Stato di NIS 2 in Irlanda
Cosa richiede la direttiva, a che punto è l'Irlanda con il recepimento e chi esercita la vigilanza nel frattempo.
Panoramica
La direttiva NIS 2 si colloca a livello dell'UE. Vincola ogni Stato membro, Irlanda inclusa, a un'unica soglia di obblighi per i soggetti essenziali e importanti. L'Irlanda deve tradurre quella soglia nel diritto irlandese e istituire una vigilanza sotto di essa.
L'Irlanda ha mancato la scadenza di recepimento del 17 ottobre 2024. Il General Scheme del National Cyber Security Bill 2024 è stato pubblicato il 30 agosto 2024. All'inizio di ottobre 2026 nessun National Cyber Security Bill è stato presentato all'Oireachtas. L'8 luglio 2026 la Commissione europea ha deferito l'Irlanda, insieme a Spagna, Francia e Paesi Bassi, alla Corte di giustizia dell'UE e ha chiesto alla Corte di imporre una somma forfettaria e penalità giornaliere finché l'Irlanda non notifichi il recepimento completo. Finché la legge non è in vigore, il recepimento NIS 1 dell'Irlanda (le European Union (Measures for a High Common Level of Security of Network and Information Systems) Regulations 2018, S.I. No. 360/2018) continua ad applicarsi.
Il National Cyber Security Centre (NCSC-IE) è il CSIRT nazionale. Ai sensi del General Scheme deve diventare l'autorità competente capofila e il punto di contatto unico per NIS 2, accanto alle autorità competenti settoriali: la CRU per energia, acqua potabile e acque reflue, ComReg per infrastruttura digitale, gestione dei servizi ICT, spazio e fornitori digitali, la Central Bank of Ireland per le banche e le infrastrutture dei mercati finanziari (dove DORA si applica come lex specialis), e altre autorità per trasporti e sanità. Dal 1° giugno 2025 l'NCSC e le funzioni NIS appartengono al Department of Justice, Home Affairs and Migration, che le ha rilevate dal Department of the Environment, Climate and Communications.
Direttiva dell'UE
Direttiva (UE) 2022/2555 (NIS 2)
La direttiva di cybersicurezza dell'UE. Fissa gli obblighi che ogni Stato membro deve recepire, compreso il test dimensionale e settoriale per i soggetti essenziali e importanti. Si applica all'Irlanda indipendentemente dallo stato del recepimento nazionale.
Atto di esecuzione dell'UE
Regolamento di esecuzione (UE) 2024/2690
Requisiti tecnici e metodologici per i fornitori DNS, i registri TLD, i fornitori di cloud, data center e CDN, i fornitori di servizi gestiti (di sicurezza), i mercati online, i motori di ricerca, i social network e i prestatori di servizi fiduciari. Direttamente applicabile in Irlanda, senza necessità di recepimento nazionale.
Recepimento irlandese
General Scheme del National Cyber Security Bill 2024 (bozza); fino all'emanazione: S.I. No. 360/2018 (NIS 1)
Il governo ha approvato la redazione prioritaria il 24 luglio 2024 e ha pubblicato il General Scheme il 30 agosto 2024. Nessun disegno di legge è stato ancora presentato all'Oireachtas. Il disegno di legge e i regolamenti secondari che seguiranno conterranno il dettaglio operativo. Fino ad allora, il recepimento NIS 1 resta in vigore, integrato dagli orientamenti dell'NCSC-IE.
National Cyber Security Bill
Inserirà gli obblighi NIS 2 nel diritto irlandese, definirà i soggetti essenziali e importanti, stabilirà i poteri di vigilanza e di applicazione e ancorerà la notifica degli incidenti. Il dettaglio operativo sarà completato da regolamenti secondari e dagli orientamenti dell'NCSC-IE. Oggi: Heads of Bill pubblicati, testo finale non ancora emanato.
