Minn Tom Meevis, avukat f’ Law & More
Iċ-ċibersigurtà m'għadhiex kwistjoni purament teknika. Hija wkoll kwistjoni legali u ta' governanza li taffettwa kważi kull organizzazzjoni ta' kwalunkwe daqs.
Bid-Direttiva Ewropea NIS2 u l-Att Olandiż dwar iċ-Ċibersigurtà, ir-responsabbiltà għar-reżiljenza diġitali tgħaddi b'mod sod għall-bord maniġerjali. L-Att Olandiż dwar iċ-Ċibersigurtà jidħol fis-seħħ fil-15 ta' Awwissu 2026. Għalhekk, is-sidien tan-negozji, id-diretturi u l-uffiċjali tal-konformità jridu jistabbilixxu fi żmien qasir:
- jekk l-organizzazzjoni tagħhom taqax fl-ambitu tar-regoli l-ġodda;
- liema obbligi jsegwu minnhom;
- liema miżuri huma meħtieġa;
- u kif l-organizzazzjoni tista’ tissodisfa dawk l-obbligi.
Dan l-artikolu jistabbilixxi l-elementi ewlenin tal-NIS2 u l-Att Olandiż dwar iċ-Ċibersigurtà: l-ambitu, id-dmir ta’ attenzjoni, id-dmir ta’ notifika, ir-responsabbiltà tal-bord, l-infurzar, u l-passi li l-organizzazzjonijiet jistgħu jieħdu issa.
X'inhu NIS2?
NIS2 hija d-deżinjazzjoni formali tad-Direttiva (UE) 2022/2555. Din tieħu post l-ewwel direttiva Ewropea dwar is-sigurtà tan-netwerks u l-informazzjoni, ġeneralment imsejħa NIS1.
L-Istati Membri kienu meħtieġa jittrasponu l-NIS2 fil-liġi nazzjonali sas-17 ta' Ottubru 2024. Mit-18 ta' Ottubru 2024, l-NIS2 formalment issostitwiet id-direttiva preċedenti.
L-għan tiegħu huwa li jgħolli u jallinja aħjar il-livell ta’ reżiljenza ċibernetika fl-Unjoni Ewropea. Dan jimxi fuq żewġ linji ewlenin. L-ewwel, ambitu usa’: ħafna aktar organizzazzjonijiet jaqgħu taħt ir-regoli milli taħt in-NIS1. It-tieni, superviżjoni aktar stretta u infurzar aktar strett, b’sett ta’ għodod usa’ u responsabbiltajiet aktar ċari għad-diretturi.
Fejn l-NIS1 kienet tiddistingwi bejn operaturi ta’ servizzi essenzjali u fornituri ta’ servizzi diġitali, l-NIS2 taħdem ma’ entitajiet essenzjali u entitajiet importanti. Dik id-distinzjoni mhijiex sempliċement terminoloġika: fost affarijiet oħra tiddetermina l-intensità tas-superviżjoni u l-livell ta’ multi potenzjali.
Liema organizzazzjonijiet jaqgħu taħt l-NIS2?
L-NIS2 japplika għal organizzazzjonijiet attivi fi tmintax-il settur magħżul, maqsuma f'setturi ta' kritiċità għolja u setturi kritiċi oħra.
Setturi ta’ kritikalità għolja jinkludu l-enerġija, it-trasport, is-settur bankarju, l-infrastruttura tas-suq finanzjarju, il-kura tas-saħħa, l-ilma tax-xorb u l-ilma tad-drenaġġ, l-infrastruttura diġitali, il-ġestjoni tas-servizzi tal-ICT għall-utenti tan-negozju, l-amministrazzjoni pubblika u l-ispazju.
Is-setturi kritiċi l-oħra jinkludu s-servizzi postali u tal-kurrier, il-ġestjoni tal-iskart, il-kimiċi, l-ikel, il-manifattura, il-fornituri diġitali u l-istituzzjonijiet ta’ riċerka.
Il-limitu tad-daqs
F’dawn is-setturi r-regola ewlenija hija li organizzazzjoni taqa’ taħt l-NIS2 fejn tikkwalifika bħala intrapriża ta’ daqs medju jew kbira. Il-kriterji huma mill-inqas 50 impjegat, jew fatturat annwali jew total tal-karta tal-bilanċ li jaqbeż l-EUR 10 miljun.
