Stato della NIS 2 a Malta
Cosa richiede la direttiva, come Malta la recepisce e dove si colloca l'autorità nazionale.
Panoramica
La direttiva NIS 2 è il livello UE. Vincola ogni Stato membro, Malta inclusa, con un'unica base minima per le entità essenziali e importanti. Malta deve trasporre questa base nel diritto maltese e gestire un'autorità competente al di sotto di essa.
Malta recepisce la NIS 2 mediante il Legal Notice 71 of 2025, il Measures for a High Common Level of Cybersecurity across the European Union (Malta) Order, pubblicato nella Government Gazette l'8 aprile 2025 e classificato come subsidiary legislation 460.41. Malta ha mancato la scadenza UE del 17 ottobre 2024, ma ha recepito prima che la Commissione europea procedesse a un parere motivato nel maggio 2025, quando Malta non figurava nell'elenco dei diciannove Stati membri che ne hanno ricevuto uno.
L'unità Critical Information Infrastructure Protection presso il Ministry for Home Affairs and National Security è indicata dalla Commissione europea come punto di contatto unico e autorità competente sia per le entità essenziali sia per quelle importanti. CSIRTMalta è il CSIRT nazionale per la gestione e il coordinamento degli incidenti.
Direttiva UE
Direttiva (UE) 2022/2555 (NIS 2)
La direttiva sulla cybersicurezza valida in tutta l'UE. Stabilisce gli obblighi che ogni Stato membro deve recepire, inclusi i test dimensionali e settoriali per le entità essenziali e importanti.
Attuazione UE
Regolamento di esecuzione (UE) 2024/2690 della Commissione
Misure tecniche e metodologiche per i fornitori di infrastrutture digitali. Direttamente applicabile a Malta, nessun recepimento nazionale richiesto.
Recepimento maltese
Legal Notice 71 of 2025 (SL 460.41), pubblicato l'8 aprile 2025
Il recepimento maltese della NIS 2, formalmente il Measures for a High Common Level of Cybersecurity across the European Union (Malta) Order. In quanto subsidiary legislation si colloca al di sotto di una legge madre; il dettaglio operativo arriva tramite gli orientamenti dell'autorità competente.
Legal Notice 71 of 2025
Trasporta gli obblighi della NIS 2 nel diritto maltese come subsidiary legislation 460.41. Definisce le categorie di entità essenziali e importanti, i poteri dell'autorità competente, gli obblighi di notifica e le sanzioni. Essendo un Legal Notice può essere aggiornato più rapidamente della legislazione primaria, quindi i professionisti dovrebbero seguire la voce su legislation.mt anziché affidarsi a una versione cartacea statica.
Autorità competente e punto di contatto unico
La Commissione europea indica l'unità Critical Information Infrastructure Protection presso il Ministry for Home Affairs and National Security come autorità competente di Malta e punto di contatto unico ai sensi della NIS 2. È il canale per il coordinamento transfrontaliero con altri Stati membri, ENISA e il gruppo di cooperazione.
Registrazione e notifica
La direttiva richiede agli Stati membri di identificare le entità essenziali e importanti entro il 17 aprile 2025. Il Legal Notice di Malta è entrato in vigore in prossimità di tale finestra. Gli incidenti significativi seguono la tempistica della direttiva: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese. Dove l'order maltese specifica un portale nazionale o un modulo di contatto, l'autorità competente pubblica il canale.
Sul suolo maltese si applica il diritto maltese
L'attività sul territorio maltese segue il recepimento maltese. Una società madre straniera con una controllata maltese legge il Legal Notice 71 of 2025 per quella controllata, non il BSIG o il diritto di qualsiasi altro Stato membro. Gli obblighi della direttiva sono identici. Procedura, canale di registrazione e sanzioni risiedono nel diritto maltese.
Malta non può scendere sotto la base dell'UE
La direttiva è un'armonizzazione minima. Malta può essere più severa. Malta non può scendere al di sotto della direttiva, né sugli obblighi delle entità essenziali e importanti, né sui termini di notifica degli incidenti, né sulla responsabilità dell'organo di gestione.
Unità Critical Information Infrastructure Protection
L'autorità competente e punto di contatto unico indicata dalla Commissione europea, ospitata presso il Ministry for Home Affairs and National Security. Coordina la vigilanza sulle entità essenziali e importanti, svolge il ruolo transfrontaliero di punto di contatto unico e incanala l'enforcement ai sensi del Legal Notice 71 of 2025.
