NIS2 a Cipro: legge nazionale, DSA e notifica in 6 ore

A Cipro la NIS2 è recepita dalla legge sulla sicurezza delle reti e dei sistemi informativi 89(I)/2020, modificata dalla legge 60(I)/2025, in vigore dalla pubblicazione nella Gazzetta ufficiale cipriota del 25 aprile 2025. La vigila la Digital Security Authority (DSA), che ospita anche il CSIRT nazionale. La differenza che pesa di più nella pratica: il preallarme per un incidente significativo va inviato alla DSA entro 6 ore, non entro 24 come prevede la direttiva.

Questo articolo è per le aziende italiane che operano a Cipro con una controllata o una sede, e che devono capire dove il testo cipriota si discosta dalla direttiva (UE) 2022/2555 e dal recepimento italiano. Per il quadro generale c'è la guida completa alla NIS2. Citiamo la versione inglese consolidata pubblicata dalla DSA, che è solo informativa: fa fede il testo greco in Gazzetta, sul quale abbiamo controllato tutti i punti chiave.

Quale legge recepisce la NIS2 a Cipro

Cipro non ha scritto un atto nuovo. Ha modificato la legge con cui aveva recepito la prima direttiva NIS, la 89(I)/2020, con la legge di modifica del 2025, numero 60(I)/2025. Secondo l'annuncio della DSA, la Camera dei Rappresentanti l'ha approvata il 10 aprile 2025. È stata pubblicata nella Gazzetta ufficiale, numero 5036, il 25 aprile 2025 e, per il suo articolo 57, è entrata in vigore con la pubblicazione, salvo una disposizione la cui decorrenza la fissa il Consiglio dei ministri.

La numerazione non coincide con quella della direttiva, e conta quando si mappano controlli ed evidenze:

• l'articolo 2A della legge cipriota fissa l'ambito di applicazione (direttiva, articolo 2);
• l'articolo 27 individua i soggetti essenziali e importanti e l'elenco tenuto dalla DSA (direttiva, articolo 3);
• l'articolo 35 elenca le misure di gestione del rischio (direttiva, articolo 21);
• l'articolo 35A riguarda la governance e gli organi di gestione (direttiva, articolo 20);
• l'articolo 35B fissa gli obblighi di notifica (direttiva, articolo 23);
• l'articolo 43A stabilisce le sanzioni amministrative (direttiva, articolo 34).

Chi vigila: la Digital Security Authority e il CSIRT-CY

La Digital Security Authority è l'autorità nazionale competente e il punto di contatto unico. È stata istituita dalla legge del 2018 sulla sicurezza delle reti e dei sistemi informativi ed è guidata dal Commissario per le comunicazioni. Il CSIRT nazionale, il CSIRT-CY, fa parte della DSA e lavora sotto le sue istruzioni e la sua vigilanza (articolo 6 della legge).

In pratica l'interlocutore è uno solo. Per l'articolo 35B i soggetti essenziali e importanti notificano gli incidenti significativi all'Autorità, che li inoltra al CSIRT nazionale appena li riceve. La direttiva lascia a ogni Stato membro la scelta tra CSIRT e autorità competente come destinatario: l'Italia ha scelto il CSIRT Italia, Cipro l'Autorità.

Chi rientra nell'ambito

L'ambito ricalca la direttiva. L'articolo 2A applica la legge ai soggetti pubblici o privati delle tipologie elencate nell'allegato I (settori ad alta criticità) e nell'allegato II (altri settori critici) che sono medie imprese o superano quelle soglie secondo la raccomandazione 2003/361/CE, e che forniscono servizi o svolgono attività nell'Unione. Alcuni sono inclusi a prescindere dalle dimensioni, come i fornitori di comunicazioni elettroniche pubbliche, i prestatori di servizi fiduciari, i servizi DNS e TLD, i soggetti critici e le amministrazioni centrali. Il ragionamento di base è lo stesso che spieghiamo in a chi si applica la NIS2.

