Stato di NIS 2 in Svezia
Cosa richiede la direttiva, come la Svezia l'ha recepita in ritardo e dove si collocano MCF e CERT-SE nel quadro.
Panoramica
La direttiva NIS 2 è il livello dell'UE. Vincola ogni Stato membro, Svezia inclusa, con un'unica soglia minima di cybersicurezza per i soggetti essenziali e importanti. La Svezia deve inserire quella soglia nel diritto svedese e gestire un regime di vigilanza sotto di essa.
La Svezia ha mancato la scadenza di recepimento dell'UE del 17 ottobre 2024. La Commissione europea ha emesso un parere motivato il 7 maggio 2025 per la mancata notifica del recepimento completo. Solo la Cybersäkerhetslagen (SFS 2025:1506), emanata l'11 dicembre 2025 e in vigore dal 15 gennaio 2026, ha infine inserito la direttiva nello statuto svedese.
L'MCF (Myndigheten för civilt försvar, noto come MSB fino al 31 dicembre 2025) è il coordinatore nazionale e il punto di contatto unico per NIS 2. Il CERT-SE resta il CSIRT nazionale e si trova all'interno dell'MCF. La Svezia adotta un modello di vigilanza decentrato: regolatori settoriali come PTS, Energimyndigheten, Transportstyrelsen, Finansinspektionen, IVO e Livsmedelsverket svolgono la vigilanza operativa nei rispettivi settori.
Direttiva dell'UE
Direttiva (UE) 2022/2555 (NIS 2)
La direttiva di cybersicurezza a livello UE. Fissa gli obblighi che ogni Stato membro deve recepire, compresi i test dimensionali e settoriali per i soggetti essenziali e importanti. La scadenza per il recepimento era il 17 ottobre 2024.
Attuazione dell'UE
Regolamento di esecuzione (UE) 2024/2690 della Commissione
Misure tecniche e metodologiche per i fornitori di infrastrutture digitali. Direttamente applicabile in Svezia senza recepimento nazionale.
Recepimento svedese
Cybersäkerhetslagen (SFS 2025:1506), in vigore dal 15 gennaio 2026
Il recepimento svedese di NIS 2. Emanato l'11 dicembre 2025 sulla base della Proposition 2025/26:28 'Ett starkt skydd för nätverks- och informationssystem'. Accompagnato dalla Cybersäkerhetsförordning e dalle norme emanate dai regolatori settoriali. Abroga la vecchia legge NIS 1 del 2018, che continua ad applicarsi agli eventi verificatisi prima del 15 gennaio 2026.
Cybersäkerhetslagen (SFS 2025:1506)
Inserisce gli obblighi NIS 2 nel diritto svedese. La Commissione aveva avviato una procedura di infrazione con un parere motivato il 7 maggio 2025. Con la Cybersäkerhetslagen, in vigore dal 15 gennaio 2026, la Svezia ha formalmente recepito. La Cybersäkerhetsförordning di accompagnamento e le norme dei regolatori settoriali completano il dettaglio operativo.
MCF come SPOC, CERT-SE come CSIRT, regolatori settoriali come supervisori
La Svezia adotta un modello di vigilanza decentrato. L'MCF (Myndigheten för civilt försvar, ex MSB) è il punto di contatto unico nazionale e ospita il CERT-SE come CSIRT nazionale. La vigilanza operativa spetta ai regolatori settoriali: PTS per l'infrastruttura digitale e le telecomunicazioni, Energimyndigheten per l'energia, Transportstyrelsen per i trasporti, Finansinspektionen per la finanza, IVO per la sanità, Livsmedelsverket per l'acqua potabile.
Registrazione e notifica
L'MCF gestisce il portale nazionale di notifica ai sensi della Cybersäkerhetslagen. I soggetti rientranti nell'ambito devono identificarsi autonomamente e notificare senza indebito ritardo dopo l'entrata in vigore. Gli incidenti significativi seguono la cadenza della direttiva: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese. Per i prestatori di servizi fiduciari la finestra principale di notifica si riduce a 24 ore.
Il diritto locale si applica all'interno della Svezia
Le operazioni sul territorio svedese seguono il recepimento svedese. Un Geschäftsführer tedesco che gestisce una controllata svedese legge la Cybersäkerhetslagen (SFS 2025:1506) per quella controllata, non il BSIG tedesco. Gli obblighi della direttiva sono gli stessi; la procedura, il portale di notifica e le sanzioni risiedono nel diritto svedese.
La Svezia non può scendere sotto la soglia minima dell'UE
La direttiva è uno strumento di armonizzazione minima. La Svezia può andare oltre e ha usato parte di quel margine, in particolare attraverso un approccio 'all'intero soggetto' che cattura l'intera organizzazione anziché solo la parte che fornisce il servizio. La Svezia non può scendere sotto la direttiva quanto ai doveri dei soggetti essenziali e importanti, alle scadenze di notifica degli incidenti o alla responsabilità dell'organo di gestione.
MCF (ex MSB)
Myndigheten för civilt försvar, con questo nome dal 1° gennaio 2026, in precedenza Myndigheten för samhällsskydd och beredskap (MSB). Punto di contatto unico nazionale per NIS 2 e ospite del CERT-SE. Gestisce il portale di notifica ai sensi della Cybersäkerhetslagen. La vigilanza operativa settoriale non spetta all'MCF; spetta ai regolatori settoriali.