NCSC-IE come autorità competente capofila
Il National Cyber Security Centre è il CSIRT nazionale (CSIRT-IE). Ai sensi del General Scheme deve diventare l'autorità competente capofila e il punto di contatto unico per NIS 2, con regolatori settoriali come la CRU, ComReg e la Central Bank come autorità competenti per i rispettivi settori. Pubblica già orientamenti preparatori, compresa la bozza di orientamento sulle Risk Management Measures del giugno 2025, e fa riferimento al quadro belga CyFun come baseline pratica.
Registrazione e notifica
Entro il 17 aprile 2025 ogni Stato membro doveva stabilire il proprio elenco di soggetti essenziali e importanti (art. 3(3) NIS 2). L'Irlanda non ha ancora tale base giuridica, e i portali di registrazione e di notifica degli incidenti si apriranno solo quando la legge sarà in vigore. Gli incidenti significativi seguiranno poi la direttiva: preallarme entro 24 ore, notifica dell'incidente entro 72 ore, relazione finale entro un mese.
Sul territorio irlandese si applica il diritto irlandese
L'attività sul territorio irlandese segue il recepimento irlandese. Un amministratore delegato tedesco con una controllata irlandese legge l'imminente National Cyber Security Act per quella controllata, e nel frattempo le NIS 1 Regulations del 2018, non il BSIG tedesco. Gli obblighi della direttiva sono identici. Procedure, portali e sanzioni risiedono nel diritto irlandese.
L'Irlanda non può scendere sotto la soglia minima dell'UE
La direttiva è un'armonizzazione minima. L'Irlanda può essere più rigorosa. L'Irlanda non può scendere sotto la direttiva, né quanto ai doveri dei soggetti essenziali e importanti, né quanto alle scadenze di notifica, né quanto alla responsabilità dell'organo di gestione. Finché l'Irlanda non recepisce, gli obblighi della direttiva non vincolano direttamente le aziende irlandesi. Una volta in vigore, la legge non può fissare una soglia inferiore a quella della direttiva.
NCSC-IE
National Cyber Security Centre. CSIRT nazionale (CSIRT-IE) e, ai sensi del General Scheme, futura autorità competente capofila e punto di contatto unico per NIS 2. Pubblica orientamenti preparatori, aprirà i portali di registrazione e di notifica quando la legge sarà in vigore e si coordina con l'ENISA e con gli altri Stati membri.
Department of Justice, Home Affairs and Migration
Ministero capofila per il recepimento. Il 1° giugno 2025 il governo ha trasferito le funzioni di cibersicurezza, comprese quelle previste dai NIS 1 Regulations (S.I. No. 360/2018), dal Department of the Environment, Climate and Communications al Department of Justice (S.I. No. 234/2025). L'NCSC è un braccio operativo di questo ministero. Il General Scheme del National Cyber Security Bill 2024 è pubblicato; il disegno di legge stesso non è stato ancora presentato all'Oireachtas.
ENISA
L'agenzia dell'UE per la cybersicurezza. Pubblica orientamenti, gestisce la banca dati europea delle vulnerabilità e coordina a livello transfrontaliero. Non è un supervisore per i soggetti irlandesi. Ai sensi del General Scheme quel ruolo spetterà all'NCSC-IE e alle autorità competenti settoriali, una volta che la legge sarà in vigore.
Finché l'Irlanda non recepisce, si applicano le regole tedesche, perché la nostra capogruppo è in Germania.
No. NIS 2 segue il principio dello stabilimento. Una controllata irlandese è regolata in Irlanda, una tedesca in Germania. La capogruppo tedesca può supportare internamente la controllata irlandese, ma il dovere giuridico di registrarsi, notificare e vigilare spetta al soggetto irlandese e fa capo all'NCSC-IE una volta che la legge sarà in vigore. Fino ad allora, NIS 1 (S.I. No. 360/2018) governa per i settori già coperti.
