Stato della NIS 2 in Finlandia
Cosa richiede la direttiva, come la Finlandia la attua e dove si collocano Traficom e NCSC-FI nel quadro.
Panoramica
La direttiva NIS 2 è il livello UE. Vincola ogni Stato membro, Finlandia compresa, a un'unica soglia minima per i soggetti essenziali e importanti. La Finlandia deve trasferire quella soglia nel diritto finlandese e gestire la vigilanza sottostante.
La Finlandia recepisce la NIS 2 attraverso il Cybersecurity Act (Kyberturvallisuuslaki, Act 124/2025). Il Parlamento lo ha approvato l'11 marzo 2025 ed è entrato in vigore l'8 aprile 2025. Ciò avviene dopo il termine UE del 17 ottobre 2024. Il 7 maggio 2025 la Commissione europea ha inviato un parere motivato alla Finlandia e ad altri diciotto Stati membri per non aver notificato in tempo il recepimento completo.
La vigilanza è ripartita settore per settore. L'Agenzia finlandese dei trasporti e delle comunicazioni, Traficom, vigila sul gruppo più ampio di settori e ospita il National Cyber Security Centre Finland (NCSC-FI), che è il CSIRT nazionale e il punto di contatto unico ai sensi dell'articolo 8, paragrafo 3, della direttiva. Accanto a Traficom, l'Autorità per l'energia (Energiavirasto), l'Agenzia finlandese per la sicurezza e le sostanze chimiche (Tukes) e altre autorità settoriali vigilano sui propri settori. Le banche e le infrastrutture dei mercati finanziari rientrano nel DORA, non nel Cybersecurity Act finlandese.
Direttiva UE
Direttiva (UE) 2022/2555 (NIS 2)
La direttiva UE sulla cybersicurezza. Fissa gli obblighi che ogni Stato membro deve recepire, compreso il test dimensionale e settoriale per i soggetti essenziali e importanti.
Atto di esecuzione dell'UE
Regolamento di esecuzione (UE) 2024/2690
Requisiti tecnici e metodologici per i fornitori DNS, i registri TLD, i fornitori di cloud, data center e CDN, i fornitori di servizi gestiti (di sicurezza), i mercati online, i motori di ricerca, i social network e i prestatori di servizi fiduciari. Direttamente applicabile in Finlandia, senza recepimento nazionale.
Recepimento finlandese
Cybersecurity Act 124/2025, in vigore dall'8 aprile 2025
Il recepimento finlandese della NIS 2. Una legge orizzontale sulla cybersicurezza che consolida obblighi precedentemente distribuiti in diverse leggi settoriali specifiche. Regolamenti e orientamenti di Traficom completano il dettaglio operativo.
Cybersecurity Act 124/2025
Porta gli obblighi della NIS 2 nel diritto finlandese. Definisce i soggetti essenziali e importanti, i poteri di vigilanza, gli obblighi di notifica degli incidenti e le sanzioni. Il dettaglio operativo segue tramite regolamenti e orientamenti di Traficom.
Traficom e NCSC-FI
Traficom vigila su trasporti, infrastruttura digitale, gestione dei servizi ICT, spazio, servizi postali e di corriere, fornitori digitali, ricerca e fabbricazione di veicoli, e ospita l'NCSC-FI come CSIRT nazionale e punto di contatto unico. Gli altri settori spettano alle rispettive autorità, in particolare Energiavirasto per le reti di elettricità, teleriscaldamento e gas, e Tukes per petrolio, stoccaggio del gas, raffinazione, produzione di idrogeno, prodotti chimici e parti della fabbricazione. Le banche e le infrastrutture dei mercati finanziari sono coperte dal DORA.
Registrazione e segnalazione
I soggetti finlandesi dovevano registrarsi presso il proprio vigilante settoriale entro l'8 maggio 2025. Le modifiche ai dati registrati devono essere comunicate entro due settimane. Gli incidenti significativi seguono la direttiva: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese. Tutte le notifiche sono inoltrate al CSIRT presso NCSC-FI.
Il diritto finlandese si applica in Finlandia
L'attività sul territorio finlandese segue il recepimento finlandese. Un Geschäftsführer tedesco con una controllata finlandese legge il Cybersecurity Act 124/2025 per quella controllata, non il BSIG. Gli obblighi della direttiva sono identici. La procedura, il vigilante e le sanzioni risiedono nel diritto finlandese.
La Finlandia non può scendere al di sotto della soglia minima UE
La direttiva è uno strumento di armonizzazione minima. La Finlandia può essere più rigorosa. La Finlandia non può scendere al di sotto della direttiva, né sugli obblighi per i soggetti essenziali e importanti, né sui termini di segnalazione, né sulla responsabilità dell'organo di gestione.
Traficom
L'Agenzia finlandese dei trasporti e delle comunicazioni vigila direttamente su trasporti, infrastruttura digitale, gestione dei servizi ICT, spazio, servizi postali e di corriere, fornitori digitali, ricerca e fabbricazione di veicoli e attrezzature di trasporto, e, in base a una legge separata, sulla pubblica amministrazione. Come ogni vigilante finlandese, tiene l'elenco dei soggetti per i propri settori.
