Stato della NIS 2 in Belgio
Cosa richiede la direttiva, come il Belgio la recepisce e dove si colloca il CCB nel quadro.
Panoramica
La direttiva NIS 2 è il livello UE. Vincola ogni Stato membro, Belgio compreso, con un'unica soglia minima di cybersicurezza per i soggetti essenziali e importanti. Il Belgio deve trasferire quella soglia nel diritto belga e gestire un regime di vigilanza sottostante.
Il Belgio recepisce la NIS 2 attraverso la legge del 26 aprile 2024 che istituisce un quadro per la cybersicurezza delle reti e dei sistemi informativi di interesse generale per la sicurezza pubblica. La legge è stata pubblicata nel Moniteur belge / Belgisch Staatsblad il 17 maggio 2024 ed è entrata in vigore il 18 ottobre 2024, insieme a un decreto reale che completa il dettaglio operativo. Il Belgio è uno dei pochi Stati membri che ha rispettato il termine del 17 ottobre 2024 della direttiva.
Il Centre for Cybersecurity Belgium (CCB) è l'autorità competente principale. CERT.be opera come servizio all'interno del CCB. La registrazione avviene tramite il portale Safeonweb@work. Le autorità settoriali restano coinvolte dove esistono: la Banca nazionale del Belgio (NBB) per il settore finanziario, dove il DORA agisce come lex specialis, e il BIPT per l'infrastruttura digitale (esclusi i servizi fiduciari) e i servizi postali.
Direttiva UE
Direttiva (UE) 2022/2555 (NIS 2)
La direttiva UE sulla cybersicurezza. Fissa gli obblighi che ogni Stato membro deve recepire, compresi i test dimensionale e settoriale per i soggetti essenziali e importanti.
Attuazione UE
Regolamento di esecuzione (UE) 2024/2690 della Commissione
Requisiti tecnici e metodologici per i fornitori DNS, i registri TLD, i fornitori di cloud, data center e CDN, i fornitori di servizi gestiti (di sicurezza), i mercati online, i motori di ricerca, i social network e i prestatori di servizi fiduciari. Direttamente applicabile in Belgio senza recepimento nazionale.
Recepimento belga
Legge del 26 aprile 2024 (legge NIS 2)
Il recepimento belga della NIS 2, pubblicato nel Moniteur belge il 17 maggio 2024 e in vigore dal 18 ottobre 2024. Il decreto reale di attuazione del 9 giugno 2024 e gli orientamenti del CCB completano il dettaglio operativo. La legge abroga la legge del 7 aprile 2019 (il recepimento belga della NIS 1).
Legge del 26 aprile 2024
Porta gli obblighi della NIS 2 nel diritto belga. Definisce i soggetti essenziali e importanti, i poteri di vigilanza del CCB, gli obblighi di segnalazione degli incidenti e le sanzioni. La maggior parte del dettaglio operativo risiede nel decreto reale del 9 giugno 2024 e negli orientamenti del CCB.
CCB come vigilante, CERT.be come CSIRT
Il Centre for Cybersecurity Belgium gestisce vigilanza, audit e sanzioni. CERT.be opera all'interno del CCB come CSIRT nazionale per la gestione degli incidenti. Safeonweb@work è il portale rivolto al pubblico per la registrazione e gli orientamenti.
Registrazione e segnalazione
I fornitori DNS, i registri TLD, i servizi di registrazione di domini, i fornitori di cloud, data center e CDN, i fornitori di servizi gestiti (di sicurezza), i mercati online, i motori di ricerca e i social network dovevano registrarsi su Safeonweb@work entro il 18 dicembre 2024. Tutti gli altri soggetti essenziali e importanti dovevano registrarsi entro il 18 marzo 2025. Gli incidenti significativi si notificano tramite notif.safeonweb.be secondo la cadenza della direttiva: preallarme entro 24h, notifica entro 72h e relazione finale entro un mese.
Il diritto locale si applica all'interno del Belgio
Le operazioni sul territorio belga seguono il recepimento belga. Un Geschäftsführer tedesco che gestisce una controllata belga legge la legge del 26 aprile 2024 per quella controllata, non il BSIG tedesco. Gli obblighi della direttiva sono gli stessi; la procedura, il portale e le sanzioni risiedono nel diritto belga.
Il Belgio non può scendere al di sotto della soglia minima UE
La direttiva è uno strumento di armonizzazione minima. Il Belgio può essere più rigoroso, e in pratica lo è tramite il framework CyberFundamentals e il decreto reale. Non può scendere al di sotto della direttiva sugli obblighi dei soggetti essenziali e importanti, sui termini di segnalazione degli incidenti o sulla responsabilità dell'organo di gestione.
