{"license":"CC-BY-4.0","id":"incident-reporting","title":{"it":"Notifica degli incidenti informatici","en":"Cyber incident reporting","fr":"Notification des incidents de cybersécurité","es":"Notificación de incidentes de ciberseguridad","de":"Meldung von Cybervorfällen"},"intro":{"it":"Chi deve notificare un incidente informatico, entro quanto tempo, a quale autorità e con quali sanzioni: i principali regimi a confronto, dal più rapido al più lento. I termini si contano da quando si viene a conoscenza dell'incidente, salvo diversa indicazione, e riguardano solo gli incidenti che superano le soglie di gravità fissate da ciascuna norma. È una sintesi: fa sempre fede il testo ufficiale.","en":"Who must report a cyber incident, how fast, to which authority and with what penalties: the main regimes side by side, from the fastest to the slowest. Deadlines run from becoming aware of the incident unless stated otherwise, and apply only to incidents above the severity thresholds set by each law. This is a summary: the official text always prevails.","fr":"Qui doit notifier un incident de cybersécurité, dans quel délai, à quelle autorité et avec quelles sanctions : les principaux régimes comparés, du plus rapide au plus lent. Les délais courent à partir de la prise de connaissance de l'incident, sauf indication contraire, et ne concernent que les incidents qui dépassent les seuils de gravité fixés par chaque texte. Il s'agit d'une synthèse : seul le texte officiel fait foi.","es":"Quién debe notificar un incidente de ciberseguridad, en qué plazo, a qué autoridad y con qué sanciones: los principales regímenes comparados, del más rápido al más lento. Los plazos se cuentan desde que se tiene conocimiento del incidente, salvo que se indique otra cosa, y solo se aplican a los incidentes que superan los umbrales de gravedad fijados por cada norma. Es un resumen: siempre prevalece el texto oficial.","de":"Wer einen Cybervorfall melden muss, wie schnell, an welche Behörde und mit welchen Sanktionen: die wichtigsten Regelungen im Vergleich, von der schnellsten zur langsamsten. Die Fristen laufen ab Kenntnis des Vorfalls, sofern nicht anders angegeben, und gelten nur für Vorfälle oberhalb der von jedem Gesetz festgelegten Schweregrade. Dies ist eine Zusammenfassung: Maßgeblich ist stets der amtliche Text."},"updated_at":"2026-10-29","verified_at":"2026-10-29","verified_by":"Verifica via web","entries":[{"id":"eu-nis2","jurisdiction":"EU","regime":{"it":"Direttiva NIS2 (UE) 2022/2555","en":"NIS2 Directive (EU) 2022/2555","fr":"Directive NIS 2 (UE) 2022/2555","es":"Directiva NIS2 (UE) 2022/2555","de":"NIS-2-Richtlinie (EU) 2022/2555"},"documents":["eu-nis2-directive-2022-2555"],"status":"in_force","who":{"it":"Soggetti essenziali e importanti dei 18 settori degli allegati I e II, secondo le leggi nazionali di recepimento.","en":"Essential and important entities in the 18 sectors of Annexes I and II, under the national transposition laws.","fr":"Entités essentielles et importantes des 18 secteurs des annexes I et II, selon les lois nationales de transposition.","es":"Entidades esenciales e importantes de los 18 sectores de los anexos I y II, según las leyes nacionales de transposición.","de":"Wesentliche und wichtige Einrichtungen in den 18 Sektoren der Anhänge I und II, nach den nationalen Umsetzungsgesetzen."},"authority":"National CSIRT or competent authority","authority_it":"CSIRT nazionale o autorità competente","authority_fr":"CSIRT national ou autorité compétente","authority_es":"CSIRT nacional o autoridad competente","authority_de":"Nationales CSIRT oder zuständige Behörde","steps":[{"time":"24h","label":{"it":"Preallarme","en":"Early warning","fr":"Alerte précoce","es":"Alerta temprana","de":"Frühwarnung"}},{"time":"72h","label":{"it":"Notifica dell'incidente","en":"Incident notification","fr":"Notification de l'incident","es":"Notificación del incidente","de":"Meldung des Vorfalls"}},{"time":"1m","label":{"it":"Relazione finale (dalla notifica)","en":"Final report (from the notification)","fr":"Rapport final (après la notification)","es":"Informe final (desde la notificación)","de":"Abschlussbericht (ab der Meldung)"}}],"sanctions":{"it":"Fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali; fino a 7 milioni o all'1,4% per quelli importanti.","en":"Up to €10 million or 2% of worldwide annual turnover for essential entities; up to €7 million or 1.4% for important entities.","fr":"Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles ; jusqu'à 7 millions ou 1,4 % pour les entités importantes.","es":"Hasta 10 millones de euros o el 2 % del volumen de negocios anual mundial para las entidades esenciales; hasta 7 millones o el 1,4 % para las importantes.","de":"Bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen; bis zu 7 Mio. € oder 1,4 % für wichtige Einrichtungen."