Stato della NIS 2 in Austria
L'Austria recepisce la direttiva NIS 2 mediante una modifica alla legge sulla sicurezza delle reti e dei sistemi informativi (NISG). Il livello UE si applica in parallelo ed è ciò a cui i vostri obblighi in ultima analisi si riconducono.
Cosa cambia in Austria
Il punto di partenza è europeo. La direttiva (UE) 2022/2555 (NIS 2) fissa gli obblighi. Il regolamento di esecuzione (UE) 2024/2690 della Commissione rende i requisiti tecnici e metodologici per l'infrastruttura digitale, la gestione dei servizi ICT e i fornitori digitali direttamente applicabili in ogni Stato membro, senza recepimento nazionale.
L'Austria attua la direttiva modificando la sua esistente legge sulla sicurezza delle reti e dei sistemi informativi (Netz- und Informationssystemsicherheitsgesetz, NISG). Il NISG originario (BGBl I Nr. 111/2018) aveva recepito la NIS 1. La versione modificata è il veicolo per la NIS 2.
Come la maggior parte degli Stati membri dell'UE, l'Austria non ha rispettato il termine di recepimento del 17 ottobre 2024. Il processo legislativo per la modifica del NISG è in corso. Fino a quando il NISG modificato non entra in vigore, la direttiva stessa e il regolamento di esecuzione già definiscono ciò che i vigilanti e gli auditor esaminano.
Direttiva UE
Gli Stati membri adottano e pubblicano, entro il 17 ottobre 2024, le misure necessarie per conformarsi alla presente direttiva.
Direttiva (UE) 2022/2555, articolo 41. La direttiva definisce l'ambito di applicazione, gli obblighi di governance, le misure di gestione del rischio e la segnalazione degli incidenti. Gli Stati membri dovevano recepirla entro il 17 ottobre 2024.
Regolamento di esecuzione dell'UE
Il presente regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.
Regolamento di esecuzione (UE) 2024/2690 della Commissione del 17 ottobre 2024. Definisce i requisiti tecnici e metodologici per i tipi di soggetti elencati nell'Allegato I punto 8 (infrastruttura digitale), punto 6 (gestione dei servizi ICT, B2B) e nell'Allegato II punto 6 (fornitori digitali). Si applica direttamente senza recepimento austriaco.
Recepimento austriaco
Bundesgesetz, mit dem ein Netz- und Informationssystemsicherheitsgesetz erlassen wird (NISG).
L'Austria recepisce la direttiva modificando il NISG esistente. Il NISG originario (BGBl I Nr. 111/2018) aveva recepito la NIS 1. Il NISG modificato porta gli obblighi della NIS 2 nel diritto austriaco.
NISG modificato
La modifica del NISG traduce la direttiva nel diritto austriaco. Definisce le categorie di soggetti, i poteri di vigilanza, gli obblighi di registrazione, le sanzioni e il rapporto con le leggi settoriali specifiche.
Bundesministerium für Inneres (BMI)
Ai sensi del NISG esistente, il Ministero federale dell'Interno è l'autorità centrale di vigilanza per gli operatori di servizi essenziali. Il NISG modificato prosegue questo ruolo per i soggetti essenziali e importanti. Le autorità settoriali specifiche come E-Control (energia) e FMA (mercato finanziario) mantengono i loro ruoli.
Termine UE già trascorso
Il termine della direttiva era il 17 ottobre 2024. La modifica austriaca è nel processo legislativo. Una volta che il NISG modificato entra in vigore, iniziano a decorrere le finestre di registrazione e gli obblighi di segnalazione. Il regolamento di esecuzione dell'UE si applica già direttamente ai tipi di soggetti nell'ambito di applicazione.
Il dettaglio locale segue il minimo UE
La direttiva è una soglia minima. L'Austria può essere più rigorosa ma non può essere più permissiva. Se il NISG modificato tace su qualcosa che la direttiva richiede, la direttiva continua a governare l'interpretazione. Il regolamento di esecuzione si applica a prescindere dal testo nazionale.
Le leggi settoriali restano in vigore
I regimi settoriali per finanza, energia e telecomunicazioni continuano ad applicarsi. I soggetti finanziari seguono il DORA (Regolamento (UE) 2022/2554) come lex specialis per la gestione del rischio e la segnalazione degli incidenti, ma restano nell'ambito di applicazione degli obblighi di registrazione di cui all'articolo 3, paragrafo 4, NIS 2 attraverso il meccanismo del proprio Stato membro.
