NIS2 a Malta: chi rientra e cosa chiede la legge

Malta ha recepito la NIS2 con il Legal Notice 71 of 2025, il Measures for a High Common Level of Cybersecurity across the European Union (Malta) Order (S.L. 460.41), in vigore dal 23 gennaio 2026. Si applica alle organizzazioni medie e grandi dei settori della direttiva e ad alcuni soggetti a prescindere dalle dimensioni. Vigila il Critical Infrastructure Protection Department, e l'Order aggiunge obblighi che la direttiva non prevede.

Questa guida è per IT manager, CISO e responsabili compliance di gruppi italiani con società a Malta. La società maltese risponde alla legge maltese, non al D.Lgs. 138/2024: qui seguiamo il testo consolidato pubblicato su legislation.mt, con il rinvio agli articoli corrispondenti della direttiva (UE) 2022/2555.

La legge maltese, in breve

• L'atto: il Legal Notice 71 of 2025, adottato in base all'European Union Act (Cap. 460) e pubblicato nella Government Gazette l'8 aprile 2025. Oggi è la Subsidiary Legislation 460.41 e ha abrogato il precedente Measures for High Common Level of Security of Network and Information Systems Order (S.L. 460.35).
• L'entrata in vigore: l'Order entrava in vigore solo alla data fissata dal Ministro. Il Legal Notice 22 of 2026, un avviso di entrata in vigore, ha portato in vigore tutte le disposizioni il 23 gennaio 2026.
• La modifica: il Legal Notice 89 of 2026, pubblicato il 7 aprile 2026, ha spostato il CSIRT nazionale nella Malta Information Technology Agency (MITA), ha sostituito l'Advisory Board con un Enforcement Committee che irroga le sanzioni, e ha riscritto gli allegati indicando l'autorità competente per ogni settore.

Malta ha pubblicato l'Order dopo il 17 ottobre 2024, termine entro cui gli Stati membri dovevano adottare le misure di recepimento secondo l'articolo 41 della direttiva. Per chi rientra nell'ambito oggi, la data che conta è il 23 gennaio 2026.

Chi rientra nell'ambito

L'articolo 3 dell'Order segue l'articolo 2 della direttiva. Si applica ai soggetti pubblici o privati di una delle tipologie del First o del Second Schedule (l'equivalente degli allegati I e II della direttiva) che sono medie imprese o più grandi secondo la raccomandazione 2003/361/CE della Commissione, e che forniscono servizi o svolgono attività nell'Unione.

Secondo la raccomandazione, un'impresa smette di essere piccola quando ha almeno 50 dipendenti, oppure quando sia il fatturato annuo sia il totale di bilancio superano 10 milioni di euro.

Il First Schedule comprende energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi TIC (fornitori di servizi gestiti e di servizi di sicurezza gestiti), pubblica amministrazione e spazio. Il Second Schedule comprende servizi postali e di corriere, gestione dei rifiuti, sostanze chimiche, alimenti, fabbricazione (dispositivi medici, elettronica, apparecchiature elettriche, macchinari, veicoli, altri mezzi di trasporto), fornitori digitali e organizzazioni di ricerca.

Alcuni soggetti rientrano a prescindere dalle dimensioni: i fornitori di reti o servizi di comunicazione elettronica accessibili al pubblico, i prestatori di servizi fiduciari, i registri dei nomi di dominio di primo livello, i fornitori di servizi DNS e di registrazione dei nomi di dominio, gli enti dell'amministrazione centrale, i soggetti critici ai sensi della direttiva (UE) 2022/2557, e i soggetti che sono l'unico fornitore a Malta di un servizio essenziale o che l'autorità individua per la loro criticità.

