Stato di NIS 2 in Lussemburgo
Cosa richiede la direttiva, come il Lussemburgo la recepisce e quale autorità si colloca dove.
Panoramica
La direttiva NIS 2 è il livello dell'UE. Vincola ogni Stato membro, Lussemburgo compreso, a un livello minimo comune di cybersicurezza per i soggetti essenziali e importanti. Il Lussemburgo deve portare quel livello nel diritto nazionale e gestire la vigilanza al di sotto di esso.
Il Lussemburgo ha mancato il termine di recepimento del 17 ottobre 2024. La Commissione europea ha inviato un parere motivato il 7 maggio 2025 per il mancato adempimento dell'obbligo di notificare il recepimento completo. La legge nazionale è seguita più tardi: la Legge del 5 maggio 2026 sulle misure volte a garantire un livello comune elevato di cybersicurezza, entrata in vigore il 15 maggio 2026.
L'Institut Luxembourgeois de Régulation (ILR) è l'autorità competente capofila e il punto di contatto unico ai sensi di NIS 2. La CSSF mantiene la vigilanza nella finanza ai sensi di DORA come lex specialis. GOVCERT.LU è il CSIRT per il settore pubblico. CIRCL (Computer Incident Response Center Luxembourg) è il CSIRT per il settore privato, i comuni e i soggetti non governativi.
Direttiva UE
Direttiva (UE) 2022/2555 (NIS 2)
La direttiva di cybersicurezza valida in tutta l'UE. Stabilisce gli obblighi che ogni Stato membro deve recepire, compreso il test dimensionale e settoriale per i soggetti essenziali e importanti.
Regolamento di esecuzione dell'UE
Regolamento di esecuzione (UE) 2024/2690
Misure tecniche e metodologiche per i fornitori di infrastrutture digitali. Direttamente applicabile in Lussemburgo senza recepimento nazionale.
Recepimento lussemburghese
Legge del 5 maggio 2026 sulle misure volte a garantire un livello comune elevato di cybersicurezza
Il recepimento lussemburghese di NIS 2. Entrata in vigore il 15 maggio 2026. Il testo designa l'autorità competente e i CSIRT, stabilisce i canali di notifica, le sanzioni e gli obblighi di registrazione. I testi attuativi dell'ILR completano il dettaglio operativo.
Legge del 5 maggio 2026
Porta gli obblighi NIS 2 nel diritto lussemburghese. Definisce i soggetti essenziali e importanti, i poteri di vigilanza dell'ILR, gli obblighi di notifica e le sanzioni. Il dettaglio operativo segue attraverso le regole dell'ILR e i testi specifici di settore.
ILR come autorità competente capofila
L'Institut Luxembourgeois de Régulation vigila su NIS 2 nella maggior parte dei settori e funge da punto di contatto unico verso il gruppo di cooperazione dell'UE. La CSSF mantiene la vigilanza sul settore finanziario ai sensi di DORA. La risposta agli incidenti è divisa tra GOVCERT.LU per il settore pubblico e CIRCL per tutti gli altri.
Recepimento tardivo, ma gli obblighi si applicano
Il Lussemburgo non ha rispettato il termine UE del 17 ottobre 2024. La Commissione ha avviato la procedura di infrazione e ha emesso un parere motivato il 7 maggio 2025. La Legge del 5 maggio 2026 ha colmato il divario formale. La notifica degli incidenti significativi segue la direttiva: preallarme entro 24 ore, notifica dell'incidente entro 72 ore, relazione finale entro un mese.
Sul suolo lussemburghese si applica il diritto lussemburghese
Le attività sul territorio lussemburghese seguono il recepimento lussemburghese. Un gruppo tedesco con una controllata lussemburghese legge la Legge del 5 maggio 2026 per quella controllata, non il BSIG. Gli obblighi della direttiva sono identici. Procedura, portale e sanzioni risiedono nel diritto lussemburghese.
Il Lussemburgo non può scendere sotto il pavimento dell'UE
La direttiva è un'armonizzazione minima. Il Lussemburgo può essere più rigoroso. Non può scendere al di sotto della direttiva, né per gli obblighi dei soggetti essenziali e importanti, né per i termini di notifica, né per la responsabilità dell'organo di gestione.
ILR
Institut Luxembourgeois de Régulation. Autorità competente capofila per NIS 2, punto di contatto unico e gestore del portale myilr.lu utilizzato per le interazioni con i soggetti regolati. I regolatori di settore come la CSSF restano competenti dove si applica la lex specialis.