},"notes":{"it":"È lo schema comune dell'UE (articolo 23); gli obblighi concreti derivano dalle leggi nazionali di recepimento, elencate qui sotto per i paesi coperti.","en":"This is the common EU scheme (Article 23); the actual obligations come from the national transposition laws, listed below for the countries covered.","fr":"C'est le schéma commun de l'UE (article 23) ; les obligations concrètes découlent des lois nationales de transposition, présentées ci-dessous pour les pays couverts.","es":"Es el esquema común de la UE (artículo 23); las obligaciones concretas derivan de las leyes nacionales de transposición, que se recogen a continuación para los países cubiertos.","de":"Dies ist das gemeinsame EU-Schema (Artikel 23); die tatsächlichen Pflichten ergeben sich aus den nationalen Umsetzungsgesetzen, die unten für die erfassten Länder aufgeführt sind."},"source_url":"https://eur-lex.europa.eu/eli/dir/2022/2555/oj"},{"id":"eu-dora","jurisdiction":"EU","regime":{"it":"DORA (UE) 2022/2554","en":"DORA (EU) 2022/2554","fr":"DORA (UE) 2022/2554","es":"DORA (UE) 2022/2554","de":"DORA (EU) 2022/2554"},"documents":["eu-dora-2022-2554"],"status":"in_force","applies_from":"2025-01-17","who":{"it":"Entità finanziarie (banche, assicurazioni, imprese di investimento, istituti di pagamento, prestatori di servizi per le cripto-attività e altri), per gli incidenti gravi connessi alle TIC.","en":"Financial entities (banks, insurers, investment firms, payment institutions, crypto-asset service providers and others), for major ICT-related incidents.","fr":"Entités financières (banques, assureurs, entreprises d'investissement, établissements de paiement, prestataires de services sur crypto-actifs et autres), pour les incidents majeurs liés aux TIC.","es":"Entidades financieras (bancos, aseguradoras, empresas de servicios de inversión, entidades de pago, proveedores de servicios de criptoactivos y otras), para los incidentes graves relacionados con las TIC.","de":"Finanzunternehmen (Banken, Versicherer, Wertpapierfirmen, Zahlungsinstitute, Anbieter von Kryptowerte-Dienstleistungen und andere) bei schwerwiegenden IKT-bezogenen Vorfällen."},"authority":"Competent financial supervisory authority","authority_it":"Autorità di vigilanza finanziaria competente","authority_fr":"Autorité de surveillance financière compétente","authority_es":"Autoridad de supervisión financiera competente","authority_de":"Zuständige Finanzaufsichtsbehörde","steps":[{"time":"4h","label":{"it":"Notifica iniziale (dalla classificazione come grave, al più tardi 24 ore dalla scoperta)","en":"Initial notification (from classification as major, no later than 24 hours from awareness)","fr":"Notification initiale (après la classification comme majeur, au plus tard 24 heures après la détection)","es":"Notificación inicial (desde su clasificación como grave, a más tardar 24 horas desde que se detecta)","de":"Erstmeldung (ab Einstufung als schwerwiegend, spätestens 24 Stunden nach Kenntnisnahme)"}},{"time":"72h","label":{"it":"Relazione intermedia (dalla notifica iniziale)","en":"Intermediate report (from the initial notification)","fr":"Rapport intermédiaire (après la notification initiale)","es":"Informe intermedio (desde la notificación inicial)","de":"Zwischenmeldung (ab der Erstmeldung)"}},{"time":"1m","label":{"it":"Relazione finale","en":"Final report","fr":"Rapport final","es":"Informe final","de":"Abschlussmeldung"}}],"sanctions":{"it":"Sanzioni amministrative stabilite dagli Stati membri e applicate dalle autorità di vigilanza.","en":"Administrative penalties set by Member States and imposed by the supervisory authorities.","fr":"Sanctions administratives fixées par les États membres et appliquées par les autorités de surveillance.","es":"Sanciones administrativas fijadas por los Estados miembros e impuestas por las autoridades de supervisión.","de":"Von den Mitgliedstaaten festgelegte und von den Aufsichtsbehörden verhängte Verwaltungssanktionen."