Statutul NIS 2 în Finlanda
Ce cere directiva, cum o implementează Finlanda și unde se situează Traficom și NCSC-FI în tablou.
Prezentare generală
Directiva NIS 2 este stratul UE. Obligă fiecare stat membru, inclusiv Finlanda, la un singur prag minim pentru entitățile esențiale și importante. Finlanda trebuie să ducă acel prag în legislația finlandeză și să ruleze supravegherea sub el.
Finlanda transpune NIS 2 prin Legea privind securitatea cibernetică (Kyberturvallisuuslaki, Legea 124/2025). Parlamentul a adoptat-o pe 11 martie 2025 și a intrat în vigoare pe 8 aprilie 2025. Aceasta este după termenul UE de 17 octombrie 2024. Pe 7 mai 2025, Comisia Europeană a trimis Finlandei și altor optsprezece state membre un aviz motivat pentru că nu au notificat transpunerea completă la timp.
Supravegherea este împărțită sector cu sector. Agenția finlandeză pentru transporturi și comunicații, Traficom, supraveghează cel mai mare grup de sectoare și găzduiește Centrul Național de Securitate Cibernetică Finlanda (NCSC-FI), care este CSIRT-ul național și punctul unic de contact în temeiul articolului 8 alineatul (3) din directivă. Alături de Traficom, Autoritatea pentru Energie (Energiavirasto), Agenția finlandeză pentru siguranță și substanțe chimice (Tukes) și alte autorități sectoriale își supraveghează propriile sectoare. Sectorul bancar și infrastructurile piețelor financiare intră sub DORA, nu sub Legea finlandeză privind securitatea cibernetică.
Directiva UE
Directiva (UE) 2022/2555 (NIS 2)
Directiva de securitate cibernetică valabilă în întreaga UE. Stabilește obligațiile pe care fiecare stat membru trebuie să le transpună, inclusiv testul de mărime și de sector pentru entitățile esențiale și importante.
Actul de punere în aplicare al UE
Regulamentul de punere în aplicare (UE) 2024/2690
Cerințe tehnice și metodologice pentru furnizorii de DNS, registrele TLD, furnizorii de cloud, centre de date și CDN, furnizorii de servicii (de securitate) gestionate, piețele online, motoarele de căutare, rețelele sociale și furnizorii de servicii de încredere. Direct aplicabil în Finlanda, fără transpunere națională.
Transpunerea finlandeză
Legea privind securitatea cibernetică 124/2025, în vigoare de la 8 aprilie 2025
Transpunerea finlandeză a NIS 2. O lege orizontală de securitate cibernetică ce consolidează obligații răspândite anterior în mai multe legi specifice sectoriale. Regulamentele și îndrumările Traficom completează detaliul operațional.
Legea privind securitatea cibernetică 124/2025
Aduce obligațiile NIS 2 în legislația finlandeză. Definește entitățile esențiale și importante, competențele de supraveghere, îndatoririle de notificare a incidentelor și sancțiunile. Detaliul operațional urmează prin regulamente și îndrumări Traficom.
Traficom și NCSC-FI
Traficom supraveghează transporturile, infrastructura digitală, gestionarea serviciilor TIC, spațiul, serviciile poștale și de curierat, furnizorii digitali, cercetarea și fabricarea de vehicule și găzduiește NCSC-FI ca CSIRT național și punct unic de contact. Celelalte sectoare revin propriilor autorități, în special Energiavirasto pentru rețelele de electricitate, termoficare și gaze și Tukes pentru petrol, depozitarea gazelor și rafinare, producția de hidrogen, substanțe chimice și o parte din producție. Sectorul bancar și infrastructurile piețelor financiare sunt acoperite de DORA.
Înregistrare și raportare
Entitățile finlandeze au trebuit să se înregistreze la supraveghetorul lor sectorial până la 8 mai 2025. Modificările datelor înregistrate trebuie raportate în două săptămâni. Incidentele semnificative urmează directiva: avertizare timpurie în 24 de ore, notificare în 72 de ore, raport final în termen de o lună. Toate notificările sunt transmise CSIRT-ului de la NCSC-FI.
Legislația finlandeză se aplică în Finlanda
Activitatea pe teritoriul finlandez urmează transpunerea finlandeză. Un Geschäftsführer german cu o filială finlandeză citește Legea privind securitatea cibernetică 124/2025 pentru acea filială, nu BSIG. Obligațiile directivei sunt identice. Procedura, supraveghetorul și sancțiunile se află în legislația finlandeză.
Finlanda nu poate coborî sub pragul minim al UE
Directiva este un instrument de armonizare minimă. Finlanda poate fi mai strictă. Finlanda nu poate coborî sub directivă, nici la îndatoririle pentru entitățile esențiale și importante, nici la termenele de raportare, nici la răspunderea organului de conducere.
Traficom
Agenția finlandeză pentru transporturi și comunicații supraveghează direct transporturile, infrastructura digitală, gestionarea serviciilor TIC, spațiul, serviciile poștale și de curierat, furnizorii digitali, cercetarea și fabricarea de vehicule și echipamente de transport, iar în temeiul unei legi separate administrația publică. Ca orice supraveghetor finlandez, ține lista entităților pentru propriile sectoare.