GOVCERT.LU e CIRCL
Il Lussemburgo gestisce due CSIRT. GOVCERT.LU, collegato all'Haut-Commissariat à la Protection nationale, si occupa del settore pubblico. CIRCL, ospitato presso la Luxembourg House of Cybersecurity, si occupa del settore privato, dei comuni e dei soggetti non governativi. A quale dei due vi rivolgete dipende da chi siete.
ENISA
L'agenzia dell'UE per la cybersicurezza. Pubblica linee guida, gestisce la banca dati europea delle vulnerabilità e coordina a livello transfrontaliero. Nessuna vigilanza diretta sui soggetti lussemburghesi. Quel ruolo spetta all'ILR.
Seguiamo la nostra controllante tedesca, quindi il BSIG ci copre.
La controllata lussemburghese è vigilata ai sensi della Legge del 5 maggio 2026 dall'ILR, non dal BSI ai sensi del BSIG. Le politiche interne di gruppo possono essere condivise, ma la registrazione, la notifica degli incidenti e l'approvazione dell'organo di gestione avvengono nei confronti dell'autorità lussemburghese sul territorio lussemburghese.
Non c'è alcuna registrazione lussemburghese, quindi le regole non mordono ancora.
La Legge del 5 maggio 2026 è in vigore dal 15 maggio 2026. L'ILR gestisce le interazioni con i soggetti regolati attraverso myilr.lu. Anche dove i testi attuativi sono ancora in fase di emanazione, gli obblighi della direttiva sulla gestione del rischio, la notifica degli incidenti e la responsabilità dell'organo di gestione si applicano ora.
L'ILR regola solo le comunicazioni elettroniche, quindi NIS 2 deve risiedere altrove.
Il mandato dell'ILR copre le comunicazioni elettroniche, l'elettricità, il gas, i servizi postali, i trasporti, lo spettro radio e ora NIS 2 nella maggior parte dei settori. La finanza è l'eccezione principale, dove la CSSF vigila ai sensi di DORA. Per tutti gli altri rientranti nell'ambito di applicazione, il canale NIS 2 passa attraverso l'ILR.
La maggior parte degli operatori lussemburghesi di fascia media che incontriamo tratta ancora NIS 2 come un obbligo futuro. Il termine è slittato due volte, prima a livello UE il 17 ottobre 2024, poi nella legge nazionale entrata in vigore solo il 15 maggio 2026. Ciò ha creato l'impressione che nulla sia ancora vincolante. Lo è. Gli obblighi della direttiva sulla gestione del rischio e sulla notifica degli incidenti mordono dalla data in cui la legge nazionale è entrata in vigore, e l'ILR vigila ai sensi di essa.
Il passo pratico è lo stesso di ovunque nell'UE: verificare l'applicabilità rispetto alla direttiva, registrarsi presso l'autorità competente (qui l'ILR tramite myilr.lu), impostare i quattro obblighi continui (mantenere aggiornati i dati di registrazione, notificare gli incidenti, gestire il rischio della catena di approvvigionamento, garantire la supervisione dell'organo di gestione) e documentare il minimo. Il settore finanziario legge DORA in parallelo sotto la vigilanza della CSSF.
Costruiamo il registro degli obblighi NIS 2 sul livello dell'UE, non su un singolo recepimento nazionale. La stessa checklist si adatta a una controllata lussemburghese ai sensi della Legge del 5 maggio 2026, a una controllante tedesca ai sensi del BSIG e a una consociata olandese ai sensi della Cyberbeveiligingswet. I riferimenti agli articoli cambiano per paese, la sostanza degli obblighi no.
Per l'ambito lussemburghese si inizia con la verifica di applicabilità, poi la cadenza degli incidenti, le clausole sulla catena di approvvigionamento e l'approvazione dell'organo di gestione. Dove l'ILR pubblica orientamenti settoriali, li colleghiamo. Non li copiamo.
- Direttiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regolamento di esecuzione (UE) 2024/2690
- Legge del 5 maggio 2026 sulle misure volte a garantire un livello comune elevato di cybersicurezza, Legilux
- Commissione europea, parere motivato al Lussemburgo sul recepimento di NIS 2, 7 maggio 2025
- ILR, Institut Luxembourgeois de Régulation, sito ufficiale e portale myilr.lu
- GOVCERT.LU, CSIRT governativo gestito dall'Haut-Commissariat à la Protection nationale
- CIRCL, Computer Incident Response Center Luxembourg, Luxembourg House of Cybersecurity
- CSSF, Commission de Surveillance du Secteur Financier, vigilanza DORA nella finanza