Hemm eċċezzjonijiet għal din ir-regola ewlenija. Ċerti organizzazzjonijiet jaqgħu taħt il-kamp ta' applikazzjoni irrispettivament mid-daqs, għaliex is-servizzi tagħhom huma meqjusa bħala partikolarment kritiċi:
- fornituri ta’ netwerks u servizzi pubbliċi ta’ komunikazzjonijiet elettroniċi;
- fornituri ta’ servizzi ta’ fiduċja;
- fornituri ta’ servizzi ta’ reġistrazzjoni ta’ ismijiet ta’ dominji;
- reġistri ta' ismijiet ta' dominji tal-ogħla livell;
- korpi tas-settur pubbliku.
Mill-15 ta' Awwissu 2026, l-obbligi l-ġodda japplikaw għal aktar minn 8,000 organizzazzjoni fl-Olanda. Din hija espansjoni konsiderevoli meta mqabbla man-numru kopert mill-Att attwali dwar is-Sigurtà tan-Netwerks u s-Sistemi tal-Informazzjoni.
Organizzazzjonijiet li qabel ma kinux iqisu lilhom infushom bħala parti minn settur kritiku jistgħu għalhekk jinqabdu, inklużi manifatturi ta’ daqs medju, produtturi tal-ikel, istituzzjonijiet ta’ riċerka u fornituri ta’ servizzi diġitali. Importanti, l-organizzazzjonijiet huma stess responsabbli biex jivvalutaw jekk jaqgħux fl-ambitu. L-ebda ittra mingħand superviżur ma tasal biex tgħidilhom dan.
Id-dmir ta’ kura: liema miżuri huma meħtieġa?
Il-qalba tal-NIS2 u l-Att dwar iċ-Ċibersigurtà Olandiż hija d-dmir tal-kura. Entitajiet essenzjali u importanti għandhom jieħdu miżuri tekniċi, operattivi u organizzattivi xierqa u proporzjonati biex jimmaniġġjaw ir-riskji għan-netwerk u s-sistemi tal-informazzjoni tagħhom.
Ir-regoli jidentifikaw is-suġġetti li l-politika trid tindirizza fi kwalunkwe każ:
- analiżi tar-riskju u politika tas-sigurtà tal-informazzjoni;
- l-immaniġġjar tal-inċidenti;
- kontinwità tan-negozju, ġestjoni tal-backup u rkupru minn diżastri;
- is-sigurtà tal-katina tal-provvista;
- l-iġjene ċibernetika u t-taħriġ tal-persunal;
- politika dwar l-immaniġġjar tal-vulnerabbiltà;
- awtentikazzjoni b'ħafna fatturi;
- komunikazzjonijiet siguri;
- kriptografija;
- valutazzjoni perjodika tal-effettività tal-miżuri.
Il-miżuri jridu jkunu proporzjonati għad-daqs tal-organizzazzjoni u r-riskji li għalihom hija attwalment esposta. Għalhekk, entità importanti iżgħar m'għandhiex għalfejn tieħu l-istess miżuri bħal entità essenzjali kbira f'settur ta' riskju għoli.
Dan ma jagħmilx id-dmir ta’ kura fakultattiv. L-organizzazzjonijiet iridu jkunu jistgħu jissostanzjaw liema riskji identifikaw, liema miżuri ħadu u għaliex dawk il-miżuri huma xierqa. Mhux biss il-miżuri nfushom, iżda wkoll il-mod kif jiġu kkunsidrati, irreġistrati u evalwati perjodikament, huwa soġġett għal superviżjoni.
Dmir ta' notifika wara inċident
Flimkien mad-dmir ta’ attenzjoni, l-NIS2 jimponi dmir ta’ notifika f’fażijiet għal inċidenti sinifikanti. Fejn inċident ikollu jew jista’ jkollu impatt sostanzjali fuq il-kontinwità tas-servizzi, japplikaw l-iskadenzi li ġejjin b’mod ġenerali:
- fi żmien 24 siegħa, twissija bikrija lit-tim nazzjonali ta' rispons għal inċidenti tas-sigurtà tal-kompjuters jew lill-awtorità kompetenti;
- fi żmien 72 siegħa, notifika formali b'valutazzjoni inizjali tas-severità u l-impatt;
- fi żmien xahar massimu, rapport finali li jiddeskrivi l-inċident, il-kawża ewlenija probabbli tiegħu, il-miżuri meħuda u kwalunkwe effett transkonfinali.
