Stato di NIS 2 in Irlanda
Cosa richiede la direttiva, a che punto è l'Irlanda con il recepimento e chi esercita la vigilanza nel frattempo.
Panoramica
La direttiva NIS 2 si colloca a livello dell'UE. Vincola ogni Stato membro, Irlanda inclusa, a un'unica soglia di obblighi per i soggetti essenziali e importanti. L'Irlanda deve tradurre quella soglia nel diritto irlandese e istituire una vigilanza sotto di essa.
L'Irlanda ha mancato la scadenza di recepimento del 17 ottobre 2024. Il General Scheme del National Cyber Security Bill 2024 è stato pubblicato a settembre 2024 dal ministero capofila. Al momento in cui scriviamo, il disegno di legge stesso non è stato emanato dall'Oireachtas. Finché la legge non è in vigore, il recepimento NIS 1 dell'Irlanda (le European Union (Measures for a High Common Level of Security of Network and Information Systems) Regulations 2018, S.I. No. 360/2018) continua ad applicarsi.
Il National Cyber Security Centre (NCSC-IE) è il CSIRT nazionale ed è destinato a essere l'autorità competente e il punto di contatto unico per NIS 2. Il ministero capofila è l'ex Department of the Environment, Climate and Communications, ora Department of Climate, Energy and the Environment. I regolatori settoriali restano nei loro ambiti, in particolare ComReg per le comunicazioni elettroniche e la Central Bank of Ireland per i servizi finanziari, dove DORA si applica come lex specialis.
Direttiva dell'UE
Direttiva (UE) 2022/2555 (NIS 2)
La direttiva di cybersicurezza dell'UE. Fissa gli obblighi che ogni Stato membro deve recepire, compreso il test dimensionale e settoriale per i soggetti essenziali e importanti. Si applica all'Irlanda indipendentemente dallo stato del recepimento nazionale.
Atto di esecuzione dell'UE
Regolamento di esecuzione (UE) 2024/2690
Misure tecniche e metodologiche per i fornitori di infrastrutture digitali. Direttamente applicabile in Irlanda, senza necessità di recepimento nazionale.
Recepimento irlandese
General Scheme del National Cyber Security Bill 2024 (bozza); fino all'emanazione: S.I. No. 360/2018 (NIS 1)
Il General Scheme è stato pubblicato a settembre 2024 ed è in fase di esame prelegislativo. Il disegno di legge stesso e i regolamenti secondari che ne deriveranno conterranno il dettaglio operativo. Fino ad allora, il recepimento NIS 1 resta in vigore, integrato dagli orientamenti dell'NCSC-IE.
National Cyber Security Bill
Inserirà gli obblighi NIS 2 nel diritto irlandese, definirà i soggetti essenziali e importanti, stabilirà i poteri di vigilanza e di applicazione e ancorerà la notifica degli incidenti. Il dettaglio operativo sarà completato da regolamenti secondari e dagli orientamenti dell'NCSC-IE. Oggi: Heads of Bill pubblicati, testo finale non ancora emanato.
NCSC-IE come autorità competente
Il National Cyber Security Centre è il CSIRT nazionale (CSIRT-IE) e sarà designato autorità competente e punto di contatto unico per NIS 2. Pubblica già orientamenti preparatori, compresa la bozza di orientamento sulle Risk Management Measures del giugno 2025, e fa riferimento al quadro belga CyFun come baseline pratica.
Registrazione e notifica
La direttiva impone che i soggetti siano identificabili dagli Stati membri a partire dal 17 aprile 2025. In Irlanda, il portale di registrazione e il portale di notifica degli incidenti non sono ancora attivi. Gli incidenti significativi seguiranno la direttiva una volta che la legge sarà in vigore: preallarme entro 24 ore, notifica dell'incidente entro 72 ore, relazione finale entro un mese.
Sul territorio irlandese si applica il diritto irlandese
L'attività sul territorio irlandese segue il recepimento irlandese. Un amministratore delegato tedesco con una controllata irlandese legge l'imminente National Cyber Security Act per quella controllata, e nel frattempo le NIS 1 Regulations del 2018, non il BSIG tedesco. Gli obblighi della direttiva sono identici. Procedure, portali e sanzioni risiedono nel diritto irlandese.
L'Irlanda non può scendere sotto la soglia minima dell'UE
La direttiva è un'armonizzazione minima. L'Irlanda può andare oltre. L'Irlanda non può scendere sotto la direttiva, né quanto ai doveri dei soggetti essenziali e importanti, né quanto alle scadenze di notifica, né quanto alla responsabilità dell'organo di gestione. Un recepimento tardivo non solleva un'azienda rientrante nell'ambito dalla logica della direttiva.
NCSC-IE
National Cyber Security Centre. CSIRT nazionale (CSIRT-IE) e autorità competente e punto di contatto unico designati per NIS 2. Pubblica orientamenti preparatori, sta predisponendo i portali di registrazione e di notifica e si coordina con l'ENISA e con gli altri Stati membri.
