Stato della NIS 2 in Estonia
Cosa richiede la direttiva, come l'Estonia la recepisce attraverso il Cybersecurity Act e dove si colloca RIA nel quadro.
Panoramica
La direttiva NIS 2 è il livello UE. Vincola ogni Stato membro, Estonia compresa, con un'unica soglia minima di cybersicurezza per i soggetti essenziali e importanti. L'Estonia deve trasferire quella soglia nel diritto estone e gestire un regime di vigilanza sottostante.
L'Estonia ha recepito la NIS 2 attraverso modifiche all'esistente Küberturvalisuse seadus (Cybersecurity Act) anziché con una legge del tutto nuova. Le modifiche sono state approvate dal Riigikogu nel dicembre 2025 e sono entrate in vigore il 1° gennaio 2026. Il termine di recepimento UE del 17 ottobre 2024 è stato mancato, motivo per cui la Commissione europea ha inviato all'Estonia un parere motivato nel maggio 2025.
L'Information System Authority (Riigi Infosüsteemi Amet, RIA) è l'autorità nazionale competente, il punto di contatto unico e il CSIRT. CERT-EE è l'unità di risposta agli incidenti di RIA. I fornitori già nell'ambito di applicazione al 1° gennaio 2026 dovevano trasmettere i propri dati a RIA entro tre mesi, tramite il portale statale eesti.ee.
Direttiva UE
Direttiva (UE) 2022/2555 (NIS 2)
La direttiva UE sulla cybersicurezza. Fissa gli obblighi che ogni Stato membro deve recepire, compresi i test dimensionale e settoriale per i soggetti essenziali e importanti.
Attuazione UE
Regolamento di esecuzione (UE) 2024/2690 della Commissione
Requisiti tecnici e metodologici per i fornitori DNS, i registri TLD, i fornitori di cloud, data center e CDN, i fornitori di servizi gestiti (di sicurezza), i mercati online, i motori di ricerca, i social network e i prestatori di servizi fiduciari. Direttamente applicabile in Estonia senza recepimento nazionale.
Recepimento estone
Küberturvalisuse seadus, modifiche NIS 2 in vigore dal 1° gennaio 2026
Il recepimento estone della NIS 2 è un pacchetto di modifiche all'esistente Cybersecurity Act (adottato il 10 dicembre 2025, RT I, 30.12.2025, 4), integrato da regolamenti di attuazione e orientamenti di RIA. Secondo la relazione illustrativa, il perimetro regolamentato passa da circa 3.500 a circa 6.500 soggetti, nei settori energia, trasporti, salute, infrastruttura digitale e pubblica amministrazione.
Küberturvalisuse seadus, modificato per la NIS 2
L'Estonia non ha redatto una nuova legge sulla cybersicurezza. L'esistente Cybersecurity Act è stato modificato per portare gli obblighi della NIS 2: le categorie di soggetti essenziali e importanti, i poteri di vigilanza di RIA, gli obblighi di segnalazione degli incidenti e le sanzioni. Il dettaglio operativo è completato da regolamenti di attuazione e orientamenti di RIA.
RIA come autorità competente, CERT-EE come CSIRT
RIA (Riigi Infosüsteemi Amet, l'Information System Authority) è l'autorità nazionale competente e il punto di contatto unico ai sensi della NIS 2. CERT-EE, il CSIRT nazionale, si colloca all'interno di RIA e gestisce la gestione e il coordinamento degli incidenti. I regolatori settoriali mantengono i loro ruoli esistenti dove si applica la lex specialis.
Registrazione e segnalazione
Le modifiche al Cybersecurity Act sono entrate in vigore il 1° gennaio 2026. I fornitori nell'ambito di applicazione a tale data dovevano notificare a RIA entro tre mesi. I fornitori che soddisfano i criteri in seguito hanno tre mesi da quel momento, e le modifiche vanno comunicate entro due settimane. Un membro del consiglio di amministrazione presenta la notifica su eesti.ee. I fornitori hanno tre anni dal 1° gennaio 2026 per soddisfare pienamente i requisiti. Gli incidenti significativi vanno a CERT-EE (raport.cert.ee o cert@cert.ee) secondo la cadenza della direttiva: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese.
Il diritto locale si applica all'interno dell'Estonia
Le operazioni sul territorio estone seguono il recepimento estone. Un Geschäftsführer tedesco che gestisce una controllata estone legge il Küberturvalisuse seadus per quella controllata, non il BSIG tedesco. Gli obblighi della direttiva sono gli stessi; la procedura, il portale e le sanzioni risiedono nel diritto estone e sono soggetti alla vigilanza di RIA.