Essenziali o importanti

L'articolo 27 divide i soggetti in ambito in due classi:

• Soggetti essenziali: tra gli altri, i soggetti dell'allegato I sopra le soglie della media impresa, i prestatori di servizi fiduciari qualificati, i registri TLD e i fornitori DNS di qualsiasi dimensione, le amministrazioni centrali e i soggetti critici.
• Soggetti importanti: i soggetti degli allegati I o II in ambito che non rientrano tra gli essenziali.

C'è una regola transitoria tutta cipriota da verificare. Le organizzazioni che la DSA aveva identificato prima del 16 gennaio 2023 come operatori di servizi essenziali o di infrastrutture critiche dell'informazione, con le decisioni del Commissario del 17 agosto 2020 e dell'8 novembre 2021, contano come soggetti essenziali. Quelle decisioni restano in vigore finché non vengono sostituite dopo una valutazione di criticità.

La differenza pratica tra le due classi è la vigilanza. Nell'annuncio sul recepimento la DSA spiega che i soggetti essenziali sono sottoposti a vigilanza piena, ex ante ed ex post, mentre gli importanti solo ex post. Gli obblighi su misure e notifiche sono gli stessi per entrambi.

L'elenco è riservato: non conviene aspettare di trovarsi dentro

La DSA redige l'elenco dei soggetti essenziali e importanti e lo rivede almeno ogni due anni. L'elenco è approvato dal Consiglio dei ministri, è riservato e non viene pubblicato in Gazzetta (articolo 27, paragrafo 7). Ogni soggetto viene poi designato con una decisione della DSA che gli viene notificata (articolo 27, paragrafo 8).

Ne seguono due conseguenze. La prima: non esiste un registro pubblico da consultare. La seconda: l'iniziativa spetta a te. Per l'articolo 27B i soggetti che rientrano nell'ambito ma non sono stati inseriti nell'elenco informano l'Autorità perché li valuti. I soggetti di nuova costituzione che potrebbero essere essenziali o importanti chiedono, per l'articolo 27A, l'indicazione della DSA sulla sicurezza fin dalla progettazione della loro infrastruttura. Per redigere l'elenco la DSA chiede a questi soggetti denominazione, indirizzo e recapiti, compresi gli intervalli di indirizzi IP, il settore e gli Stati membri in cui forniscono servizi, e ogni variazione va segnalata entro due settimane (articolo 27, paragrafo 4).

Lo strumento di autovalutazione online della DSA, attivo da aprile 2025, dà una prima indicazione sul fatto di rientrare nella NIS2. È un punto di partenza, non un parere legale.

Gruppi italiani con una società a Cipro

Per l'articolo 26 della direttiva un soggetto rientra di norma nella giurisdizione dello Stato membro in cui è stabilito. Una controllata cipriota di un gruppo italiano risponde quindi alla DSA per ciò che fa a Cipro, mentre la capogruppo, se rientra a sua volta nella NIS2, risponde all'ACN in Italia. L'eccezione principale riguarda i fornitori di cloud computing, data center, reti di distribuzione dei contenuti, servizi gestiti e servizi di sicurezza gestiti, i servizi DNS e di dominio, i mercati online, i motori di ricerca e le piattaforme di social network: per loro conta lo Stato membro dello stabilimento principale nell'Unione, cioè quello in cui si prendono prevalentemente le decisioni sulle misure di gestione del rischio. I fornitori di reti o servizi di comunicazione elettronica accessibili al pubblico rientrano invece nella giurisdizione dello Stato membro in cui forniscono i servizi.

