Direttiva (UE) 2022/2555 · Capo I
Articolo 4
Atti giuridici settoriali dell'Unione
Sintesi Articolo 4
L'articolo regola il concorso con gli atti settoriali dell'Unione. Se una normativa di settore impone ai soggetti obblighi di gestione del rischio o di segnalazione di effetto almeno equivalente a quelli della NIS2, si applicano le disposizioni settoriali e le corrispondenti previsioni della direttiva non trovano applicazione.
La valutazione di equivalenza va fatta in concreto, verificando che le misure settoriali coprano davvero il medesimo perimetro di requisiti e che l'accesso di autorità e CSIRT alle informazioni sugli incidenti sia garantito. È il meccanismo che consente, ad esempio, l'articolazione tra NIS2 e regolamento DORA per il settore finanziario.
Per gli operatori attivi in comparti regolati la conseguenza pratica è di dover mappare gli obblighi su due assi, generale e settoriale, evitando sia duplicazioni sia lacune. La Commissione fornisce orientamenti sull'applicazione di questa clausola.
Sintesi editoriale a finalità informativa: non sostituisce il testo ufficiale.
Testo ufficiale
Fonte: EUR-Lex.
1. Qualora gli atti giuridici settoriali dell'Unione facciano obbligo ai soggetti essenziali o importanti di adottare misure di gestione dei rischi di cibersicurezza o di notificare gli incidenti significativi, nella misura in cui gli effetti di tali obblighi siano almeno equivalenti a quelli degli obblighi di cui alla presente direttiva, a tali soggetti non si applicano le pertinenti disposizioni della presente direttiva, comprese le disposizioni relative alla vigilanza e all'esecuzione di cui al capo VII. Qualora gli atti giuridici settoriali dell'Unione non contemplino tutti i soggetti di un settore specifico che rientra nell'ambito di applicazione della presente direttiva, le pertinenti disposizioni della presente direttiva continuano ad applicarsi ai soggetti non contemplati da tali atti giuridici settoriali dell’Unione.
2. I requisiti di cui al paragrafo 1 del presente articolo sono considerati di effetto equivalente agli obblighi stabiliti dalla presente direttiva qualora:
a) gli effetti delle misure di gestione dei rischi di cibersicurezza siano almeno equivalenti a quelli delle misure di cui all'articolo 21, paragrafi 1 e 2; oppure b) l'atto giuridico settoriale dell'Unione preveda l'accesso immediato, se del caso automatico e diretto, alle notifiche degli incidenti da parte dei CSIRT, delle autorità competenti o dei punti di contatto unici a norma della presente direttiva e qualora gli obblighi di notifica degli incidenti significativi abbiano un effetto almeno equivalente a quelli di cui all'articolo 23, paragrafi da 1 a 6, della presente direttiva.
3. La Commissione, entro il 17 luglio 2023, fornisce orientamenti che chiariscano l'applicazione dei paragrafi 1 e 2. La Commissione rivede tali orientamenti periodicamente. Nella preparazione di detti orientamenti, la Commissione tiene conto delle osservazioni del gruppo di cooperazione e dell'ENISA.