Dawn l-iskadenzi jagħmluha neċessarja li jiġu stabbiliti proċeduri ċari minn qabel. L-organizzazzjoni trid tkun taf meta inċident ikun notifikabbli, min hu awtorizzat li jinnotifika, liema informazzjoni trid tkun disponibbli, min jikkoordina, u kif il-bord u s-superviżur jiġu infurmati.
Organizzazzjoni li tipprova biss twaqqaf proċess ta’ notifika waqt inċident għandha riskju konsiderevoli li ma tkunx tista’ tirrapporta fil-ħin jew b’mod sħiħ.
Ir-responsabbiltà tal-bord
Element importanti tal-NIS2 huwa li r-responsabbiltà għall-immaniġġjar tar-riskju ċibernetiku titqiegħed espressament f'idejn il-bord tal-maniġment. Il-bord irid japprova l-miżuri ta' sigurtà, jissorvelja l-implimentazzjoni tagħhom, ikun jista' jivvaluta r-riskji ċibernetiċi tal-organizzazzjoni, u jgħaddi minn taħriġ suffiċjenti hu stess.
Għalhekk, iċ-ċibersigurtà ma tistax tibqa' titqies bħala r-responsabbiltà tad-dipartiment tal-IT biss. Hija suġġett ta' governanza li għandu jifforma parti mit-teħid regolari tad-deċiżjonijiet u l-ġestjoni tar-riskju.
Id-direttiva tindirizza wkoll espressament ir-responsabbiltà personali tal-maniġment superjuri fejn l-organizzazzjoni tonqos milli tikkonforma. Irreġistra l-involviment tal-bord kif xieraq, pereżempju billi tiddokumenta t-taħriġ li jkun sar, id-deċiżjonijiet tal-bord, il-politika approvata, il-valutazzjonijiet tar-riskju, ir-rappurtar u s-sorveljanza tal-implimentazzjoni.
L-implimentazzjoni Olandiża
L-implimentazzjoni Olandiża tal-NIS2 ġiet ittardjata sostanzjalment. L-iskadenza tat-traspożizzjoni tas-17 ta' Ottubru 2024 ma ġietx rispettata.
Fit-8 ta' Lulju 2026, il-Kummissjoni Ewropea ddeċidiet li tirreferi lill-Olanda, flimkien mal-Irlanda, Spanja u Franza, lill-Qorti tal-Ġustizzja tal-Unjoni Ewropea talli naqsu milli jinnotifikaw il-miżuri ta' traspożizzjoni. Għalhekk, l-Olanda kienet fost l-erba' pajjiżi tal-Unjoni Ewropea li waqgħu lura.
Iż-żmien huwa impressjonanti. Jum qabel, fis-7 ta' Lulju 2026, is-Senat kien approva l-Att dwar iċ-Ċibersigurtà u l-Att dwar ir-Reżiljenza tal-Entitajiet Kritiċi. Jekk il-fatt li l-Att ġie adottat qabel ma ntbagħat ir-riferiment jaffettwax l-eżitu tal-proċedimenti għad irid jara; dan għandu jiddeċiedi l-Qorti.
Iż-żewġ Atti jidħlu fis-seħħ fil-15 ta' Awwissu 2026. L-Att dwar iċ-Ċibersigurtà jimplimenta d-Direttiva NIS2; l-Att dwar ir-Reżiljenza tal-Entitajiet Kritiċi jimplimenta d-Direttiva Ewropea CER, immirata lejn ir-reżiljenza tal-infrastruttura kritika. L-organizzazzjonijiet koperti minn din tal-aħħar se jiġu nominati formalment bħala entitajiet kritiċi mill-15 ta' Awwissu 2026.
Malli jidħol fis-seħħ, l-Att dwar is-Sigurtà tan-Netwerks u s-Sistemi tal-Informazzjoni (Wbni) attwali jiskadi. Għal organizzazzjonijiet li diġà huma koperti minnu dan ifisser obbligi aktar tqal; għal organizzazzjonijiet li jidħlu fil-kamp ta' applikazzjoni għall-ewwel darba, reġim kompletament ġdid.