L'Estonia non può scendere al di sotto della soglia minima UE
La direttiva è uno strumento di armonizzazione minima. L'Estonia può essere più rigorosa. Non può scendere al di sotto della direttiva sugli obblighi dei soggetti essenziali e importanti, sui termini di segnalazione degli incidenti o sulla responsabilità dell'organo di gestione.
RIA
Riigi Infosüsteemi Amet, l'Information System Authority. Autorità nazionale competente, punto di contatto unico e regolatore della cybersicurezza ai sensi della NIS 2. Gestisce il centro nazionale di cybersicurezza, emana orientamenti, esercita la vigilanza e coordina la risposta agli incidenti tramite CERT-EE.
CERT-EE
Il CSIRT nazionale estone, organizzativamente parte di RIA. Riceve le notifiche di incidente, coordina la risposta tra settore pubblico e operatori di infrastrutture critiche, e si connette alla rete di CSIRT dell'UE.
ENISA
L'agenzia UE per la cybersicurezza. Pubblica orientamenti, gestisce la banca dati europea delle vulnerabilità e sostiene il coordinamento transfrontaliero. Non è un vigilante per i soggetti estoni; lo è RIA.
L'Estonia è nell'UE, quindi il NIS2UmsuCG tedesco si applica anche qui.
Ogni Stato membro recepisce la direttiva nel proprio diritto. Una controllata estone segue il Küberturvalisuse seadus, sotto la vigilanza di RIA, anche se la capogruppo si trova in Germania. La segnalazione passa tramite CERT-EE, non tramite il BSI tedesco. Gli obblighi sostanziali sono allineati a livello di direttiva, ma la procedura e il vigilante sono estoni.
Non c'è un registro pubblico NIS 2 in Estonia, quindi possiamo aspettare.
Il Cybersecurity Act modificato impone ai fornitori nell'ambito di applicazione di trasmettere i propri dati a RIA: quelli nell'ambito al 1° gennaio 2026 entro tre mesi, i nuovi entranti entro tre mesi dal momento in cui soddisfano i criteri. Che un registro pubblico sia o meno visibile agli esterni è una questione distinta. Attendere fino a quando l'applicazione delle sanzioni diventa visibile è l'errore più comune.
Non siamo in un settore critico, quindi la NIS 2 non si applica.
Il perimetro della NIS 2 è più ampio del vecchio elenco OES della NIS 1. Settori come la gestione dei rifiuti, i servizi postali e di corriere, la fabbricazione di determinati prodotti, la produzione alimentare e i fornitori digitali rientrano ora nell'ambito di applicazione ai sensi dell'Allegato II se è soddisfatto il test dimensionale. Le pubbliche amministrazioni e alcuni fornitori digitali rientrano a prescindere dalla dimensione. Il controllo va effettuato rispetto all'allegato settoriale della direttiva, non rispetto alla percezione del soggetto di essere critico.
L'Estonia è entrata nella NIS 2 da una base di governo digitale elevata. RIA gestiva già il centro nazionale di cybersicurezza, CERT-EE era già operativo e il Cybersecurity Act esisteva già. Il passo della NIS 2 non è stata una nuova architettura, è stato un ambito più ampio e una governance più stretta: più settori inclusi, responsabilità dell'organo di gestione formalizzata e termini di segnalazione degli incidenti allineati alla direttiva.
La mossa pratica è la stessa che ovunque nell'UE: confermare l'ambito ai sensi della direttiva, autoregistrarsi presso RIA, predisporre i quattro obblighi continuativi (mantenimento della registrazione, segnalazione degli incidenti, rischio della catena di approvvigionamento, vigilanza dell'organo di gestione) e documentare il minimo. La base estone aiuta con la maturità tecnica, ma non sostituisce la documentazione delle misure NIS 2 stesse.
- Direttiva (UE) 2022/2555 (NIS 2): EUR-Lex
- Regolamento di esecuzione (UE) 2024/2690 della Commissione
- Küberturvalisuse seadus (Cybersecurity Act): Riigi Teataja
- Commissione europea, tracker di recepimento della direttiva NIS 2: Estonia (digital-strategy.ec.europa.eu)
- RIA: Riigi Infosüsteemi Amet, sito ufficiale (ria.ee)
- CERT-EE: CSIRT nazionale estone, all'interno di RIA
- Comunicati stampa del Riigikogu sul disegno di legge di recepimento della NIS 2
In pratica
Cosa cambia la legge nazionale, e cosa no
La legge nazionale stabilisce, tra l'altro, dove ti registri e a chi notifichi gli incidenti. Le misure partono dallo stesso elenco minimo in ogni Stato membro (art. 21 NIS 2). Il percorso guidato te le fa affrontare un passo alla volta:
Il percorso è in tedesco e in inglese.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