NCSC-FI (Kyberturvallisuuskeskus)
Il National Cyber Security Centre all'interno di Traficom è il CSIRT nazionale e il punto di contatto unico ai sensi dell'articolo 8, paragrafo 3, della direttiva. Un incidente significativo si notifica giuridicamente al vigilante settoriale competente, che lo inoltra immediatamente all'NCSC-FI; in pratica un unico modulo Traficom condiviso raggiunge in una volta il vigilante, il CSIRT e il punto di contatto unico.
ENISA
L'agenzia UE per la cybersicurezza. Pubblica orientamenti, gestisce la banca dati europea delle vulnerabilità e coordina a livello transfrontaliero. Non è un vigilante per i soggetti finlandesi. Quel ruolo spetta a Traficom e alle autorità settoriali.
La Finlandia attua la NIS 2 nello stesso modo della Germania, quindi possiamo leggere il BSIG.
Gli obblighi della direttiva sono identici, l'architettura di vigilanza no. La Finlandia usa un'unica legge orizzontale, il Cybersecurity Act 124/2025, anziché stratificarsi sopra una struttura federale del BSI. La vigilanza è ripartita tra i regolatori settoriali con Traficom e NCSC-FI a coordinare. Mappare il BSIG sulla Finlandia sbaglia il vigilante e il percorso di segnalazione.
Non c'è ancora un elenco ufficiale, quindi possiamo aspettare.
La registrazione è obbligatoria dall'8 aprile 2025, e il termine iniziale era l'8 maggio 2025. Ogni vigilante settoriale tiene l'elenco dei soggetti NIS 2 nei propri settori. Non essere registrati non significa essere conformi, significa essere invisibili al vigilante. Le modifiche ai dati registrati vanno comunicate entro due settimane (art. 3(4) NIS 2, § 41 della legge finlandese).
Il mio regolatore settoriale gestisce tutto, NCSC-FI è solo consultivo.
L'autorità settoriale svolge vigilanza e audit, ed è anche il luogo in cui un incidente significativo si notifica giuridicamente. Il vigilante inoltra immediatamente ogni notifica al CSIRT presso l'NCSC-FI, e in pratica un unico modulo Traficom condiviso consegna la segnalazione in una volta al vigilante, al CSIRT e al punto di contatto unico. Usate quel modulo invece di scrivere a mano a un'unica autorità.
La maggior parte degli operatori finlandesi di fascia media che incontriamo tratta ancora la NIS 2 come un tema IT. Questo è vero solo a metà. La vigilanza e il canale di segnalazione si collocano a livello settoriale, l'ambito è più ampio rispetto al vecchio regime finlandese di cybersicurezza e l'organo di gestione (toimitusjohtaja, hallitus) porta una responsabilità più pesante. L'organo di gestione approva e sorveglia la procedura di gestione del rischio e deve avere una familiarità adeguata con la gestione del rischio di cybersicurezza; presso i soggetti essenziali, violazioni gravi ripetute possono portare a un divieto temporaneo di far parte del consiglio.
Il passo pratico è lo stesso che in tutta l'UE: eseguire il controllo di applicabilità rispetto alla direttiva, registrarsi presso il vigilante settoriale e comparire sul suo elenco dei soggetti, predisporre i quattro obblighi continuativi (mantenere aggiornati i dati di registrazione, segnalazione degli incidenti, rischio della catena di approvvigionamento, vigilanza da parte dell'organo di gestione) e documentare il minimo. Usare il modulo di notifica Traficom condiviso mantiene pulito il percorso di segnalazione.
- Direttiva (UE) 2022/2555 (NIS 2): EUR-Lex
- Regolamento di esecuzione (UE) 2024/2690
- Cybersecurity Act 124/2025 (Kyberturvallisuuslaki): Finlex
- Traficom: Agenzia finlandese dei trasporti e delle comunicazioni, pagina ufficiale di recepimento della NIS 2
- Kyberturvallisuuskeskus (NCSC-FI): CSIRT nazionale e punto di contatto unico
- Energiavirasto: vigilante settoriale per elettricità, teleriscaldamento e gas
- Tukes (Agenzia finlandese per la sicurezza e le sostanze chimiche): vigilante settoriale per petrolio, stoccaggio del gas, produzione di idrogeno, prodotti chimici e parti della fabbricazione
- Parere motivato della Commissione europea del 7 maggio 2025 sul recepimento della NIS 2
In pratica
Cosa cambia la legge nazionale, e cosa no
La legge nazionale stabilisce, tra l'altro, dove ti registri e a chi notifichi gli incidenti. Le misure partono dallo stesso elenco minimo in ogni Stato membro (art. 21 NIS 2). Il percorso guidato te le fa affrontare un passo alla volta:
Il percorso è in tedesco e in inglese.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
