Stato di NIS 2 in Lettonia
Cosa richiede la direttiva, come la Lettonia la traspone e dove si collocano il Centro nazionale per la sicurezza informatica e CERT.LV nel quadro.
Panoramica
La direttiva NIS 2 è lo strato dell'UE. Vincola ogni Stato membro, Lettonia inclusa, con un unico livello minimo per i soggetti essenziali e importanti. La Lettonia deve portare quel livello nel diritto lettone e gestire la vigilanza al di sotto di esso.
La Lettonia traspone NIS 2 attraverso la legge nazionale sulla cibersicurezza (Nacionālās kiberdrošības likums), disponibile in inglese su likumi.lv. La legge si fonda sulle strutture esistenti attorno a CERT.LV e aggiunge un dedicato Centro nazionale per la sicurezza informatica (NCSC) sotto il Ministero della difesa come autorità di vigilanza capofila per i soggetti essenziali e importanti.
La Lettonia non ha rispettato pienamente la scadenza di trasposizione dell'UE del 17 ottobre 2024. La Commissione europea ha inviato un parere motivato per trasposizione incompleta il 7 maggio 2025, secondo la pagina paese della Lettonia della Commissione. Le strutture operative (NCSC, CERT.LV, autorità settoriali) sono in essere, mentre parti della regolamentazione secondaria sono ancora in fase di completamento.
Direttiva UE
Direttiva (UE) 2022/2555 (NIS 2)
La direttiva sulla cibersicurezza a livello UE. Fissa gli obblighi che ogni Stato membro deve trasporre, inclusi i criteri di dimensione e settore per i soggetti essenziali e importanti.
Atto di esecuzione UE
Regolamento di esecuzione (UE) 2024/2690
Misure tecniche e metodologiche per i fornitori di infrastrutture digitali. Direttamente applicabile in Lettonia, senza necessità di trasposizione nazionale.
Trasposizione lettone
Legge nazionale sulla cibersicurezza (Nacionālās kiberdrošības likums)
La legge di trasposizione di NIS 2 della Lettonia. Pubblicata su likumi.lv con una traduzione in inglese. I regolamenti secondari (norme del Consiglio dei ministri) recano il dettaglio operativo. Il parere motivato della Commissione europea del 7 maggio 2025 indica che la trasposizione completa non era ancora terminata.
Legge nazionale sulla cibersicurezza
Trasferisce gli obblighi di NIS 2 nel diritto lettone. Definisce le categorie di soggetti essenziali e importanti, i poteri di vigilanza, i doveri di notifica degli incidenti e le sanzioni. I regolamenti del Consiglio dei ministri riempiono il dettaglio operativo (soglie settoriali, dati di registrazione, moduli di notifica).
NCSC e CERT.LV sotto il Ministero della difesa
Il Centro nazionale per la sicurezza informatica (NCSC) è l'autorità di vigilanza capofila per i soggetti essenziali e importanti e agisce come punto di contatto unico a livello UE. CERT.LV è il CSIRT nazionale e gestisce la risposta agli incidenti. Entrambi si collocano sotto il Ministero della difesa. L'Ufficio per la protezione della Costituzione (SAB) vigila sulle infrastrutture ICT critiche come canale separato.
Registrazione e notifica
I soggetti devono notificare all'autorità competente il proprio status entro una finestra fissa dopo aver determinato di rientrare nell'ambito (la legge fissa una finestra di notifica di un mese nel testo inglese di likumi.lv; verificate l'attuale regolamento del Consiglio dei ministri per il termine in vigore). Gli incidenti significativi seguono la direttiva: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese.
In Lettonia si applica il diritto lettone
Le attività sul territorio lettone seguono la trasposizione lettone. Un amministratore delegato tedesco con una controllata lettone legge la legge nazionale sulla cibersicurezza per quella controllata, non il BSIG. Gli obblighi di livello direttiva sono gli stessi. Procedura, autorità e sanzioni risiedono nel diritto lettone.
La Lettonia non può scendere sotto il livello minimo dell'UE
La direttiva è armonizzazione minima. La Lettonia può andare più rigida, e storicamente ha regole più severe attorno ai sistemi ICT statali e alle infrastrutture critiche. La Lettonia non può scendere sotto la direttiva, né sui doveri per i soggetti essenziali e importanti, né sulle tempistiche di notifica, né sulla responsabilità dell'organo di gestione.