Bundesministerium für Inneres
Il Ministero federale dell'Interno è il vigilante NIS centrale. Registra i soggetti, esercita i poteri di vigilanza, emana disposizioni e impone sanzioni. Ai sensi del NISG esistente questo ruolo spettava al BMI; il NISG modificato mantiene la funzione centrale di vigilanza presso il BMI.
GovCERT.AT e CERT.at
L'Austria gestisce due CSIRT nazionali. GovCERT.AT, ospitato presso la Cancelleria federale, serve il settore pubblico. CERT.at, gestito da nic.at, serve il settore privato e la comunità internet in generale. Insieme coprono le funzioni di CSIRT nazionale richieste dalla direttiva.
ENISA
L'Agenzia dell'Unione europea per la cybersicurezza non esercita vigilanza. Pubblica orientamenti, l'EU Cybersecurity Index e le corrispondenze tecniche tra la NIS 2 e la ISO 27001, il NIST CSF 2.0 e altri framework. I vigilanti e gli auditor austriaci usano il materiale dell'ENISA come riferimento.
Il vecchio NISG si applica ancora, quindi nulla cambia
Il NISG originario copre solo la NIS 1. La NIS 2 amplia drasticamente l'ambito: 18 settori, definizione dell'ambito basata sulla dimensione, obblighi di registrazione, obblighi di governance per la direzione. Anche prima che il NISG modificato sia in vigore, i tipi di soggetti nell'ambito di applicazione del regolamento di esecuzione affrontano già regole direttamente applicabili.
Solo le grandi aziende rientrano nell'ambito di applicazione
La direttiva fissa la soglia minima ai soggetti di medie dimensioni ai sensi della Raccomandazione 2003/361/CE (50 o più dipendenti oppure oltre 10 milioni di EUR di fatturato e di totale di bilancio) nei settori elencati. Le regole di esclusione del massimale dimensionale di cui all'articolo 2 catturano soggetti più piccoli in casi specifici (fornitori unici, criticità, pubblica amministrazione). L'Austria può essere più rigorosa di questa soglia minima, non più permissiva.
Sono interessati solo gli operatori di infrastrutture critiche
Il modello NIS 1 dell'Austria era incentrato sugli operatori di servizi essenziali e sui fornitori di servizi digitali. La NIS 2 lo sostituisce con i soggetti essenziali e i soggetti importanti in 18 settori. Un'azienda di gestione dei rifiuti di medie dimensioni, un fabbricante di dispositivi medici o un'azienda di produzione alimentare può rientrare nell'ambito di applicazione senza mai essere etichettata come infrastruttura critica.
La maggior parte dei piccoli e medi operatori austriaci pone la stessa prima domanda: il NISG modificato è già in vigore. La risposta onesta a metà 2026 è che il processo legislativo è in corso e il termine UE è già trascorso. Questo non mette in pausa il vostro lavoro. La direttiva e il regolamento di esecuzione fissano la sostanza. Quando arriverà il NISG modificato confermerà le modalità di vigilanza.
Trattate l'insieme degli obblighi NIS 2 come il vostro documento di riferimento. Eseguite il controllo di applicabilità rispetto agli Allegati I e II della direttiva più le soglie dimensionali, non rispetto al vecchio elenco dei servizi essenziali del NISG. Quando il NISG modificato entra in vigore, la finestra di registrazione inizia a decorrere; le aziende che hanno già mappato ambito e asset sono pronte fin dal primo giorno.
- Direttiva (UE) 2022/2555 del 14 dicembre 2022 (direttiva NIS 2)
- Regolamento di esecuzione (UE) 2024/2690 della Commissione del 17 ottobre 2024
- Netz- und Informationssystemsicherheitsgesetz (NISG), BGBl I Nr. 111/2018 (recepimento originario della NIS 1)
- Parlamento austriaco: pagina del processo legislativo per la modifica del NISG (parlament.gv.at)
- Bundesministerium für Inneres (BMI), nis.gv.at
- GovCERT.AT (govcert.gv.at) e CERT.at (cert.at)
- Orientamenti di attuazione NIS 2 dell'ENISA e corrispondenze di riferimento
In pratica
Cosa cambia la legge nazionale, e cosa no
La legge nazionale stabilisce, tra l'altro, dove ti registri e a chi notifichi gli incidenti. Le misure partono dallo stesso elenco minimo in ogni Stato membro (art. 21 NIS 2). Il percorso guidato te le fa affrontare un passo alla volta:
Il percorso è in tedesco e in inglese.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