Finché il portale non è attivo, non devo fare nulla.
Gli obblighi NIS 2 di registrazione e notifica raggiungono un'azienda irlandese solo attraverso la legge irlandese, che non è ancora in vigore. Fino ad allora, NIS 1 (S.I. No. 360/2018) si applica agli operatori di servizi essenziali già designati ai sensi di essa. Prepararsi conviene comunque: la gestione del rischio, un processo per gli incidenti, le clausole sulla catena di fornitura e la formazione dell'organo di gestione richiedono mesi per essere messi in piedi, e la legge fisserà la scadenza di registrazione una volta che l'NCSC-IE aprirà il portale.
Solo i vecchi OES di NIS 1 sono catturati da NIS 2.
No. NIS 2 amplia sostanzialmente il catalogo settoriale e dimensionale. Gli operatori di servizi essenziali (OES) ai sensi di NIS 1 sono di solito ancora catturati da NIS 2, ma il perimetro è più ampio e ora distingue tra soggetti essenziali e importanti. I soggetti medi e grandi elencati negli Allegati I e II della direttiva rientrano nell'ambito, così come alcuni piccoli prestatori con un ruolo particolare, oltre a parti della pubblica amministrazione.
La maggior parte degli operatori irlandesi di fascia media che incontriamo tratta NIS 2 come una scadenza rinviata e aspetta il National Cyber Security Bill. Dal punto di vista giuridico, per ora è così: una direttiva vincola lo Stato, non l'azienda, quindi finché la legge non è in vigore si applicano solo i NIS 1 Regulations, e solo agli operatori già designati ai sensi di essi. In pratica il lavoro richiede mesi, quindi chi inizia ora si presenta alla legge con la documentazione già pronta.
Il passo pratico è lo stesso di ovunque nell'UE: esegui il test di applicabilità rispetto alla direttiva, usa gli orientamenti preparatori dell'NCSC-IE (la bozza delle Risk Management Measures, CyFun) come orientamento, imposta i quattro doveri continuativi (mantenere aggiornati i dati di registrazione, notifica degli incidenti, rischio della catena di fornitura, supervisione da parte dell'organo di gestione) e documenta il minimo. Una volta che la legge sarà in vigore, il lavoro residuo consiste perlopiù nell'inserire la documentazione completata nelle procedure irlandesi.
- Direttiva (UE) 2022/2555 (NIS 2): EUR-Lex
- Regolamento di esecuzione (UE) 2024/2690
- General Scheme del National Cyber Security Bill 2024: Department of Justice, Home Affairs and Migration (gov.ie)
- European Union (Measures for a High Common Level of Security of Network and Information Systems) Regulations 2018 (S.I. No. 360/2018): Irish Statute Book
- NCSC-IE: National Cyber Security Centre, stato e orientamenti su NIS 2 (ncsc.gov.ie)
- NCSC-IE: Draft Risk Management Measures Guidance (giugno 2025)
- ComReg: ai sensi del General Scheme, autorità competente per infrastruttura digitale, gestione dei servizi ICT, spazio e fornitori digitali
- Central Bank of Ireland: autorità competente per DORA nel settore finanziario
- S.I. No. 234/2025, Cyber Security (Transfer of Departmental Administration and Ministerial Functions) Order 2025: Irish Statute Book
- Commissione europea, 8 luglio 2026: la Commissione deferisce Irlanda, Spagna, Francia e Paesi Bassi alla Corte di giustizia (digital-strategy.ec.europa.eu)
In pratica
Cosa cambia la legge nazionale, e cosa no
La legge nazionale stabilisce, tra l'altro, dove ti registri e a chi notifichi gli incidenti. Le misure partono dallo stesso elenco minimo in ogni Stato membro (art. 21 NIS 2). Il percorso guidato te le fa affrontare un passo alla volta:
Il percorso è in tedesco e in inglese.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
