Stato della NIS 2 in Ungheria
Cosa richiede la direttiva, come l'Ungheria la recepisce e dove si collocano SZTFH e NKI nel quadro.
Panoramica
La direttiva NIS 2 è il livello UE. Vincola ogni Stato membro, Ungheria compresa, con un'unica soglia minima di cybersicurezza per i soggetti essenziali e importanti. L'Ungheria deve trasferire quella soglia nel diritto ungherese e gestire un regime di vigilanza sottostante.
L'Ungheria recepisce la NIS 2 principalmente attraverso la Legge XXIII del 2023 sulla certificazione di cybersicurezza e la vigilanza in materia di cybersicurezza (2023. evi XXIII. torveny), insieme a successivi decreti di attuazione. La legge precede di proposito il termine dell'ottobre 2024 della direttiva ed è il quadro che SZTFH usa oggi per esercitare la vigilanza.
SZTFH (Szabalyozott Tevekenysegek Felugyeleti Hatosaga, Autorità di vigilanza delle attività regolamentate) è il vigilante principale per il controllo, la certificazione e gli audit in materia di cybersicurezza. Il CSIRT nazionale è NKI (Nemzeti Kibervedelmi Intezet), che si colloca all'interno del Servizio speciale per la sicurezza nazionale sotto l'Ufficio di Gabinetto del Primo ministro. Il 7 maggio 2025 la Commissione europea ha inviato all'Ungheria un parere motivato per mancata notifica del recepimento completo, perciò sono ancora attese ulteriori misure nazionali.
Direttiva UE
Direttiva (UE) 2022/2555 (NIS 2)
La direttiva UE sulla cybersicurezza. Fissa gli obblighi che ogni Stato membro deve recepire, compresi i test dimensionale e settoriale per i soggetti essenziali e importanti.
Attuazione UE
Regolamento di esecuzione (UE) 2024/2690 della Commissione
Misure tecniche e metodologiche per i fornitori di infrastrutture digitali. Direttamente applicabile in Ungheria senza recepimento nazionale.
Recepimento ungherese
Legge XXIII del 2023 sulla certificazione di cybersicurezza e la vigilanza in materia di cybersicurezza
Il recepimento ungherese della NIS 2. Decreti governativi e orientamenti di SZTFH completano il dettaglio operativo. L'articolo 32, paragrafo 2, della legge indica la direttiva NIS 2 come lo strumento dell'UE a cui essa dà attuazione. Il parere motivato della Commissione del 7 maggio 2025 indica che potrebbero essere ancora necessarie ulteriori misure per il recepimento completo.
Legge XXIII del 2023
Porta gli obblighi della NIS 2 nel diritto ungherese. Definisce il regime di vigilanza in materia di cybersicurezza, la certificazione, gli obblighi di audit e le tariffe di vigilanza. La maggior parte del dettaglio operativo è delegata ai decreti governativi e agli orientamenti di SZTFH. La legge è entrata in vigore nel 2023 ed è stata attuata per fasi.
SZTFH come vigilante, NKI come CSIRT
SZTFH gestisce la vigilanza, la certificazione, gli audit e le tariffe per i soggetti interessati. NKI è il CSIRT nazionale, operante all'interno del Servizio speciale per la sicurezza nazionale sotto l'Ufficio di Gabinetto del Primo ministro. Le due funzioni, vigilanza e risposta agli incidenti, si collocano in istituzioni diverse, a differenza che in Francia o in Germania.
Registrazione e segnalazione
I soggetti interessati si autoclassificano e si registrano presso SZTFH. Gli incidenti significativi seguono la cadenza della direttiva: preallarme entro 24 ore, notifica entro 72 ore e relazione finale entro un mese. I nomi specifici dei portali ungheresi e i termini esatti di registrazione sono disciplinati dagli orientamenti di SZTFH e dovrebbero essere verificati rispetto alle pubblicazioni correnti di SZTFH.
Il diritto locale si applica all'interno dell'Ungheria
Le operazioni sul territorio ungherese seguono il recepimento ungherese. Una capogruppo tedesca che gestisce una controllata ungherese legge la Legge XXIII del 2023 per quella controllata, non il BSIG tedesco. Gli obblighi della direttiva sono gli stessi. La procedura, il vigilante e le sanzioni risiedono nel diritto ungherese.
L'Ungheria non può scendere al di sotto della soglia minima UE
La direttiva è uno strumento di armonizzazione minima. L'Ungheria può essere più rigorosa, e in pratica SZTFH già esercita ulteriori obblighi di certificazione e audit in aggiunta. Non può scendere al di sotto della direttiva sugli obblighi dei soggetti essenziali e importanti, sui termini di segnalazione degli incidenti o sulla responsabilità dell'organo di gestione. È questo che il parere motivato della Commissione del 7 maggio 2025 sta verificando.
