Estado da NIS 2 em Itália
O que a diretiva exige, como Itália a transpõe e onde se situam a ACN e o CSIRT Italia neste quadro.
Visão geral
A Diretiva NIS 2 é a camada da UE. Vincula todos os Estados-Membros, incluindo Itália, a um único piso de cibersegurança para as entidades essenciais e importantes. Itália tem de inscrever esse piso no direito italiano e exercer um regime de supervisão ao abrigo dele.
Itália transpõe a NIS 2 através do Decreto Legislativo 4 settembre 2024, n. 138. O decreto foi publicado na Gazzetta Ufficiale a 1 de outubro de 2024 e entrou em vigor a 16 de outubro de 2024, no prazo de transposição da UE.
A ACN (Agenzia per la Cybersicurezza Nazionale) é a autoridade NIS competente única, o ponto de contacto único para o grupo de cooperação da UE e a casa do CSIRT nacional (CSIRT Italia). Nove ministérios atuam como autoridades setoriais sob coordenação da ACN. Para o setor financeiro, o DORA aplica-se como lex specialis.
Diretiva da UE
La presente direttiva stabilisce misure volte a garantire un livello comune elevato di cibersicurezza nell''Unione in modo da migliorare il funzionamento del mercato interno.
Diretiva (UE) 2022/2555 (NIS 2), Artigo 1.º. Define as obrigações que cada Estado-Membro tem de transpor, incluindo os testes de dimensão e de setor para as entidades essenciais e importantes.
Execução da UE
Regulamento de Execução (UE) 2024/2690 da Comissão
Medidas técnicas e metodológicas para os prestadores de infraestrutura digital. Diretamente aplicável em Itália sem transposição nacional.
Transposição italiana
Decreto Legislativo 4 settembre 2024, n. 138
A transposição italiana da NIS 2. Publicada na Gazzetta Ufficiale a 1 de outubro de 2024, em vigor desde 16 de outubro de 2024. O decreto confirma a ACN como autoridade competente, alarga as funções do CSIRT Italia, lista dez áreas de medidas de segurança e detalha o processo de notificação de incidentes e a responsabilidade do órgão de gestão.
Decreto Legislativo 138/2024
Leva as obrigações da NIS 2 para o direito italiano. Define as entidades essenciais (soggetti essenziali) e importantes (soggetti importanti), os poderes de supervisão da ACN, os deveres de notificação de incidentes e as sanções administrativas. O detalhe operacional está nas determinações da ACN e nos anexos setoriais.
ACN e CSIRT Italia
A ACN é a autoridade NIS competente única e o ponto de contacto único. O CSIRT Italia opera dentro da ACN e recebe as notificações de incidentes significativos. Os ministérios setoriais (interior, energia, transportes, saúde, justiça, cultura, investigação, transição digital, ambiente) atuam como autoridades setoriais sob um conselho de implementação presidido pela ACN.
Registo e notificação
A plataforma de registo da ACN abriu a 1 de dezembro de 2024. As entidades no âmbito tinham de se registar ou atualizar os seus dados até 28 de fevereiro de 2025. Os incidentes significativos seguem a cadência da diretiva: alerta precoce de 24 horas, notificação de incidente de 72 horas, relatório final de um mês, enviados através do CSIRT Italia.
A lei local aplica-se dentro de Itália
As operações em território italiano seguem a transposição italiana. Um Geschäftsführer alemão que dirige uma filial italiana lê o Decreto Legislativo 138/2024 para essa filial, não o BSIG alemão. As obrigações da diretiva são as mesmas. O procedimento, a plataforma de registo e as sanções vivem na lei italiana e correm através da ACN.
Itália não pode ficar abaixo do piso da UE
A diretiva é um instrumento de harmonização mínima. Itália pode ser mais rigorosa, e quanto ao âmbito fê-lo ao acrescentar administrações públicas, prestadores de transporte público local, entidades de investigação e entidades de interesse cultural acima da linha de base da diretiva. Itália não pode ficar abaixo da diretiva nos deveres das entidades essenciais e importantes, nos prazos de notificação de incidentes ou na responsabilidade do órgão de gestão.
ACN
Autoridade NIS competente única e ponto de contacto único. Realiza auditorias, solicita documentação, aplica sanções administrativas e emite medidas regulatórias vinculativas. Preside ao conselho de implementação NIS que coordena os nove ministérios setoriais.