Cosa chiede la legge

Le misure di gestione del rischio (articolo 35)

L'articolo 35 riprende l'articolo 21 della direttiva: misure proporzionate, con approccio multirischio, che comprendono almeno:

• politiche di analisi dei rischi e di sicurezza dei sistemi informativi;
• gestione degli incidenti;
• continuità operativa, backup, disaster recovery e gestione delle crisi;
• sicurezza della catena di approvvigionamento;
• sicurezza di acquisizione, sviluppo e manutenzione dei sistemi, compresa la gestione delle vulnerabilità;
• valutazione dell'efficacia delle misure;
• pratiche di igiene informatica di base e formazione sulla sicurezza;
• crittografia e, se opportuno, cifratura;
• sicurezza del personale, controllo degli accessi e gestione degli asset;
• autenticazione a più fattori o continua e comunicazioni sicure, se opportuno.

La DSA può dettagliare le misure con una propria decisione. Per i fornitori di cloud, data center, servizi gestiti e di sicurezza gestiti e gli altri fornitori digitali che elenca, il regolamento di esecuzione (UE) 2024/2690 fissa già i requisiti tecnici, e l'articolo 35, paragrafo 5, chiede alla DSA di applicare gli atti di esecuzione della Commissione.

Gli organi di gestione (articolo 35A)

L'organo di gestione approva le misure di gestione del rischio, ne sorveglia l'attuazione e può essere chiamato a rispondere delle violazioni dell'articolo 35. Sulla formazione il testo cipriota va un passo oltre la direttiva. L'articolo 20, paragrafo 2, della direttiva obbliga i membri degli organi di gestione a seguire una formazione e chiede agli Stati membri di incoraggiare i soggetti a offrirne una simile ai dipendenti. L'articolo 35A, paragrafo 3, della legge cipriota, anche nel testo greco, pone sui membri dell'organo di gestione sia l'obbligo di formarsi sia quello di offrire una formazione simile al personale, con regolarità.

La notifica degli incidenti: il preallarme in 6 ore

L'articolo 35B segue la struttura dell'articolo 23 della direttiva, con un primo passo molto più corto. Per un incidente significativo il soggetto trasmette alla DSA:

1. un preallarme entro 6 ore da quando è venuto a conoscenza dell'incidente, indicando se possibile se si sospetta un atto illecito o malevolo o un impatto transfrontaliero; la direttiva concede 24 ore;
2. una notifica dell'incidente entro 72 ore, che aggiorna il preallarme con una valutazione iniziale di gravità e impatto e, se disponibili, gli indicatori di compromissione;
3. una relazione intermedia, se la DSA la richiede;
4. una relazione finale entro un mese dalla notifica, con descrizione dettagliata, probabile causa, misure di mitigazione ed eventuale impatto transfrontaliero;
5. se l'incidente è ancora in corso a quel punto, una relazione sui progressi ogni 15 giorni, e la relazione finale entro 15 giorni dal ripristino del sistema colpito.

I prestatori di servizi fiduciari notificano entro 24 ore. Un incidente è significativo se causa, o può causare, una grave perturbazione operativa o perdite economiche per il soggetto, oppure danni materiali o immateriali considerevoli ad altri.

Per un gruppo italiano il punto da fissare è che gli orologi sono due. In Italia l'articolo 25 del D.Lgs. 138/2024 prevede la pre-notifica al CSIRT Italia entro 24 ore; a Cipro la controllata ne ha 6, verso la DSA. Un'unica procedura di gruppo tarata sulle 24 ore lascia la società cipriota fuori tempo. Il funzionamento del modello italiano è descritto in notifica degli incidenti NIS2.

La decisione 281/2026 sulle notifiche

La procedura è fissata dalla decisione sulla notifica degli incidenti del 2026, K.D.P. 281/2026, pubblicata nella Gazzetta ufficiale cipriota il 3 luglio 2026 e in vigore da quella data. Sostituisce la decisione del 2022 sulla stessa materia e aggiunge alcuni punti operativi:

• le notifiche usano il modulo dell'allegato II della decisione e si inviano per via elettronica su una piattaforma che la DSA metterà in funzione; se la piattaforma non è utilizzabile, il modulo si trasmette con modalità concordate con la DSA;
• senza ingiustificato ritardo significa il prima possibile: il soggetto in grado di notificare non aspetta il limite delle 6 ore, e procedure interne o obblighi contrattuali non giustificano un ritardo;
• i soggetti comunicano alla DSA nome, telefono fisso e cellulare reperibili 24 ore su 24 e indirizzo email delle persone incaricate delle notifiche, entro 20 giorni lavorativi dall'entrata in vigore della decisione o dalla propria designazione, e segnalano le variazioni entro 10 giorni lavorativi;
• le informazioni relative a una notifica si conservano per 24 mesi dalla relazione finale.