Department of Climate, Energy and the Environment
Ministero capofila per il recepimento. In precedenza il Department of the Environment, Climate and Communications (DECC), rinominato dopo un rimpasto di governo. Ha pubblicato il General Scheme del National Cyber Security Bill 2024 e sta guidando il disegno di legge attraverso l'Oireachtas.
ENISA
L'agenzia dell'UE per la cybersicurezza. Pubblica orientamenti, gestisce la banca dati europea delle vulnerabilità e coordina a livello transfrontaliero. Non è un supervisore per i soggetti irlandesi. Quel ruolo spetta all'NCSC-IE e, ove applicabile, ai regolatori settoriali.
Finché l'Irlanda non recepisce, si applicano le regole tedesche, perché la nostra capogruppo è in Germania.
No. NIS 2 segue il principio dello stabilimento. Una controllata irlandese è regolata in Irlanda, una tedesca in Germania. La capogruppo tedesca può supportare internamente la controllata irlandese, ma il dovere giuridico di registrarsi, notificare e vigilare spetta al soggetto irlandese e fa capo all'NCSC-IE una volta che la legge sarà in vigore. Fino ad allora, NIS 1 (S.I. No. 360/2018) governa per i settori già coperti.
Finché il portale non è attivo, non devo fare nulla.
Anche senza un portale di registrazione attivo, la preparazione procede in parallelo. La direttiva non aspetta il portale. I soggetti rientranti nell'ambito dovrebbero eseguire ora il test di applicabilità, istituire la gestione del rischio, il processo di gestione degli incidenti, le clausole sulla catena di fornitura e la formazione dell'organo di gestione, e tenere pronte le prove. Una volta che la legge sarà in vigore e l'NCSC-IE aprirà il portale, la finestra di registrazione sarà breve.
Solo i vecchi OES di NIS 1 sono catturati da NIS 2.
No. NIS 2 amplia sostanzialmente il catalogo settoriale e dimensionale. Gli operatori di servizi essenziali (OES) ai sensi di NIS 1 sono di solito ancora catturati da NIS 2, ma il perimetro è più ampio e ora distingue tra soggetti essenziali e importanti. I soggetti medi e grandi elencati negli Allegati I e II della direttiva rientrano nell'ambito, così come alcuni piccoli prestatori con un ruolo particolare, oltre a parti della pubblica amministrazione.
La maggior parte degli operatori irlandesi di fascia media che incontriamo tratta ancora NIS 2 come una scadenza rinviata e aspetta che il National Cyber Security Bill sia emanato. La direttiva non aspetta. I team di approvvigionamento, gli assicuratori e le capogruppo già vi fanno riferimento nei contratti. Aspettare non ritarda il dovere, ritarda solo la tua preparazione.
Il passo pratico è lo stesso di ovunque nell'UE: esegui il test di applicabilità rispetto alla direttiva, usa gli orientamenti preparatori dell'NCSC-IE (la bozza delle Risk Management Measures, CyFun) come orientamento, imposta i quattro doveri continuativi (mantenere aggiornati i dati di registrazione, notifica degli incidenti, rischio della catena di fornitura, supervisione da parte dell'organo di gestione) e documenta il minimo. Una volta che la legge sarà in vigore, il lavoro residuo consiste perlopiù nell'inserire la documentazione completata nelle procedure irlandesi.
Costruiamo il registro degli obblighi NIS 2 a livello dell'UE, non sulla base di un singolo recepimento nazionale. La stessa checklist funziona per una controllata irlandese ai sensi dell'imminente National Cyber Security Act, una capogruppo tedesca ai sensi del BSIG e una consociata olandese ai sensi della Cyberbeveiligingswet. I riferimenti agli articoli cambiano per Paese, la sostanza degli obblighi no.
Per l'ambito irlandese parti dal test di applicabilità, poi la cadenza degli incidenti, le clausole sulla catena di fornitura e l'approvazione dell'organo di gestione. Dove l'NCSC-IE pubblica orientamenti settoriali, vi rimandiamo. Non li copiamo.
- Direttiva (UE) 2022/2555 (NIS 2): EUR-Lex
- Regolamento di esecuzione (UE) 2024/2690
- General Scheme del National Cyber Security Bill 2024: Department of Climate, Energy and the Environment (gov.ie)
- European Union (Measures for a High Common Level of Security of Network and Information Systems) Regulations 2018 (S.I. No. 360/2018): Irish Statute Book
- NCSC-IE: National Cyber Security Centre, stato e orientamenti su NIS 2 (ncsc.gov.ie)
- NCSC-IE: Draft Risk Management Measures Guidance (giugno 2025)
- ComReg: vigilanza settoriale per le comunicazioni elettroniche
- Central Bank of Ireland: autorità competente per DORA nel settore finanziario