CCB
Centre for Cybersecurity Belgium, l'autorità nazionale di cybersicurezza che opera sotto il Primo ministro. Autorità competente principale per la NIS 2: vigilanza, audit, sanzioni e il portale di registrazione Safeonweb@work. Pubblica il framework CyberFundamentals. I soggetti che si sottopongono a una valutazione periodica di conformità secondo CyberFundamentals o ISO/IEC 27001 si presumono conformi alle misure di gestione del rischio della NIS 2.
CERT.be
Il Computer Security Incident Response Team nazionale. Opera come servizio all'interno del CCB anziché come agenzia separata. Gestisce le notifiche di incidente, il coordinamento tecnico e la cooperazione operativa con gli altri CSIRT dell'UE.
ENISA
L'agenzia UE per la cybersicurezza. Pubblica orientamenti, gestisce la banca dati europea delle vulnerabilità e sostiene il coordinamento transfrontaliero. Non è un vigilante per i soggetti belgi; lo è il CCB.
Il Belgio è sulla stessa tempistica della Germania.
Il Belgio ha rispettato il termine del 17 ottobre 2024. La legge del 26 aprile 2024 è stata pubblicata nel Moniteur belge il 17 maggio 2024 ed è entrata in vigore il 18 ottobre 2024, con termini di registrazione già trascorsi nel dicembre 2024 e nel marzo 2025. La Germania ha recepito più tardi: il suo nuovo BSIG si applica dal 6 dicembre 2025. Il calendario di una capogruppo tedesca non dice nulla sulla controllata belga. Il suo vigilante è attivo e una registrazione mancata è scaduta.
Non c'è ancora un portale di registrazione funzionante.
Safeonweb@work è attivo e operativo. I fornitori DNS, TLD, di registrazione di domini, di cloud, di data center, di CDN, di servizi gestiti (di sicurezza), i mercati online, i motori di ricerca e i social network dovevano registrarsi entro il 18 dicembre 2024; tutti gli altri soggetti essenziali e importanti entro il 18 marzo 2025. La registrazione tardiva è una lacuna di conformità su cui il CCB può intervenire, e i dati di registrazione devono essere mantenuti aggiornati ai sensi dell'articolo 3, paragrafo 4, della direttiva.
Rientrano nell'ambito di applicazione solo i settori che avevano già un regolatore NIS 1.
La NIS 2 amplia il perimetro ben oltre l'elenco OES della NIS 1. I nuovi settori includono le pubbliche amministrazioni, la fabbricazione, gli alimenti, i servizi postali e di corriere, la gestione dei rifiuti e i prodotti chimici, tra gli altri. Il test dimensionale si limita per impostazione predefinita alle medie e grandi imprese, ma i piccoli soggetti possono essere catturati se sono fornitori unici o se la legge li aggiunge. Il controllo di applicabilità va effettuato caso per caso.
Il Belgio è il raro paese dell'UE in cui la NIS 2 è operativa, non teorica. Il CCB è dotato di personale, il portale di registrazione funziona, il decreto reale è in vigore e il framework CyberFundamentals offre ai soggetti un percorso di attuazione concreto che, con una valutazione periodica di conformità, porta a una presunzione di conformità. Gli operatori belgi che non si sono ancora registrati non sono in anticipo sui tempi, sono in ritardo.
La mossa pratica è la stessa che ovunque nell'UE: confermare l'ambito ai sensi della direttiva, registrarsi su Safeonweb@work, predisporre i quattro obblighi continuativi (mantenimento della registrazione, segnalazione degli incidenti, rischio della catena di approvvigionamento, vigilanza dell'organo di gestione) e documentare il minimo. Il framework CyFun aiuta con i controlli sostanziali, ma non sostituisce la documentazione delle misure NIS 2 stesse.
- Direttiva (UE) 2022/2555 (NIS 2): EUR-Lex
- Regolamento di esecuzione (UE) 2024/2690 della Commissione
- Legge del 26 aprile 2024 che istituisce un quadro per la cybersicurezza delle reti e dei sistemi informativi di interesse generale per la sicurezza pubblica: Moniteur belge / Belgisch Staatsblad, 17 maggio 2024
- Decreto reale del 9 giugno 2024 di attuazione della legge NIS 2: Moniteur belge / Belgisch Staatsblad
- Centre for Cybersecurity Belgium (CCB): ccb.belgium.be
- Safeonweb@work: atwork.safeonweb.be (portale di registrazione NIS 2)
- CERT.be: CSIRT nazionale, operante all'interno del CCB
- Framework CyberFundamentals (CyFun): CCB
In pratica
Cosa cambia la legge nazionale, e cosa no
La legge nazionale stabilisce, tra l'altro, dove ti registri e a chi notifichi gli incidenti. Le misure partono dallo stesso elenco minimo in ogni Stato membro (art. 21 NIS 2). Il percorso guidato te le fa affrontare un passo alla volta:
Il percorso è in tedesco e in inglese.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