NCSC-FI (Kyberturvallisuuskeskus)
Centrul Național de Securitate Cibernetică din cadrul Traficom este CSIRT-ul național și punctul unic de contact în temeiul articolului 8 alineatul (3) din directivă. Un incident semnificativ se notifică legal supraveghetorului sectorial competent, care îl transmite imediat către NCSC-FI; în practică, un singur formular comun Traficom ajunge simultan la supraveghetor, la CSIRT și la punctul unic de contact.
ENISA
Agenția UE pentru securitate cibernetică. Publică îndrumări, operează baza de date europeană a vulnerabilităților și coordonează la nivel transfrontalier. Nu este un supraveghetor pentru entitățile finlandeze. Acest rol revine Traficom și autorităților sectoriale.
Finlanda implementează NIS 2 la fel ca Germania, deci putem citi BSIG.
Îndatoririle directivei sunt identice, arhitectura de supraveghere nu este. Finlanda folosește o singură lege orizontală, Legea privind securitatea cibernetică 124/2025, în loc să stratifice peste o structură federală BSI. Supravegherea este împărțită între reglementatori sectoriali, cu Traficom și NCSC-FI ca elemente de coordonare. Suprapunerea BSIG peste Finlanda greșește supraveghetorul și calea de raportare.
Nu există încă o listă oficială, deci putem aștepta.
Înregistrarea este obligatorie de la 8 aprilie 2025, iar termenul inițial a fost 8 mai 2025. Fiecare supraveghetor sectorial ține lista entităților NIS 2 din sectoarele sale. Faptul că nu ești înregistrat nu înseamnă că ești conform, înseamnă că ești invizibil pentru supraveghetor. Modificările datelor înregistrate trebuie raportate în două săptămâni (art. 3 alineatul (4) NIS 2, § 41 din Legea finlandeză).
Reglementatorul meu sectorial se ocupă de tot, NCSC-FI este doar consultativ.
Autoritatea sectorială face supravegherea și auditurile și tot la ea se notifică legal un incident semnificativ. Supraveghetorul transmite imediat fiecare notificare către CSIRT-ul de la NCSC-FI, iar în practică un singur formular comun Traficom livrează raportul simultan supraveghetorului, CSIRT-ului și punctului unic de contact. Folosiți acel formular, în loc să scrieți manual unei singure autorități.
Majoritatea operatorilor finlandezi de pe piața de mijloc pe care îi întâlnim tratează încă NIS 2 ca pe un subiect IT. Acest lucru este doar pe jumătate corect. Supravegherea și canalul de raportare se află la nivel sectorial, domeniul de aplicare este mai larg decât în vechiul regim finlandez de securitate cibernetică, iar organul de conducere (toimitusjohtaja, hallitus) poartă o responsabilitate mai grea. Organul de conducere aprobă și supraveghează procedura de management al riscurilor și trebuie să aibă o familiarizare adecvată cu managementul riscurilor de securitate cibernetică; la entitățile esențiale, încălcările grave repetate pot duce la o interdicție temporară de a face parte din consiliu.
Pasul practic este același ca peste tot în UE: rulați verificarea de aplicabilitate față de directivă, înregistrați-vă la supraveghetorul sectorial și apăreți pe lista sa de entități, configurați cele patru îndatoriri continue (mențineți datele de înregistrare la zi, raportarea incidentelor, riscul lanțului de aprovizionare, supravegherea de către organul de conducere) și documentați minimul. Folosirea formularului comun de notificare Traficom menține calea de raportare curată.
- Directiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regulamentul de punere în aplicare (UE) 2024/2690
- Legea privind securitatea cibernetică 124/2025 (Kyberturvallisuuslaki), Finlex
- Traficom, Agenția finlandeză pentru transporturi și comunicații, pagina oficială de transpunere NIS 2
- Kyberturvallisuuskeskus (NCSC-FI), CSIRT național și punct unic de contact
- Energiavirasto, supraveghetor sectorial pentru electricitate, termoficare și gaz
- Tukes (Agenția finlandeză pentru siguranță și substanțe chimice), supraveghetor sectorial pentru petrol, depozitarea gazelor, producția de hidrogen, substanțe chimice și o parte din producție
- Avizul motivat al Comisiei Europene din 7 mai 2025 privind transpunerea NIS 2
În practică
Ce schimbă legea națională și ce nu
Legea națională stabilește, printre altele, unde vă înregistrați și cui raportați incidentele. Măsurile pornesc, în fiecare stat membru, de la aceeași listă minimă (art. 21 NIS 2). Parcursul ghidat vă conduce prin ele pas cu pas:
Parcursul în sine este în germană și engleză.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Vi s-a cerut să vă ocupați de NIS2?
Vă ghidăm pas cu pas. Dumneavoastră completați, noi explicăm fiecare punct pe înțelesul tuturor, iar la final semnează conducerea.