CERT-SE
Il CSIRT nazionale per la Svezia, organizzativamente parte dell'MCF. Riceve le notifiche di incidenti significativi ai sensi di NIS 2, assiste i soggetti 24 ore su 24, 7 giorni su 7, e scambia informazioni all'interno della rete CSIRT dell'UE. Raggiungibile all'indirizzo cert@cert.se. Nell'estate 2026, parte delle attività cyber operative e strategiche è prevista in trasferimento dall'MCF al Försvarets radioanstalt (FRA); per il momento il CERT-SE resta il punto nazionale di notifica.
ENISA
L'agenzia dell'UE per la cybersicurezza. Pubblica orientamenti, gestisce la banca dati europea delle vulnerabilità e supporta il coordinamento transfrontaliero. Non è un supervisore per i soggetti svedesi; lo sono l'MCF e i regolatori settoriali.
Svezia e Germania regolano questo aspetto allo stesso modo.
Gli obblighi della direttiva sono identici, le strutture no. La Germania centralizza la vigilanza tramite il BSI ai sensi del BSIG. La Svezia ripartisce i ruoli: l'MCF è lo SPOC nazionale e ospita il CERT-SE, mentre la vigilanza operativa spetta a un insieme di regolatori settoriali. Una capogruppo tedesca con una controllata svedese ha bisogno del regolatore settoriale come indirizzo di vigilanza per quella controllata, non dell'MCF.
Finché nessuno mi contatta, sono fuori ambito.
Come la maggior parte degli Stati membri, la Svezia adotta un modello di autoclassificazione. Un soggetto che soddisfa i test dimensionali e settoriali della direttiva è un soggetto obbligato, indipendentemente dal fatto che l'MCF pubblichi un elenco. L'MCF gestisce il portale nazionale di notifica e la prima registrazione doveva essere completata senza indebito ritardo dopo l'entrata in vigore. L'assenza di una lettera dalle autorità non è una difesa contro le sanzioni.
Trattiamo solo con il nostro regolatore settoriale.
Il regolatore settoriale è il supervisore, l'MCF è l'indirizzo di notifica e il CERT-SE è il canale per gli incidenti. Nella pratica il lavoro su NIS 2 tocca tutti e tre: registrazione tramite il portale dell'MCF, vigilanza continuativa da parte di PTS, Energimyndigheten, Finansinspektionen o un altro regolatore settoriale, e notifica degli incidenti al CERT-SE. Trattare uno qualsiasi di essi come l'unica controparte è una lettura errata dell'architettura svedese.
La maggior parte degli operatori svedesi che incontriamo ha passato tutto il 2025 nel limbo. Fino a metà dicembre 2025 la Cybersäkerhetslagen era ferma al Riksdag come Proposition 2025/26:28 e nulla più. La conseguenza: molti amministratori delegati hanno sospeso il loro lavoro su NIS 2, per poi dover comprimere la notifica e la prima documentazione nella finestra subito dopo il 15 gennaio 2026.
La mossa pratica è la stessa di ovunque nell'UE: confermare l'ambito ai sensi della direttiva, registrarsi tramite il portale nazionale (qui l'MCF), impostare i quattro obblighi continuativi (mantenimento della registrazione, notifica degli incidenti, rischio della catena di fornitura, supervisione dell'organo di gestione) e documentare il minimo. Il regolatore settoriale resta l'indirizzo di vigilanza; l'MCF e il CERT-SE sono i canali operativi.
Costruiamo il registro degli obblighi NIS 2 sul livello dell'UE, non su un singolo recepimento nazionale. La stessa checklist funziona per una controllata svedese che usa la Cybersäkerhetslagen, una capogruppo tedesca che usa il BSIG e una consociata olandese che usa la Cyberbeveiligingswet. I riferimenti agli articoli cambiano per locale; gli obblighi sostanziali no.
Per l'ambito svedese parti dalla verifica di applicabilità, poi passi alla registrazione presso l'MCF, alla notifica degli incidenti tramite il CERT-SE, alle clausole sulla catena di fornitura e all'approvazione dell'organo di gestione. Dove PTS, Energimyndigheten o Finansinspektionen emanano norme settoriali, vi facciamo riferimento; non le duplichiamo.
- Direttiva (UE) 2022/2555 (NIS 2): EUR-Lex
- Regolamento di esecuzione (UE) 2024/2690 della Commissione
- Cybersäkerhetslagen (SFS 2025:1506): Sveriges riksdag
- Proposition 2025/26:28 'Ett starkt skydd för nätverks- och informationssystem': Sveriges riksdag
- MCF (Myndigheten för civilt försvar, ex MSB): sito ufficiale
- CERT-SE: CSIRT nazionale svedese (ospitato presso l'MCF)
- Commissione europea: attuazione della direttiva NIS2 in Svezia (digital-strategy.ec.europa.eu)
- PTS, Energimyndigheten, Transportstyrelsen, Finansinspektionen, IVO, Livsmedelsverket: regolatori settoriali