Stato di NIS 2 in Svezia
Cosa richiede la direttiva, come la Svezia l'ha recepita in ritardo e dove si collocano l'NCSC presso FRA e il CERT-SE nel quadro.
Panoramica
La direttiva NIS 2 è il livello dell'UE. Vincola ogni Stato membro, Svezia inclusa, con un'unica soglia minima di cybersicurezza per i soggetti essenziali e importanti. La Svezia deve inserire quella soglia nel diritto svedese e gestire un regime di vigilanza sotto di essa.
La Svezia ha mancato la scadenza di recepimento dell'UE del 17 ottobre 2024. La Commissione europea ha emesso un parere motivato il 7 maggio 2025 per la mancata notifica del recepimento completo. Solo la Cybersäkerhetslagen (SFS 2025:1506), emanata l'11 dicembre 2025 e in vigore dal 15 gennaio 2026, ha infine inserito la direttiva nello statuto svedese.
Dal 1° luglio 2026 la National Defence Radio Establishment (Försvarets radioanstalt, FRA), tramite il suo National Cyber Security Centre (NCSC), è il punto di contatto unico e il CSIRT per NIS 2. L'MCF (Myndigheten för civilt försvar, in precedenza MSB) ha ricoperto questi ruoli dal 15 gennaio al 30 giugno 2026. CERT-SE resta il nome del CSIRT nazionale ed è ora parte dell'NCSC. La vigilanza è decentrata: PTS per l'infrastruttura digitale, i fornitori digitali, la gestione dei servizi ICT, i servizi postali e lo spazio; Energimyndigheten per l'energia; Transportstyrelsen per i trasporti e la fabbricazione di veicoli; Finansinspektionen per le banche e le infrastrutture dei mercati finanziari; IVO per i fornitori di assistenza sanitaria e Läkemedelsverket per il resto della sanità; Livsmedelsverket per l'acqua potabile, le acque reflue e gli alimenti; e sei consigli amministrativi di contea per rifiuti, ricerca, pubblica amministrazione, prodotti chimici e fabbricazione.
Direttiva dell'UE
Direttiva (UE) 2022/2555 (NIS 2)
La direttiva di cybersicurezza a livello UE. Fissa gli obblighi che ogni Stato membro deve recepire, compresi i test dimensionali e settoriali per i soggetti essenziali e importanti. La scadenza per il recepimento era il 17 ottobre 2024.
Attuazione dell'UE
Regolamento di esecuzione (UE) 2024/2690 della Commissione
Requisiti tecnici e metodologici per i fornitori DNS, i registri TLD, i fornitori di cloud, data center e CDN, i fornitori di servizi gestiti (di sicurezza), i mercati online, i motori di ricerca, i social network e i prestatori di servizi fiduciari. Direttamente applicabile in Svezia senza recepimento nazionale.
Recepimento svedese
Cybersäkerhetslagen (SFS 2025:1506), in vigore dal 15 gennaio 2026
Il recepimento svedese di NIS 2. Emanato l'11 dicembre 2025 sulla base della Proposition 2025/26:28 'Ett starkt skydd för nätverks- och informationssystem'. Accompagnato dalla Cybersäkerhetsförordning (SFS 2025:1507) e dalle norme emanate dalle autorità. Abroga la legge NIS 1 del 2018 (2018:1174), che continua ad applicarsi alle violazioni commesse prima del 15 gennaio 2026.
Cybersäkerhetslagen (SFS 2025:1506)
Inserisce gli obblighi NIS 2 nel diritto svedese. La Commissione aveva avviato una procedura di infrazione con un parere motivato il 7 maggio 2025. Con la Cybersäkerhetslagen, in vigore dal 15 gennaio 2026, la Svezia ha formalmente recepito. La Cybersäkerhetsförordning di accompagnamento e le norme dei regolatori settoriali completano il dettaglio operativo.
NCSC presso FRA come SPOC e CSIRT, regolatori settoriali come supervisori
La Svezia adotta un modello di vigilanza decentrato. Dal 1° luglio 2026 la FRA, tramite il suo National Cyber Security Centre (NCSC), è il punto di contatto unico e il CSIRT (CERT-SE). Prima di allora, dal 15 gennaio 2026, l'MCF ricopriva entrambi i ruoli. La vigilanza spetta alle autorità settoriali elencate nella Cybersäkerhetsförordning: PTS, Energimyndigheten, Transportstyrelsen, Finansinspektionen, IVO, Läkemedelsverket, Livsmedelsverket e sei consigli amministrativi di contea.
Registrazione e notifica
I soggetti nell'ambito di applicazione devono registrarsi presso il punto di contatto unico il prima possibile. La registrazione è stata aperta il 2 febbraio 2026. Dal 1° luglio 2026 l'indirizzo è l'NCSC presso FRA, per email a nis2anmalan@ncsc.se. Le modifiche vanno comunicate entro 14 giorni. Gli incidenti significativi si segnalano all'NCSC tramite CERT-SE su cyberportal.ncsc.se secondo la cadenza della direttiva: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese. Per i prestatori di servizi fiduciari la notifica dell'incidente è dovuta entro 24 ore.
Il diritto locale si applica all'interno della Svezia
Le operazioni sul territorio svedese seguono il recepimento svedese. Un Geschäftsführer tedesco che gestisce una controllata svedese legge la Cybersäkerhetslagen (SFS 2025:1506) per quella controllata, non il BSIG tedesco. Gli obblighi della direttiva sono gli stessi; la procedura, l'indirizzo di registrazione e le sanzioni risiedono nel diritto svedese.