CSIRTMalta
Il CSIRT nazionale di Malta per la gestione e il coordinamento degli incidenti ai sensi della NIS 2. Riceve le notifiche di incidenti significativi, supporta le entità interessate e partecipa alla rete di CSIRT dell'UE. L'esatto canale di notifica NIS 2 ed eventuale portale tecnico sono in capo a CSIRTMalta e all'autorità competente; consultare i loro orientamenti pubblicati per il modulo di trasmissione attuale.
ENISA
L'agenzia dell'UE per la cybersicurezza. Pubblica linee guida, gestisce la banca dati europea delle vulnerabilità e coordina a livello transfrontaliero. Non è l'autorità di vigilanza per le entità maltesi. Lo è l'autorità nazionale competente.
Seguiamo ciò che fa la nostra società madre tedesca, quindi la NIS 2 è coperta.
Gli obblighi della direttiva sono identici, la procedura nazionale no. Una controllata maltese si registra a Malta presso l'autorità competente maltese, notifica gli incidenti tramite CSIRTMalta e affronta sanzioni ai sensi del diritto maltese. Il BSIG tedesco governa l'entità tedesca. Il Legal Notice 71 of 2025 maltese governa l'entità maltese. La conformità a livello di gruppo non sostituisce la presentazione maltese.
Non c'è ancora un canale di registrazione NIS 2 maltese, quindi aspettiamo.
Gli obblighi della direttiva si applicano dal momento in cui l'entità è in ambito, non dal momento in cui un portale appare rifinito. Dove Malta non ha ancora attivato un registro online, l'autorità competente pubblica un percorso di contatto provvisorio. Restare a guardare non è una difesa ai sensi dell'articolo 21 della direttiva una volta soddisfatto il test dimensionale e settoriale.
La NIS 2 a Malta colpisce solo i settori critici evidenti.
Il test dimensionale e settoriale si limita per impostazione predefinita alle imprese medie e grandi, ma la direttiva cattura anche le entità più piccole quando sono fornitori unici, operano a livello transfrontaliero o sono nominate nel diritto nazionale. Le pubbliche amministrazioni e alcuni fornitori digitali rientrano a prescindere dalla dimensione. La verifica di applicabilità va eseguita caso per caso, non in base alla sola dimensione aziendale.
La maggior parte degli operatori maltesi che incontriamo tratta la NIS 2 come il prossimo fascicolo di conformità dopo il GDPR. Come inquadramento progettuale va bene. La sostanza è diversa: la direttiva parla di continuità del servizio, rischio della catena di approvvigionamento e responsabilità della direzione, non solo di dati personali. Gli amministratori di una società maltese soggetta alla NIS 2 sottoscrivono personalmente la base di gestione del rischio e la propria formazione. Tale sottoscrizione non è delegabile al gruppo madre o a un consulente esterno.
La sequenza pratica è la stessa in tutta l'UE: esegui la verifica di applicabilità rispetto alla direttiva, registrati presso l'autorità nazionale competente una volta aperto il canale, istituisci i quattro obblighi continuativi (mantenere aggiornati i dati di registrazione, notifica degli incidenti, rischio della catena di approvvigionamento, vigilanza dell'organo di gestione) e documenta il minimo. Dove CSIRTMalta o l'autorità competente pubblica orientamenti settoriali, usali. Dove non lo fanno, il testo della direttiva e il regolamento di esecuzione sono il riferimento di riserva.
Costruiamo il registro degli obblighi NIS 2 sul livello UE, non su un singolo recepimento nazionale. La stessa lista di controllo si adatta a una controllata maltese ai sensi del Legal Notice 71 of 2025, a una società madre tedesca ai sensi del BSIG e a una consociata olandese ai sensi della Cyberbeveiligingswet. I riferimenti agli articoli cambiano per Paese, gli obblighi sostanziali no.
Per l'ambito maltese, parti dalla verifica di applicabilità, poi dalla tempistica degli incidenti, dalle clausole della catena di approvvigionamento e dalla sottoscrizione dell'organo di gestione. Dove CSIRTMalta o l'autorità competente pubblica orientamenti settoriali, li colleghiamo. Non li copiamo.
- Direttiva (UE) 2022/2555 (NIS 2): EUR-Lex
- Regolamento di esecuzione (UE) 2024/2690 della Commissione
- Legal Notice 71 of 2025, Measures for a High Common Level of Cybersecurity across the European Union (Malta) Order: legislation.mt (SL 460.41)
- Commissione europea, pagina di attuazione della NIS 2 per Malta: digital-strategy.ec.europa.eu
- Commissione europea, pareri motivati del maggio 2025 sul recepimento della NIS 2 (Malta non elencata)
- CSIRTMalta: il CSIRT nazionale di Malta
- ENISA: Agenzia dell'Unione europea per la cybersicurezza