Essenziale o importante

L'articolo 4 dell'Order divide i soggetti in due categorie, come l'articolo 3 della direttiva. Sono essenziali, tra gli altri, i soggetti del First Schedule che superano i massimali delle medie imprese (250 dipendenti o più, oppure fatturato oltre 50 milioni di euro insieme a un totale di bilancio oltre 43 milioni), i prestatori di servizi fiduciari qualificati, i registri dei nomi di dominio di primo livello e i fornitori di servizi DNS di qualsiasi dimensione, gli operatori di telecomunicazioni di media dimensione, i soggetti critici e gli operatori di servizi essenziali individuati prima del 16 gennaio 2023. Ogni altro soggetto in ambito è importante.

La categoria cambia la vigilanza. Sui soggetti essenziali è preventiva, con ispezioni in loco e audit periodici; sugli importanti è successiva, quando ci sono indizi di non conformità. Per l'impianto generale delle due categorie trovi il quadro completo nella guida completa alla NIS2.

Le dimensioni si contano sul gruppo

L'errore più frequente nei gruppi italiani è misurare la sola società maltese. L'articolo 6 dell'allegato alla raccomandazione aggiunge il 100% dei dati delle imprese collegate e una quota proporzionale di quelle associate. Una controllata maltese con 30 dipendenti, che fa parte di un gruppo sopra i massimali, può quindi rientrare come soggetto medio o grande. È lo stesso ragionamento che vale in Italia, spiegato in a chi si applica la NIS2.

Soggetti finanziari e DORA

Quando un atto settoriale dell'Unione prevede misure di sicurezza e notifiche degli incidenti almeno equivalenti, le relative disposizioni dell'Order non si applicano (articolo 3, comma 16, dell'Order; articolo 4 della direttiva). Il considerando 28 della direttiva indica il regolamento (UE) 2022/2554, DORA, come quell'atto per i soggetti finanziari. Una banca o un'infrastruttura dei mercati finanziari maltese coperta da DORA lavora quindi soprattutto con quel quadro: le differenze tra i due regimi sono spiegate in DORA vs NIS2.

Quale legge si applica a quale società

Secondo l'articolo 23 dell'Order e l'articolo 26 della direttiva, un soggetto rientra nella giurisdizione dello Stato membro in cui è stabilito. Un gruppo con società in Italia e a Malta ha quindi due leggi nazionali: la capogruppo e le società italiane seguono il D.Lgs. 138/2024 e l'ACN, la società maltese l'Order e le autorità maltesi. Le eccezioni sono tre. I fornitori di reti o servizi di comunicazione elettronica accessibili al pubblico rientrano nella giurisdizione dello Stato in cui forniscono i servizi; gli enti della pubblica amministrazione in quella dello Stato che li ha istituiti; i fornitori di servizi DNS, i registri dei nomi di dominio di primo livello, i fornitori di servizi di registrazione dei nomi di dominio, di cloud, di data center e di reti di distribuzione dei contenuti, i fornitori di servizi gestiti e di servizi di sicurezza gestiti e i fornitori di mercati online, motori di ricerca online e piattaforme di social network rientrano in quella dello Stato del loro stabilimento principale nell'Unione, cioè quello in cui sono prevalentemente adottate le decisioni sulle misure di gestione del rischio. Se la società maltese è un fornitore di servizi gestiti e quelle decisioni si prendono in Italia, la valutazione va fatta caso per caso.

Chi vigila

• Critical Infrastructure Protection Department (CIP Department): autorità nazionale di vigilanza e punto di contatto unico, competente per la maggior parte dei settori dei due allegati, tra cui energia, trasporti, sanità e gestione dei servizi TIC.
• Malta Communications Authority (MCA): autorità competente indicata negli allegati per le infrastrutture digitali, i servizi postali e di corriere e i fornitori digitali.
• CSIRT nazionale: istituito presso MITA dal Legal Notice 89 of 2026. Riceve le notifiche degli incidenti.
• Enforcement Committee: decide sulle sanzioni amministrative su richiesta del CIP Department o dell'autorità competente. Le sue decisioni si impugnano davanti all'Administrative Review Tribunal entro 20 giorni.

