanza e il CSIRT nazionale. La registrazione avviene tramite il portale MonEspaceNIS2. I regolatori settoriali restano coinvolti per i settori che ne avevano già uno, in particolare il settore finanziario, dove DORA opera come lex specialis.
Direttiva UE
Direttiva (UE) 2022/2555 (NIS 2)
La direttiva sulla cybersicurezza valida in tutta l'UE. Stabilisce gli obblighi che ogni Stato membro deve recepire, inclusi i test dimensionali e settoriali per le entità essenziali e importanti.
Attuazione UE
Regolamento di esecuzione (UE) 2024/2690 della Commissione
Misure tecniche e metodologiche per i fornitori di infrastrutture digitali. Direttamente applicabile in Francia senza recepimento nazionale.
Recepimento francese
Ordonnance n° 2024-1093 del 2 dicembre 2024
Il recepimento francese della NIS 2. I decreti di attuazione e gli orientamenti dell'ANSSI completano il dettaglio operativo. Il testo modifica il Code de la défense (articoli L.1332-x per gli OIV) e lo estende al più ampio perimetro della NIS 2.
Ordonnance n° 2024-1093
Trasporta gli obblighi della NIS 2 nel diritto francese. Definisce la categoria EEI (Entités essentielles importantes), i poteri di vigilanza dell'ANSSI, gli obblighi di notifica degli incidenti e le sanzioni. La maggior parte del dettaglio operativo è delegata ai décrets d'application.
L'ANSSI come autorità di vigilanza e CSIRT
L'ANSSI gestisce la vigilanza, gli audit e le proposte di sanzione. Gestisce inoltre il CSIRT nazionale e il portale MonEspaceNIS2. I regolatori settoriali come l'ACPR per il settore finanziario conservano la propria competenza ove si applichi la lex specialis.
Registrazione e notifica
La direttiva richiedeva che le entità fossero identificabili dagli Stati membri a partire dal 17 aprile 2025. In Francia ciò avviene tramite MonEspaceNIS2. Gli incidenti significativi seguono la cadenza della direttiva di preallarme entro 24 ore, notifica entro 72 ore e relazione finale entro un mese.
All'interno della Francia si applica il diritto locale
Le operazioni sul territorio francese seguono il recepimento francese. Un Geschäftsführer tedesco che gestisce una controllata francese legge l'Ordonnance n° 2024-1093 per quella controllata, non il BSIG tedesco. Gli obblighi della direttiva sono gli stessi; la procedura, il portale e le sanzioni risiedono nel diritto francese.
La Francia non può scendere sotto la base dell'UE
La direttiva è uno strumento di armonizzazione minima. La Francia può essere più severa, e storicamente lo è stata tramite il regime OIV. Non può scendere al di sotto della direttiva sugli obblighi delle entità essenziali e importanti, sui termini di notifica degli incidenti o sulla responsabilità dell'organo di gestione.
ANSSI
Autorità competente principale, autorità di vigilanza e CSIRT nazionale. Gestisce MonEspaceNIS2, emana orientamenti, conduce audit e propone sanzioni al Premier ministre. Detiene la dottrina storica OIV che ora alimenta la vigilanza NIS 2.
CNIL
L'autorità francese di protezione dei dati. Non è il regolatore della NIS 2. Resta competente per la notifica delle violazioni di dati personali ai sensi del GDPR. Un incidente NIS 2 che tocca dati personali è spesso una doppia notifica: ANSSI e CNIL.
ENISA
L'agenzia dell'UE per la cybersicurezza. Pubblica orientamenti, gestisce la banca dati europea delle vulnerabilità e supporta il coordinamento transfrontaliero. Non è un'autorità di vigilanza per le entità francesi; lo è l'ANSSI.
Siamo già OIV, quindi la NIS 2 è gestita.
Le classificazioni OIV e OSE ai sensi dell'esistente Code de la défense e del quadro della NIS 1 non si trasferiscono automaticamente come EEI ai sensi della NIS 2. Il perimetro è diverso, le soglie settoriali sono diverse e le entità devono verificare il proprio stato rispetto ai nuovi criteri. Molti OIV sono anche entità essenziali NIS 2, ma l'insieme degli obblighi e il canale di notifica cambiano.
La NIS 2 in Francia si applica solo ai grandi operatori.
Il test dimensionale si limita per impostazione predefinita alle imprese medie e grandi, ma la direttiva cattura le piccole entità quando sono l'unico fornitore, quando l'interruzione ha un impatto transfrontaliero o quando il diritto francese le aggiunge. Le pubbliche amministrazioni e alcuni fornitori digitali rientrano a prescindere dalla dimensione. La verifica di applicabilità va fatta caso per caso, non in base alla sola dimensione aziendale.
MonEspaceNIS2 e l'ANSSI accettano solo il francese.
Il portale e gli orientamenti ufficiali sono in primo luogo in francese, ma l'ANSSI accetta la rendicontazione tecnica e la documentazione di supporto in inglese in casi definiti, in linea con la cooperazione dell'UE. Le società madri straniere non dovrebbero presumere di aver bisogno di una traduzione francese completa di ogni politica interna per registrarsi o per presentare una notifica di incidente.
La maggior parte degli operatori francesi equivalenti al Mittelstand che incontriamo tratta ancora la NIS 2 come un'estensione del vecchio regime OIV / OSE. È solo in parte corretto. La vigilanza e il canale degli incidenti risiedono all'interno dell'ANSSI come prima, ma l'ambito è più ampio e la sottoscrizione dell'organo di gestione è più gravosa. L'equivalente del Geschäftsführer (président, directeur général, gérant) è personalmente responsabile dell'approvazione della gestione del rischio e della formazione.
La mossa pratica è la stessa di ogni altra parte dell'UE: confermare l'ambito ai sensi della direttiva, registrarsi tramite il portale nazionale (qui MonEspaceNIS2), istituire i quattro obblighi continuativi (mantenimento della registrazione, notifica degli incidenti, rischio della catena di approvvigionamento, vigilanza dell'organo di gestione) e documentare il minimo. L'apparato OIV aiuta, ma non sostituisce il registro degli obblighi NIS 2.
Costruiamo il registro degli obblighi NIS 2 sul livello UE, non su un singolo recepimento nazionale. La stessa lista di controllo funziona per una controllata francese che usa l'Ordonnance n° 2024-1093, una società madre tedesca che usa il BSIG e una consociata olandese che usa la Cyberbeveiligingswet. I riferimenti agli articoli cambiano per locale; gli obblighi sostanziali no.
Per l'ambito francese si parte dalla verifica di applicabilità, poi si passa alla cadenza di notifica degli incidenti, alle clausole della catena di approvvigionamento e alla sottoscrizione dell'organo di gestione. Dove l'ANSSI pubblica orientamenti settoriali, vi facciamo riferimento; non li duplichiamo.
- Direttiva (UE) 2022/2555 (NIS 2): EUR-Lex
- Regolamento di esecuzione (UE) 2024/2690 della Commissione
- Ordonnance n° 2024-1093 du 2 décembre 2024: Légifrance
- Code de la défense, Articles L.1332-1 et suivants (OIV): Légifrance
- ANSSI: Agence nationale de la sécurité des systèmes d'information, sito ufficiale
- MonEspaceNIS2: portale francese di registrazione NIS 2 (ANSSI)
- ACPR / Banque de France: autorità competente per DORA nel settore finanziario