},"notes":{"it":"I termini sono fissati dal regolamento delegato (UE) 2025/301. Per le entità finanziarie DORA prevale sulla NIS2.","en":"The deadlines are set by Delegated Regulation (EU) 2025/301. For financial entities DORA takes precedence over NIS2.","fr":"Les délais sont fixés par le règlement délégué (UE) 2025/301. Pour les entités financières, DORA prime sur NIS 2.","es":"Los plazos los fija el Reglamento Delegado (UE) 2025/301. Para las entidades financieras, DORA prevalece sobre NIS2.","de":"Die Fristen legt die Delegierte Verordnung (EU) 2025/301 fest. Für Finanzunternehmen hat DORA Vorrang vor NIS 2."},"source_url":"https://eur-lex.europa.eu/eli/reg/2022/2554/oj"},{"id":"eu-cra-vulnerabilities","jurisdiction":"EU","regime":{"it":"Cyber Resilience Act (UE) 2024/2847: vulnerabilità sfruttate","en":"Cyber Resilience Act (EU) 2024/2847: exploited vulnerabilities","fr":"Règlement sur la cyberrésilience (UE) 2024/2847 : vulnérabilités exploitées","es":"Reglamento de Ciberresiliencia (UE) 2024/2847: vulnerabilidades explotadas","de":"Cyberresilienz-Verordnung (EU) 2024/2847: ausgenutzte Schwachstellen"},"documents":["eu-cyber-resilience-act-2024-2847"],"status":"in_force","applies_from":"2026-09-11","who":{"it":"Fabbricanti di prodotti con elementi digitali (hardware e software) messi a disposizione nell'UE, compresi quelli immessi sul mercato prima del 2027, per ogni vulnerabilità attivamente sfruttata che contengono.","en":"Manufacturers of products with digital elements (hardware and software) made available in the EU, including those placed on the market before 2027, for any actively exploited vulnerability they contain.","fr":"Fabricants de produits comportant des éléments numériques (matériel et logiciel) mis à disposition dans l'UE, y compris ceux mis sur le marché avant 2027, pour toute vulnérabilité activement exploitée qu'ils contiennent.","es":"Fabricantes de productos con elementos digitales (hardware y software) comercializados en la UE, incluidos los introducidos en el mercado antes de 2027, por cualquier vulnerabilidad explotada activamente que contengan.","de":"Hersteller von in der EU bereitgestellten Produkten mit digitalen Elementen (Hardware und Software), einschließlich der vor 2027 in Verkehr gebrachten, für jede darin enthaltene aktiv ausgenutzte Schwachstelle."},"authority":"CSIRT designated as coordinator in the Member State of main establishment, via ENISA's single reporting platform","authority_it":"CSIRT designato come coordinatore nello Stato dello stabilimento principale, tramite la piattaforma unica di segnalazione dell'ENISA","authority_fr":"CSIRT désigné comme coordinateur dans l'État de l'établissement principal, via la plateforme unique de signalement de l'ENISA","authority_es":"CSIRT designado como coordinador en el Estado del establecimiento principal, a través de la plataforma única de notificación de ENISA","authority_de":"Als Koordinator benanntes CSIRT im Mitgliedstaat der Hauptniederlassung, über die zentrale Meldeplattform der ENISA","steps":[{"time":"24h","label":{"it":"Preallarme sulla vulnerabilità attivamente sfruttata","en":"Early warning of the actively exploited vulnerability","fr":"Alerte précoce sur la vulnérabilité activement exploitée","es":"Alerta temprana de la vulnerabilidad explotada activamente","de":"Frühwarnung zur aktiv ausgenutzten Schwachstelle"}},{"time":"72h","label":{"it":"Notifica della vulnerabilità","en":"Vulnerability notification","fr":"Notification de la vulnérabilité","es":"Notificación de la vulnerabilidad","de":"Meldung der Schwachstelle"}},{"time":"14d","label":{"it":"Relazione finale (dalla disponibilità di una correzione o mitigazione)","en":"Final report (from when a corrective or mitigating measure is available)","fr":"Rapport final (à compter de la mise à disposition d'une mesure corrective ou d'atténuation)","es":"Informe final (desde que se dispone de una medida correctora o de mitigación)","de":"Abschlussbericht (ab Verfügbarkeit einer Korrektur- oder Abhilfemaßnahme)"}},{"time":"asap","label":{"it":"Informare gli utilizzatori interessati","en":"Inform the impacted users","fr":"Informer les utilisateurs concernés","es":"Informar a los usuarios afectados","de":"Unterrichtung der betroffenen Nutzer"}}],"sanctions":{"it":"Fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo; le norme sulle sanzioni sono fissate da ciascuno Stato membro.","en":"Up to €15 million or 2.5% of worldwide annual turnover; penalty rules are laid down by each Member State.","fr":"Jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial ; les règles sur les sanctions sont fixées par chaque État membre.","es":"Hasta 15 millones de euros o el 2,5 % del volumen de negocios anual mundial; las normas sobre sanciones las fija cada Estado miembro.","de":"Bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes; die Sanktionsvorschriften legt jeder Mitgliedstaat fest."