Cosa chiede l'Order

L'organo di gestione risponde

L'articolo 18 dell'Order riprende l'articolo 20 della direttiva: l'organo di gestione approva le misure di gestione del rischio, ne sovrintende l'attuazione, e i suoi componenti possono essere ritenuti responsabili delle violazioni. I componenti dell'organo di gestione seguono una formazione. Sui dipendenti il testo maltese va oltre la direttiva: i soggetti offrono una formazione analoga al personale con regolarità, mentre la direttiva chiede agli Stati solo di incoraggiarla.

Undici misure di gestione del rischio

L'articolo 19, comma 2, dell'Order prende le dieci misure dell'articolo 21, paragrafo 2, della direttiva e ne aggiunge un'undicesima. Le misure seguono un approccio multirischio e comprendono almeno:

1. politiche di analisi dei rischi e di sicurezza dei sistemi informativi;
2. gestione degli incidenti;
3. continuità operativa, come la gestione dei backup e il ripristino in caso di disastro, e gestione delle crisi;
4. sicurezza della catena di approvvigionamento, compresi i rapporti con i fornitori diretti e i fornitori di servizi;
5. sicurezza nell'acquisizione, nello sviluppo e nella manutenzione dei sistemi, compresa la gestione e la divulgazione delle vulnerabilità;
6. politiche e procedure per valutare l'efficacia delle misure;
7. pratiche di igiene informatica di base e formazione sulla sicurezza;
8. politiche sull'uso della crittografia e, ove opportuno, della cifratura;
9. sicurezza delle risorse umane, controllo degli accessi, gestione degli asset e, nel testo maltese, una politica di gestione del rischio interno (insider risk);
10. autenticazione a più fattori o continua, comunicazioni vocali, video e testuali sicure e sistemi di comunicazione di emergenza sicuri, ove opportuno;
11. registrazione e tracciabilità dei sistemi informativi e di rete (logging), che la direttiva non elenca.

Obblighi propri di Malta

Oltre alla direttiva, l'Order maltese chiede ai soggetti essenziali e importanti di:

• Nominare un security liaison officer (articolo 19, comma 1, lettera c) con le competenze necessarie, che segue i piani di continuità operativa, tiene aggiornate le valutazioni del rischio e l'operator security plan, ed è il punto di contatto con il CIP Department o con l'autorità competente.
• Ricevere servizi di monitoraggio da un CSIRT (articolo 19, comma 1, lettera d), interno oppure autonomo, cioè esternalizzato. In entrambi i casi il CSIRT rispetta i requisiti dell'articolo 9, comma 1, come disponibilità continua, sistemi ridondanti e personale formato, e svolge i compiti dell'articolo 10: monitoraggio in tempo reale o quasi reale, allerta precoce, risposta agli incidenti, analisi forense e scansione proattiva delle vulnerabilità.
• Nominare un qualified auditor (articolo 14) che verifica se le misure dell'articolo 19 sono attuate. La nomina è approvata dal CIP Department o dall'autorità competente: l'auditor dimostra indipendenza, un controllo dei precedenti, una certificazione di cybersecurity riconosciuta ed esperienza. Per i soggetti essenziali i risultati degli audit sono tra le evidenze che l'autorità può chiedere.
• Mantenere un operator security plan e piani di continuità operativa, che il CIP Department può chiedere di vedere e mettere alla prova con simulazioni.

Registrazione

I soggetti essenziali e importanti che forniscono servizi a Malta si registrano sul meccanismo nazionale di autoregistrazione del CIP Department (articolo 7, comma 4). Comunicano denominazione, il CSIRT che li monitora e se è interno o autonomo, indirizzo e recapiti compresi gli intervalli di indirizzi IP, settore e sottosettore, e gli Stati membri in cui forniscono servizi. Le variazioni si comunicano entro due settimane. I fornitori digitali come quelli di cloud e di servizi gestiti trasmettono informazioni aggiuntive secondo l'articolo 24, e comunicano le variazioni entro tre mesi.