Centro nazionale per la sicurezza informatica (NCSC)
Autorità competente capofila per i soggetti essenziali e importanti di NIS 2. Si colloca sotto il Ministero della difesa e agisce come punto di contatto unico della Lettonia a livello UE. Emana linee guida, riceve i dati di registrazione e gestisce la vigilanza. Le infrastrutture ICT critiche sono vigilate dall'Ufficio per la protezione della Costituzione (SAB) come canale parallelo.
CERT.LV
Il CSIRT nazionale della Lettonia sotto il Ministero della difesa. Riceve le notifiche di incidenti, coordina la risposta e gestisce la divulgazione coordinata delle vulnerabilità. Opera sulla base giuridica della legge nazionale sulla cibersicurezza. Non è l'autorità di vigilanza: l'esecuzione e le sanzioni spettano a NCSC e SAB.
ENISA
L'agenzia dell'UE per la cibersicurezza. Pubblica linee guida, gestisce la banca dati europea delle vulnerabilità e coordina a livello transfrontaliero. Nessuna vigilanza sui soggetti lettoni. Quel ruolo spetta a NCSC e CERT.LV.
La Lettonia ha fatto lo stesso della Germania, quindi deve essere in ritardo anch'essa.
La Lettonia è in una posizione diversa. La Lettonia ha adottato una legge nazionale sulla cibersicurezza e ha istituito NCSC e CERT.LV, ma la Commissione europea ha comunque inviato un parere motivato il 7 maggio 2025 per trasposizione incompleta. La Germania non ha affatto adottato la sua legge di trasposizione di NIS 2. Il testo lettone è in vigore, la lacuna è nella regolamentazione secondaria e nella piena notifica alla Commissione.
Non esiste ancora un meccanismo di registrazione lettone, quindi possiamo aspettare.
Il dovere di notificare all'autorità competente lo status di soggetto essenziale o importante risiede nella legge nazionale sulla cibersicurezza stessa. Il testo inglese di likumi.lv prevede una finestra di notifica di un mese dal momento in cui un soggetto determina di rientrare nell'ambito. I regolamenti del Consiglio dei ministri definiscono il canale e i moduli in vigore. Aspettare un portale perfetto non sospende il dovere giuridico.
Solo i soggetti del nostro settore vengono vigilati.
La Lettonia ripartisce la vigilanza: l'NCSC vigila sui soggetti essenziali e importanti di NIS 2 in tutti i settori, mentre l'Ufficio per la protezione della Costituzione vigila sulle infrastrutture ICT critiche. I regolatori settoriali mantengono il loro ruolo dove ne avevano uno (per esempio nella finanza ai sensi di DORA). Lo stesso soggetto può ricadere sotto più di un'autorità di vigilanza a seconda di ciò che gestisce.
La maggior parte degli operatori lettoni del mid-market che incontriamo tratta ancora NIS 2 come qualcosa che il Ministero della difesa gestisce per loro attraverso CERT.LV. CERT.LV è il volto amichevole, ma non è l'autorità di vigilanza. L'esecuzione e le sanzioni spettano all'NCSC per i soggetti essenziali e importanti generali, e al SAB per le infrastrutture ICT critiche. Gli organi di gestione di quei soggetti sono personalmente responsabili per l'approvazione della gestione del rischio e per ottenere la propria formazione, a livello di direttiva.
Il passo pratico è lo stesso di ovunque nell'UE: verificare l'applicabilità rispetto alla direttiva, notificare all'autorità competente entro la finestra di un mese, gestire i quattro doveri continui (mantenere aggiornati i dati di registrazione, notifica degli incidenti, rischio della catena di fornitura, vigilanza da parte dell'organo di gestione) e documentare il minimo. CERT.LV resta il partner per la gestione degli incidenti, non il luogo che decide se rientrate nell'ambito.
- Direttiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regolamento di esecuzione (UE) 2024/2690, EUR-Lex
- Legge nazionale sulla cibersicurezza (Nacionālās kiberdrošības likums), likumi.lv (traduzione in inglese)
- Commissione europea, pagina paese di NIS 2 per la Lettonia (digital-strategy.ec.europa.eu)
- Parere motivato della Commissione europea del 7 maggio 2025 sulla trasposizione incompleta
- CERT.LV, sito ufficiale (cert.lv), Ministero della difesa
- Centro nazionale per la sicurezza informatica, Ministero della difesa della Repubblica di Lettonia
In pratica
Cosa cambia la legge nazionale, e cosa no
La legge nazionale stabilisce, tra l'altro, dove ti registri e a chi notifichi gli incidenti. Le misure partono dallo stesso elenco minimo in ogni Stato membro (art. 21 NIS 2). Il percorso guidato te le fa affrontare un passo alla volta:
Il percorso è in tedesco e in inglese.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