Sei ore sono abbastanza poche da dettare l'organizzazione. Qualcuno deve rilevare l'evento, valutare se è significativo e inviare il preallarme, anche di notte e nel fine settimana. Funziona solo se monitoraggio continuo, criteri di gravità e nome di chi firma la notifica sono decisi prima dell'incidente, non durante.

Vigilanza e sanzioni

L'articolo 43A recepisce i massimali della direttiva. Per le violazioni degli articoli 35 o 35B:

• soggetti essenziali: sanzioni fino ad almeno 10 milioni di euro o al 2% del fatturato mondiale annuo totale dell'impresa nell'esercizio precedente, se superiore;
• soggetti importanti: fino ad almeno 7 milioni di euro o all'1,4% dello stesso fatturato, se superiore.

La legge cipriota mantiene anche reati penali (articolo 44). Il soggetto essenziale o importante che non notifica senza ingiustificato ritardo un incidente con grave impatto sulla continuità dei suoi servizi essenziali rischia, in caso di condanna, la reclusione fino a due anni, una multa fino a 10.000 euro o entrambe. Non adottare misure di gestione del rischio adeguate e proporzionate comporta fino a tre anni di reclusione, una multa fino a 15.000 euro o entrambe.

Una voce di costo è ancora in via di definizione. Per l'articolo 11 la DSA è finanziata dai soggetti essenziali e importanti con contributi fissati da un regolamento. Una bozza del nuovo regolamento sui contributi, destinata a sostituire quello del 2020, è stata messa in consultazione pubblica a gennaio 2026.

Soggetti finanziari: prima viene il DORA

Banche, imprese di investimento, istituti di pagamento e di moneta elettronica e gli altri soggetti finanziari coperti dal regolamento (UE) 2022/2554 seguono il DORA per gestione del rischio ICT, notifica degli incidenti e test di resilienza. Il considerando 28 della direttiva NIS2 indica il DORA come atto settoriale per i soggetti finanziari, e l'articolo 2A, paragrafo 9, della legge cipriota si fa da parte quando un atto settoriale ha effetto almeno equivalente. Il rapporto tra le due norme è spiegato in DORA e NIS2: le differenze.

Da dove partire

1. Verifica l'ambito della società cipriota. Settore e sottosettore negli allegati I o II, dimensione secondo la raccomandazione 2003/361/CE, eventuali regole indipendenti dalle dimensioni. Se rientra e la DSA non si è fatta sentire, informala come prevede l'articolo 27B.
2. Costruisci la catena di notifica locale. Chi decide che un incidente è significativo, chi invia il preallarme in 6 ore, e i recapiti 24 ore su 24 da depositare secondo la decisione 281/2026.
3. Fai una gap analysis sulle dieci misure dell'articolo 35, mappate su un framework verificabile come la ISO/IEC 27001, e riusa ciò che il gruppo ha già costruito per la NIS2 in Italia.
4. Informa e forma l'organo di gestione della controllata, e pianifica la formazione periodica del personale che l'articolo 35A, paragrafo 3, richiede.
5. Rivedi i fornitori. Contratti, clausole di sicurezza e informazioni sugli incidenti che ti servono da loro per notificare entro 6 ore.

Se vuoi un secondo parere sull'ambito della società cipriota, sulla catena di notifica in 6 ore o sulla gap analysis, trovi come lavoriamo nella pagina NIS2 di AmagisTech.