Reġistrazzjoni mal-NCSC
Obbligu ġdid importanti huwa r-reġistrazzjoni maċ-Ċentru Nazzjonali tas-Sigurtà Ċibernetika. Entitajiet essenzjali u importanti jridu jiddaħħlu fir-reġistru nazzjonali tal-entitajiet. Dik ir-reġistrazzjoni hija obbligatorja mill-15 ta' Awwissu 2026 u titmexxa permezz tal-portal MijnNCSC, bl-użu tal-eHerkenning għal organizzazzjonijiet ordinarji u SSOnRijk għal korpi tas-settur pubbliku. Tibdil fid-dejta rreġistrata jrid jiġi rrappurtat fi żmien erbatax-il jum.
Ir-reġistrazzjoni mhijiex sempliċement formalità amministrattiva. Ladarba jkunu rreġistrati, l-organizzazzjonijiet jistgħu jikkonnettjaw mas-servizzi tas-CSIRT tagħhom, li jipprovdi prodotti u servizzi biex iżid ir-reżiljenza kif ukoll appoġġ f'każ ta' inċident. Ipprepara r-reġistrazzjoni fi żmien tajjeb, sabiex l-implimentazzjoni ma tibdiex biss wara d-dħul fis-seħħ.
Superviżjoni u infurzar
L-Att dwar iċ-Ċibersigurtà jipprevedi reġim superviżorju differenzjat. L-entitajiet essenzjali huma soġġetti għal superviżjoni proattiva: is-superviżur jista' jiċċekkja kontinwament u fuq inizjattiva tiegħu stess, mingħajr ebda inċident jew sinjal speċifiku. L-entitajiet importanti huma soġġetti għal superviżjoni reattiva, fejn is-superviżur fil-prinċipju jaġixxi b'reazzjoni għal inċident, ilment jew sinjal konkret ieħor.
Is-superviżjoni hija maqsuma bejn diversi awtoritajiet. Mill-15 ta' Awwissu 2026, l-Awtorità Olandiża għall-Infrastruttura Diġitali tissorvelja organizzazzjonijiet f'disa' setturi; superviżuri oħra huma nnominati għal setturi oħra. Stabbilixxi liema superviżur huwa kompetenti għall-organizzazzjoni tiegħek.
Is-sett ta' għodod tal-infurzar huwa wiesa' u jinkludi:
- skenn tas-sigurtà jew awditu tas-sigurtà;
- istruzzjoni vinkolanti;
- ordni ta’ infurzar amministrattiv jew ordni soġġetta għal ħlas ta’ penali;
- il-pubblikazzjoni ta’ ksur;
- multa amministrattiva;
- għal entitajiet essenzjali: sospensjoni ta' ċertifikazzjoni, awtorizzazzjoni jew membru tal-bord.
Għal entitajiet essenzjali l-multa massima hija ta’ mill-inqas EUR 10 miljun jew 2% tal-fatturat annwali totali dinji, skont liema minnhom ikun l-ogħla. Għal entitajiet importanti hija ta’ mill-inqas EUR 7 miljun jew 1.4% tal-fatturat annwali dinji, għal darb’oħra skont liema minnhom ikun l-ogħla. Il-livell eventwali jiddependi miċ-ċirkostanzi tal-każ, inklużi n-natura, il-gravità u t-tul tal-ksur, il-grad ta’ ħtija u l-miżuri meħuda.
X'tista' tagħmel l-organizzazzjoni tiegħek issa?
- Agħmel awtovalutazzjoni. Stabbilixxi jekk l-organizzazzjoni hijiex attiva f'settur magħżul u tissodisfax il-limitu tad-daqs.
- Iddetermina l-kategorija korretta. Stabbilixxi jekk l-organizzazzjoni tikkwalifikax bħala entità essenzjali jew importanti, u liema superviżur huwa kompetenti.
- Ipprepara r-reġistrazzjoni. Iġbor id-dejta meħtieġa għar-reġistrazzjoni mal-NCSC permezz ta' MijnNCSC.
- Ittestja l-miżuri tad-dmir tal-kura. Ivvaluta l-miżuri eżistenti dwar l-analiżi tar-riskju, ir-rispons għall-inċidenti, il-kontinwità tan-negozju, is-sigurtà tal-katina tal-provvista, l-iġjene ċibernetika, il-vulnerabbiltajiet, l-awtentikazzjoni b'ħafna fatturi u l-kriptografija.