La notifica degli incidenti

L'articolo 20 dell'Order segue l'articolo 23 della direttiva. Le notifiche degli incidenti significativi vanno al CSIRT nazionale, che informa il CIP Department e l'autorità competente. Un incidente è significativo quando ha causato o può causare una grave perturbazione operativa o perdite finanziarie per il soggetto, oppure danni materiali o immateriali considerevoli ad altri.

• Entro 24 ore dalla conoscenza: un preallarme, che indica se l'incidente può derivare da atti illegittimi o malevoli o avere un impatto transfrontaliero.
• Entro 72 ore: una notifica con una prima valutazione di gravità e impatto e, se disponibili, gli indicatori di compromissione.
• Su richiesta: una relazione intermedia sugli aggiornamenti.
• Entro un mese dalla notifica: una relazione finale con descrizione, causa, misure di mitigazione ed eventuale impatto transfrontaliero, oppure una relazione sui progressi se l'incidente è ancora in corso.

I tempi sono gli stessi della direttiva, quindi gli stessi che le società italiane del gruppo applicano verso il CSIRT Italia: le differenze stanno nel destinatario e nei canali. Il procedimento italiano è spiegato in notifica degli incidenti NIS2. Le 24 ore decorrono dalla conoscenza, quindi dipendono dalla rilevazione: è il punto in cui monitoraggio del CSIRT e notifica si incontrano.

Sanzioni e poteri dell'autorità

Per le violazioni degli articoli 19 o 20, l'articolo 32 dell'Order prevede sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale annuo totale, se superiore, per i soggetti essenziali, e fino a 7 milioni o all'1,4% per i soggetti importanti: l'articolo 34 della direttiva chiede massimali almeno pari a questi importi. L'Enforcement Committee può aggiungere una penalità giornaliera di 100 euro per ogni violazione che prosegue dopo una decisione precedente.

Verso i soggetti essenziali l'autorità ha anche poteri non pecuniari (articoli 29, comma 6, e 31, comma 10): istruzioni vincolanti, ordini di registrarsi o di ricevere servizi di monitoraggio da un CSIRT, un funzionario incaricato del monitoraggio e la richiesta di vietare temporaneamente a chi esercita le funzioni di amministratore delegato o di rappresentante legale di svolgere funzioni dirigenziali, finché le carenze non sono sanate.

Da dove partire

1. Verifica ambito e categoria con i dati di gruppo, non solo con i numeri della società maltese, e stabilisci quale legge nazionale si applica a ciascuna società.
2. Registra la società sul meccanismo di autoregistrazione del CIP Department e tieni aggiornati i dati.
3. Nomina il security liaison officer e decidi come ricevere i servizi di monitoraggio da un CSIRT, interno o autonomo.
4. Fai una gap analysis sulle undici misure dell'articolo 19, comma 2, compresi logging e rischio interno, e porta il piano all'organo di gestione per l'approvazione.
5. Scrivi la procedura sugli incidenti attorno a 24 ore, 72 ore e un mese, con il CSIRT nazionale maltese come destinatario.
6. Individua il qualified auditor e prepara le evidenze: operator security plan, piani di continuità operativa, politiche, registri della formazione.

Con le aziende del mid-market lavoriamo su questi passaggi, e nei gruppi con più sedi teniamo insieme il piano italiano e quello delle società estere. Se vuoi capire da dove cominciare nel tuo caso, trovi come lavoriamo nella pagina sulla consulenza e adeguamento NIS2.

In sintesi: a Malta la NIS2 si applica dal 23 gennaio 2026 con la S.L. 460.41. Riguarda i soggetti medi e grandi dei settori elencati, misurati con i dati di gruppo, più alcuni soggetti a prescindere dalle dimensioni. Vigila il CIP Department, il CSIRT nazionale è presso MITA, e il testo maltese aggiunge un security liaison officer, il monitoraggio da parte di un CSIRT, un qualified auditor approvato e un'undicesima misura sul logging, oltre agli obblighi di governance, gestione del rischio e notifica a 24 e 72 ore della direttiva.