CSIRT Italia
O CSIRT nacional, alojado pela ACN. Recebe as notificações de incidentes significativos das entidades no âmbito, presta orientação técnica e apoio ao tratamento de incidentes, e coordena além-fronteiras com os CSIRT congéneres através da rede de CSIRT da UE.
ENISA
A agência de cibersegurança da UE. Publica orientação, gere a base de dados europeia de vulnerabilidades e apoia a coordenação transfronteiriça. Não é supervisor das entidades italianas; a ACN é.
Fazemos a NIS 2 como a faz a nossa casa-mãe alemã.
As obrigações da diretiva são as mesmas, mas o procedimento não. Uma filial italiana regista-se na plataforma da ACN, submete as notificações de incidentes ao CSIRT Italia e responde perante a supervisão da ACN. As referências ao BSIG, ao portal do BSI alemão ou às autoridades setoriais alemãs não se transferem. O trabalho interno de conformidade pode ser partilhado dentro do grupo; as submissões nacionais não.
Ainda não há obrigação de registo italiana.
A plataforma de registo da ACN abriu a 1 de dezembro de 2024 e a primeira janela de registo encerrou a 28 de fevereiro de 2025. As atualizações dos dados de registo seguem a regra de duas semanas da diretiva. Uma entidade no âmbito que nunca se registou não está isenta; está em incumprimento, e a ACN tem tanto o poder de sanção administrativa como o de medida vinculativa.
O nosso regulador setorial é que manda, não a ACN.
Itália escolheu um modelo de autoridade competente única. A ACN supervisiona todos os setores NIS 2 e é o ponto de contacto único para o grupo de cooperação da UE. Os ministérios setoriais atuam como autoridades setoriais e contribuem com competência de domínio sob um conselho de implementação presidido pela ACN, mas o poder vinculativo de supervisão e de sanção NIS 2 cabe à ACN. Para as finanças, o DORA aplica-se como lex specialis e o regulador do setor financeiro conduz esse canal.
A maioria dos operadores italianos de pequena e média capitalização que vemos ainda lê a NIS 2 através da lente do antigo perímetro NIS 1 do D.Lgs. 65/2018, em que apenas um punhado de operadores nomeados estava no âmbito. O novo decreto alarga o perímetro numa ordem de grandeza, traz administrações públicas, transporte público local e entidades de investigação, e desloca a responsabilidade para o órgão de gestão. O amministratore delegato ou legale rappresentante está pessoalmente na linha pela aprovação da gestão de risco e pela formação.
O passo prático é o mesmo de toda a UE. Confirmar o âmbito ao abrigo da diretiva e do decreto, registar-se na plataforma da ACN, estabelecer as quatro obrigações contínuas (manutenção do registo, notificação de incidentes através do CSIRT Italia, risco da cadeia de abastecimento, supervisão pelo órgão de gestão) e documentar o mínimo. Os anexos setoriais da ACN refinam o detalhe; não substituem o registo de obrigações.
Construímos o registo de obrigações NIS 2 sobre a camada da UE, não sobre qualquer transposição nacional isolada. A mesma lista de verificação serve uma filial italiana que usa o Decreto Legislativo 138/2024, uma casa-mãe alemã que usa o BSIG, uma irmã francesa que usa a Ordonnance n° 2024-1093 e uma neerlandesa que usa a Cyberbeveiligingswet. As referências de artigos mudam por localidade; as obrigações substantivas não.
Para o âmbito italiano, começa com a verificação de aplicabilidade, depois avança para a cadência de notificação de incidentes através do CSIRT Italia, as cláusulas de cadeia de abastecimento e a validação do órgão de gestão. Onde a ACN publica determinações ou anexos setoriais, referenciamo-los; não os duplicamos.
- Diretiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regulamento de Execução (UE) 2024/2690 da Comissão
- Decreto Legislativo 4 settembre 2024, n. 138, Gazzetta Ufficiale 1 ottobre 2024
- ACN, Agenzia per la Cybersicurezza Nazionale, sítio oficial (acn.gov.it)
- CSIRT Italia, equipa nacional de resposta a incidentes de segurança informática (csirt.gov.it)
- Comissão Europeia, rastreador de transposição da Diretiva NIS 2, Itália
- Banca d'Italia, autoridade competente para o DORA no setor financeiro