- Stabbilixxi l-proċess ta' notifika. Irreġistra min jivvaluta jekk inċident huwiex notifikabbli, min jinnotifika, u kif jintlaħqu l-iskadenzi ta' 24 siegħa, 72 siegħa u xahar.
- Involvi l-bord b'mod dimostrabbli. Irreġistra liema deċiżjonijiet ħa l-bord, liema taħriġ sar u kif qed tiġi eżerċitata s-sorveljanza tal-implimentazzjoni.
- Inkludi l-katina tal-provvista. Sehem kbir ta' vulnerabbiltajiet ma jinqalgħux fl-organizzazzjoni nnifisha iżda għand il-fornituri u l-fornituri tas-servizzi. Irrevedi l-kuntratti tiegħek dwar l-arranġamenti tas-sigurtà, id-dmirijiet tan-notifika u d-drittijiet tal-awditjar.
Fl-għeluq
L-Att dwar iċ-Ċibersigurtà u l-Att dwar ir-Reżiljenza tal-Entitajiet Kritiċi jirrappreżentaw issikkar konsiderevoli tal-obbligi taċ-ċibersigurtà. Ambitu usa', miżuri konkreti ta' dmir ta' kura, skadenzi stretti ta' notifika, responsabbiltà personali għad-diretturi u għodda sostanzjali ta' infurzar ifissru li l-organizzazzjonijiet ma jistgħux iħallu dan is-suġġett fil-ġenb. Bid-dħul fis-seħħ fil-15 ta' Awwissu 2026, il-ħin ta' tħejjija huwa qasir.
Law & More jgħin lin-negozji, lid-diretturi u lill-uffiċjali tal-konformità biex jiddeterminaw il-pożizzjoni tagħhom skont l-NIS2 u l-Att Olandiż dwar iċ-Ċibersigurtà, jistabbilixxu u jittestjaw il-miżuri ta' dmir ta' kura, iħejju r-reġistrazzjoni mal-NCSC, u jintegraw il-politika taċ-ċibersigurtà legalment.
Tixtieq li tiġi vvalutata l-pożizzjoni tal-organizzazzjoni tiegħek skont ir-regoli l-ġodda? Jekk jogħġbok ikkuntattjana għal diskussjoni mingħajr ebda obbligu.
Mistoqsijiet frekwenti
Hawn taħt inwieġbu l-mistoqsijiet li jsirulna l-aktar spiss dwar dan is-suġġett.
Meta jidħol fis-seħħ l-Att Olandiż dwar iċ-Ċibersigurtà?
Fil-15 ta' Awwissu 2026. Is-Senat approva l-Att dwar iċ-Ċibersigurtà u l-Att dwar ir-Reżiljenza tal-Entitajiet Kritiċi fis-7 ta' Lulju 2026. Malli jidħol fis-seħħ, l-Att dwar is-Sigurtà tan-Netwerks u s-Sistemi tal-Informazzjoni (Wbni) attwali jiskadi.
L-organizzazzjoni tiegħi taqa' taħt l-NIS2?
Dan jiddependi mis-settur tiegħek u mid-daqs tiegħek. L-NIS2 tkopri tmintax-il settur magħżul u, f'dawk is-setturi, bħala regola ewlenija organizzazzjonijiet b'mill-inqas 50 impjegat jew fatturat annwali jew total tal-karta tal-bilanċ li jaqbeż l-EUR 10 miljun. Ċerti partijiet huma koperti irrispettivament mid-daqs.
Se niġi nnotifikat jekk l-organizzazzjoni tiegħi tkunx fl-ambitu?
Le. L-organizzazzjonijiet huma responsabbli biex jivvalutaw jekk jaqgħux taħt l-Att dwar iċ-Ċibersigurtà. L-istennija tirriskja li l-obbligi japplikaw qabel ma tkun saret il-valutazzjoni.
X'inhi d-differenza bejn entità essenzjali u entità importanti?
Jiddetermina l-intensità tas-superviżjoni u l-livell ta’ multi potenzjali. L-entitajiet essenzjali huma soġġetti għal superviżjoni proattiva, fejn is-superviżur jista’ jivverifika fuq inizjattiva tiegħu stess. L-entitajiet importanti huma soġġetti għal superviżjoni reattiva, imqanqla minn inċident, ilment jew sinjal ieħor.