},"notes":{"it":"Articolo 14, paragrafo 2. Il preallarme e la notifica si contano da quando il fabbricante viene a conoscenza della vulnerabilità; gli utilizzatori vanno informati senza indebito ritardo, se possibile in formato leggibile da macchina. Si applica dall'11 settembre 2026, prima del resto del regolamento (11 dicembre 2027); da quella data le notifiche si inviano tramite la piattaforma unica di segnalazione (SRP) gestita dall'ENISA, su portal.cra-srp.enisa.europa.eu. La situazione nei singoli Stati è nella pagina sull'attuazione del CRA.","en":"Article 14(2). The early warning and the notification run from when the manufacturer becomes aware of the vulnerability; users must be informed without undue delay, where possible in a machine-readable format. It applies from 11 September 2026, before the rest of the regulation (11 December 2027); since that date notifications are submitted through the Single Reporting Platform (SRP) run by ENISA, at portal.cra-srp.enisa.europa.eu. The situation in each Member State is on the CRA implementation page.","fr":"Article 14, paragraphe 2. L'alerte précoce et la notification courent à partir de la prise de connaissance de la vulnérabilité par le fabricant ; les utilisateurs doivent être informés sans retard injustifié, si possible dans un format lisible par machine. S'applique depuis le 11 septembre 2026, avant le reste du règlement (11 décembre 2027) ; depuis cette date, les notifications passent par la plateforme unique de signalement (SRP) gérée par l'ENISA, sur portal.cra-srp.enisa.europa.eu. La situation de chaque État figure sur la page consacrée à la mise en œuvre du CRA.","es":"Artículo 14, apartado 2. La alerta temprana y la notificación se cuentan desde que el fabricante tiene conocimiento de la vulnerabilidad; los usuarios deben ser informados sin demora indebida, si es posible en un formato legible por máquina. Se aplica desde el 11 de septiembre de 2026, antes que el resto del reglamento (11 de diciembre de 2027); desde esa fecha las notificaciones se presentan en la plataforma única de notificación (SRP) gestionada por ENISA, en portal.cra-srp.enisa.europa.eu. La situación en cada Estado está en la página sobre la aplicación del CRA.","de":"Artikel 14 Absatz 2. Frühwarnung und Meldung laufen ab dem Zeitpunkt, zu dem der Hersteller Kenntnis von der Schwachstelle erlangt; die Nutzer sind unverzüglich zu unterrichten, nach Möglichkeit in einem maschinenlesbaren Format. Die Pflicht gilt ab dem 11. September 2026, vor dem Rest der Verordnung (11. Dezember 2027); seit diesem Datum werden Meldungen über die von der ENISA betriebene zentrale Meldeplattform (Single Reporting Platform, SRP) unter portal.cra-srp.enisa.europa.eu eingereicht. Die Lage in jedem Mitgliedstaat steht auf der Seite zur Durchführung des CRA."},"source_url":"https://eur-lex.europa.eu/eli/reg/2024/2847/oj"},{"id":"eu-cra-incidents","jurisdiction":"EU","regime":{"it":"Cyber Resilience Act (UE) 2024/2847: incidenti gravi","en":"Cyber Resilience Act (EU) 2024/2847: severe incidents","fr":"Règlement sur la cyberrésilience (UE) 2024/2847 : incidents graves","es":"Reglamento de Ciberresiliencia (UE) 2024/2847: incidentes graves","de":"Cyberresilienz-Verordnung (EU) 2024/2847: schwerwiegende Vorfälle"},"documents":["eu-cyber-resilience-act-2024-2847"],"status":"in_force","applies_from":"2026-09-11","who":{"it":"Fabbricanti di prodotti con elementi digitali messi a disposizione nell'UE, per gli incidenti gravi che incidono sulla sicurezza del prodotto (per esempio la compromissione dell'ambiente di sviluppo o degli aggiornamenti).","en":"Manufacturers of products with digital elements made available in the EU, for severe incidents having an impact on the security of the product (for example a compromise of the development environment or of updates).","fr":"Fabricants de produits comportant des éléments numériques mis à disposition dans l'UE, pour les incidents graves ayant un impact sur la sécurité du produit (par exemple la compromission de l'environnement de développement ou des mises à jour).","es":"Fabricantes de productos con elementos digitales comercializados en la UE, para los incidentes graves que afectan a la seguridad del producto (por ejemplo, el compromiso del entorno de desarrollo o de las actualizaciones).","de":"Hersteller von in der EU bereitgestellten Produkten mit digitalen Elementen bei schwerwiegenden Vorfällen, die die Sicherheit des Produkts beeinträchtigen (etwa eine Kompromittierung der Entwicklungsumgebung oder der Updates)."