La Svezia non può scendere sotto la soglia minima dell'UE
La direttiva è uno strumento di armonizzazione minima. La Svezia può andare oltre e ha usato parte di quel margine, in particolare attraverso un approccio 'all'intero soggetto' che cattura l'intera organizzazione anziché solo la parte che fornisce il servizio. La Svezia non può scendere sotto la direttiva quanto ai doveri dei soggetti essenziali e importanti, alle scadenze di notifica degli incidenti o alla responsabilità dell'organo di gestione.
NCSC presso FRA (fino al 30 giugno 2026: MCF)
Il National Cyber Security Centre presso Försvarets radioanstalt (FRA). Punto di contatto unico e CSIRT per NIS 2 dal 1° luglio 2026, e indirizzo per le registrazioni e le segnalazioni di incidenti. Dal 15 gennaio al 30 giugno 2026 questi ruoli spettavano all'MCF (Myndigheten för civilt försvar, chiamata MSB fino al 31 dicembre 2025). La vigilanza settoriale non sta qui; sta presso le autorità settoriali.
CERT-SE
Il CSIRT nazionale per la Svezia, parte del National Cyber Security Centre presso FRA dal 1° luglio 2026 (prima presso l'MCF). Riceve le segnalazioni di incidenti significativi ai sensi di NIS 2 tramite cyberportal.ncsc.se, assiste i soggetti 24 ore su 24, 7 giorni su 7, e scambia informazioni all'interno della rete CSIRT dell'UE. Raggiungibile all'indirizzo cert@cert.se.
ENISA
L'agenzia dell'UE per la cybersicurezza. Pubblica orientamenti, gestisce la banca dati europea delle vulnerabilità e supporta il coordinamento transfrontaliero. Non è un supervisore per i soggetti svedesi; lo sono le autorità settoriali.
Svezia e Germania regolano questo aspetto allo stesso modo.
Gli obblighi della direttiva sono identici, le strutture no. La Germania centralizza la vigilanza tramite il BSI ai sensi del BSIG. La Svezia ripartisce i ruoli: l'NCSC presso FRA è il punto di contatto unico e gestisce il CERT-SE, mentre la vigilanza spetta a un insieme di autorità settoriali. Una capogruppo tedesca con una controllata svedese ha bisogno dell'autorità settoriale come indirizzo di vigilanza per quella controllata, non dell'NCSC.
Finché nessuno mi contatta, sono fuori ambito.
Come la maggior parte degli Stati membri, la Svezia adotta un modello di autoclassificazione. Un soggetto che soddisfa i test dimensionali e settoriali della direttiva è un soggetto obbligato, indipendentemente dal fatto che un'autorità pubblichi un elenco. I soggetti dovevano registrarsi il prima possibile dal 2 febbraio 2026, dal 1° luglio 2026 presso l'NCSC presso FRA. L'assenza di una lettera dalle autorità non è una difesa contro le sanzioni.
Trattiamo solo con il nostro regolatore settoriale.
L'autorità settoriale è il supervisore, e l'NCSC presso FRA è sia l'indirizzo di registrazione sia, tramite il CERT-SE, il canale per gli incidenti. Nella pratica il lavoro su NIS 2 tocca entrambi: registrazione e segnalazioni di incidenti all'NCSC, vigilanza continuativa da parte di PTS, Energimyndigheten, Finansinspektionen o un'altra autorità settoriale. Trattare uno qualsiasi dei due come l'unica controparte è una lettura errata dell'architettura svedese.
La maggior parte degli operatori svedesi che incontriamo ha passato tutto il 2025 nel limbo. Fino a metà dicembre 2025 la Cybersäkerhetslagen era ferma al Riksdag come Proposition 2025/26:28 e nulla più. La conseguenza: molti amministratori delegati hanno sospeso il loro lavoro su NIS 2, per poi dover comprimere la notifica e la prima documentazione nella finestra subito dopo il 15 gennaio 2026.
La mossa pratica è la stessa di ovunque nell'UE: confermare l'ambito ai sensi della direttiva, registrarsi presso l'NCSC presso FRA, impostare i quattro obblighi continuativi (mantenimento della registrazione, notifica degli incidenti, rischio della catena di fornitura, supervisione dell'organo di gestione) e documentare il minimo. Il regolatore settoriale resta l'indirizzo di vigilanza; l'NCSC e il CERT-SE sono i canali operativi.
- Direttiva (UE) 2022/2555 (NIS 2): EUR-Lex
- Regolamento di esecuzione (UE) 2024/2690 della Commissione
- Cybersäkerhetslagen (SFS 2025:1506): Sveriges riksdag
- Proposition 2025/26:28 'Ett starkt skydd för nätverks- och informationssystem': Sveriges riksdag
- National Cyber Security Centre (NCSC) presso FRA: ncsc.se (registrazione e segnalazione di incidenti ai sensi della Cybersäkerhetslagen)
- CERT-SE: CSIRT nazionale svedese (parte dell'NCSC presso FRA dal 1° luglio 2026)
- Commissione europea: attuazione della direttiva NIS2 in Svezia (digital-strategy.ec.europa.eu)
- PTS, Energimyndigheten, Transportstyrelsen, Finansinspektionen, IVO, Livsmedelsverket: regolatori settoriali
- SFS 2026:623, modifica della Cybersäkerhetsförordning (2025:1507)
In pratica
Cosa cambia la legge nazionale, e cosa no
La legge nazionale stabilisce, tra l'altro, dove ti registri e a chi notifichi gli incidenti. Le misure partono dallo stesso elenco minimo in ogni Stato membro (art. 21 NIS 2). Il percorso guidato te le fa affrontare un passo alla volta:
Il percorso è in tedesco e in inglese.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