X’jinvolvi d-dmir ta’ kura?
Tieħu miżuri tekniċi, operattivi u organizzattivi xierqa u proporzjonati biex timmaniġġja r-riskji għan-netwerk u s-sistemi tal-informazzjoni tiegħek, li jkopru kwistjonijiet bħall-analiżi tar-riskju, l-immaniġġjar tal-inċidenti, il-kontinwità tan-negozju, is-sigurtà tal-katina tal-provvista, l-iġjene ċibernetika, il-vulnerabbiltajiet, l-awtentikazzjoni b'ħafna fatturi u l-kriptografija. Trid tkun tista' tissostanzja għaliex il-miżuri magħżula huma xierqa.
Liema skadenzi ta' notifika japplikaw wara inċident?
Twissija bikrija fi żmien 24 siegħa, notifika formali fi żmien 72 siegħa b'valutazzjoni inizjali tas-severità u l-impatt, u rapport finali fi żmien xahar massimu. Stabbilixxi l-proċess ta' notifika minn qabel.
L-organizzazzjoni tiegħi trid tirreġistra?
Iva. Ir-reġistrazzjoni fir-reġistru tal-entitajiet nazzjonali hija obbligatorja mill-15 ta' Awwissu 2026 u ssir permezz ta' MijnNCSC, bl-użu ta' eHerkenning jew, għal korpi tas-settur pubbliku, SSOnRijk. Il-bidliet iridu jiġu rrappurtati fi żmien erbatax-il jum. Ladarba tkun irreġistrat tista' tikkonnettja mas-servizzi tas-CSIRT tiegħek.
X'responsabbiltà hija tal-bord?
Il-bord irid japprova l-miżuri ta’ sigurtà, jissorvelja l-implimentazzjoni tagħhom, ikun jista’ jivvaluta r-riskji ċibernetiċi u jgħaddi minn taħriġ hu stess. Id-direttiva tindirizza r-responsabbiltà personali tal-maniġment superjuri għal nuqqas ta’ konformità, għalhekk irreġistra d-deċiżjonijiet, it-taħriġ u s-sorveljanza b’mod dimostrabbli.
Kemm huma għoljin il-multi?
Għal entitajiet essenzjali mill-inqas EUR 10 miljun jew 2% tal-fatturat annwali dinji; għal entitajiet importanti mill-inqas EUR 7 miljun jew 1.4%, f'kull każ liema minnhom ikun l-ogħla. Il-livell eventwali jiddependi minn fatturi li jinkludu n-natura, il-gravità u t-tul tal-ksur u l-grad ta' ħtija.
Min jissorvelja l-konformità?
Dan ivarja skont is-settur. Mill-15 ta' Awwissu 2026, l-Awtorità Olandiża għall-Infrastruttura Diġitali tissorvelja organizzazzjonijiet f'disa' setturi; superviżuri oħra huma nnominati għal setturi oħra. Stabbilixxi liema superviżur huwa kompetenti għall-organizzazzjoni tiegħek.
Għaliex l-Olanda ġiet riferuta lill-Qorti tal-Ġustizzja?
Għat-traspożizzjoni tard tal-NIS2. Fit-8 ta' Lulju 2026, il-Kummissjoni Ewropea ddeċidiet li tirreferi lin-Netherlands, flimkien mal-Irlanda, Spanja u Franza, lill-Qorti tal-Ġustizzja talli naqsu milli jinnotifikaw il-miżuri ta' traspożizzjoni. Il-fatt li l-Att dwar iċ-Ċibersigurtà ġie adottat ġurnata qabel fih innifsu ma jtemmx dawk il-proċedimenti.
Dan japplika wkoll għall-fornituri tiegħi?
Is-sigurtà tal-katina tal-provvista hija waħda mis-suġġetti tad-dmir tal-kura. Sehem kbir ta' vulnerabbiltajiet jinqalgħu mill-fornituri u l-fornituri tas-servizzi. Irrevedi l-kuntratti tiegħek dwar l-arranġamenti tas-sigurtà, id-dmirijiet ta' notifika u d-drittijiet tal-awditjar.