SZTFH
Autorità competente principale per la vigilanza in materia di cybersicurezza ai sensi della Legge XXIII del 2023. Gestisce vigilanza, audit, certificazione e il regime delle tariffe di vigilanza. Pubblica gli orientamenti operativi ungheresi per i soggetti interessati.
NKI
CSIRT nazionale. Opera all'interno del Servizio speciale per la sicurezza nazionale sotto l'Ufficio di Gabinetto del Primo ministro. Riceve le notifiche di incidente, coordina la risposta tecnica e agisce come punto di contatto ungherese nella cooperazione tra CSIRT a livello UE. Raggiungibile all'indirizzo csirt@nki.gov.hu.
ENISA
L'agenzia UE per la cybersicurezza. Pubblica orientamenti, gestisce la banca dati europea delle vulnerabilità e sostiene il coordinamento transfrontaliero. Non è un vigilante per i soggetti ungheresi. Lo è SZTFH.
La nostra capogruppo tedesca ha già coperto il BSIG, quindi la controllata ungherese è a posto.
Gli obblighi della direttiva sono gli stessi, ma il vigilante, la procedura e le sanzioni risiedono nel diritto ungherese. Una controllata ungherese si registra presso SZTFH, presenta le segnalazioni di incidente tramite NKI e rispetta i termini della Legge XXIII del 2023. L'approvazione BSIG a Bonn non sostituisce la registrazione ungherese.
L'Ungheria ha mancato il termine dell'ottobre 2024, quindi nulla è ancora in vigore.
La Legge XXIII del 2023 era in vigore prima del termine di recepimento della direttiva. La vigilanza di SZTFH è già operativa. Il parere motivato della Commissione del 7 maggio 2025 riguarda lacune nel recepimento completo, non se il vigilante esiste. I soggetti non possono attendere ulteriore legislazione per agire.
Solo gli undici settori CER fanno scattare la NIS 2 in Ungheria.
I test dimensionale e settoriale derivano dagli Allegati I e II della direttiva NIS 2, diciotto settori in totale. L'ambito CER è più ristretto e si colloca nel proprio quadro nazionale. Confondere i due è un motivo comune per cui i soggetti si autoclassificano in modo errato.
La maggior parte degli operatori ungheresi con cui parliamo presume che la NIS 2 inizi quando viene approvata una nuova legge omnibus. Non è così. La vigilanza di SZTFH ai sensi della Legge XXIII del 2023 è già attiva, gli audit stanno avvenendo e l'approvazione dell'organo di gestione è già una domanda che SZTFH può porre. Il parere motivato della Commissione del 7 maggio 2025 aumenta la pressione politica ma non sposta indietro la data di avvio del vigilante.
La mossa pratica è la stessa che ovunque nell'UE. Confermare l'ambito ai sensi della direttiva, registrarsi presso il vigilante nazionale (qui SZTFH), predisporre i quattro obblighi continuativi (mantenimento della registrazione, segnalazione degli incidenti tramite NKI, rischio della catena di approvvigionamento, vigilanza dell'organo di gestione) e documentare il minimo. I regolatori settoriali ungheresi restano competenti dove si applica la lex specialis, in particolare la finanza sotto la MNB.
Costruiamo il registro degli obblighi NIS 2 sul livello UE, non su un singolo recepimento nazionale. La stessa checklist funziona per una controllata ungherese ai sensi della Legge XXIII del 2023, una capogruppo tedesca ai sensi del BSIG e una consociata francese ai sensi dell'Ordonnance n. 2024-1093. I riferimenti agli articoli cambiano per locale. Gli obblighi sostanziali no.
Per l'ambito ungherese si parte dal controllo di applicabilità, poi si passa alla cadenza di segnalazione degli incidenti con NKI, alle clausole sulla catena di approvvigionamento e all'approvazione dell'organo di gestione. Dove SZTFH pubblica orientamenti settoriali, li citiamo. Non li duplichiamo.
- Direttiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regolamento di esecuzione (UE) 2024/2690 della Commissione
- Legge XXIII del 2023 sulla certificazione di cybersicurezza e la vigilanza in materia di cybersicurezza (2023. evi XXIII. torveny), Nemzeti Jogszabalytar
- SZTFH (Szabalyozott Tevekenysegek Felugyeleti Hatosaga), sito ufficiale, sztfh.hu
- NKI (Nemzeti Kibervedelmi Intezet), CSIRT nazionale, nki.gov.hu
- Commissione europea, stato di recepimento della NIS 2, Ungheria, parere motivato del 7 maggio 2025
- MNB (Magyar Nemzeti Bank), autorità competente per il DORA nel settore finanziario