},"authority":"CSIRT designated as coordinator in the Member State of main establishment, via ENISA's single reporting platform","authority_it":"CSIRT designato come coordinatore nello Stato dello stabilimento principale, tramite la piattaforma unica di segnalazione dell'ENISA","authority_fr":"CSIRT désigné comme coordinateur dans l'État de l'établissement principal, via la plateforme unique de signalement de l'ENISA","authority_es":"CSIRT designado como coordinador en el Estado del establecimiento principal, a través de la plataforma única de notificación de ENISA","authority_de":"Als Koordinator benanntes CSIRT im Mitgliedstaat der Hauptniederlassung, über die zentrale Meldeplattform der ENISA","steps":[{"time":"24h","label":{"it":"Preallarme sull'incidente grave","en":"Early warning of the severe incident","fr":"Alerte précoce sur l'incident grave","es":"Alerta temprana del incidente grave","de":"Frühwarnung zum schwerwiegenden Vorfall"}},{"time":"72h","label":{"it":"Notifica dell'incidente","en":"Incident notification","fr":"Notification de l'incident","es":"Notificación del incidente","de":"Meldung des Vorfalls"}},{"time":"1m","label":{"it":"Relazione finale (dalla notifica dell'incidente)","en":"Final report (from the incident notification)","fr":"Rapport final (après la notification de l'incident)","es":"Informe final (desde la notificación del incidente)","de":"Abschlussbericht (ab der Meldung des Vorfalls)"}},{"time":"asap","label":{"it":"Informare gli utilizzatori interessati","en":"Inform the impacted users","fr":"Informer les utilisateurs concernés","es":"Informar a los usuarios afectados","de":"Unterrichtung der betroffenen Nutzer"}}],"sanctions":{"it":"Fino a 15 milioni di euro o al 2,5% del fatturato mondiale annuo; le norme sulle sanzioni sono fissate da ciascuno Stato membro.","en":"Up to €15 million or 2.5% of worldwide annual turnover; penalty rules are laid down by each Member State.","fr":"Jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial ; les règles sur les sanctions sont fixées par chaque État membre.","es":"Hasta 15 millones de euros o el 2,5 % del volumen de negocios anual mundial; las normas sobre sanciones las fija cada Estado miembro.","de":"Bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes; die Sanktionsvorschriften legt jeder Mitgliedstaat fest."},"notes":{"it":"Articolo 14, paragrafo 4. Un incidente è grave se compromette o può compromettere la capacità del prodotto di proteggere dati e funzioni, o se ha portato all'introduzione di codice malevolo. Le notifiche del CRA non sostituiscono quelle della NIS 2 se il fabbricante è anche un soggetto NIS 2. Dall'11 settembre 2026 anche queste notifiche si inviano tramite la piattaforma unica di segnalazione (SRP) dell'ENISA.","en":"Article 14(4). An incident is severe if it negatively affects, or is capable of affecting, the product's ability to protect data and functions, or has led to the introduction of malicious code. CRA reports do not replace NIS 2 reports where the manufacturer is also a NIS 2 entity. Since 11 September 2026 these notifications are also submitted through ENISA's Single Reporting Platform (SRP).","fr":"Article 14, paragraphe 4. Un incident est grave s'il affecte ou est susceptible d'affecter la capacité du produit à protéger les données et les fonctions, ou s'il a conduit à l'introduction de code malveillant. Les signalements au titre du CRA ne remplacent pas ceux de la directive SRI 2 lorsque le fabricant est aussi une entité SRI 2. Depuis le 11 septembre 2026, ces notifications passent elles aussi par la plateforme unique de signalement (SRP) de l'ENISA.","es":"Artículo 14, apartado 4. Un incidente es grave si afecta o puede afectar a la capacidad del producto para proteger datos y funciones, o si ha dado lugar a la introducción de código malicioso. Las notificaciones del CRA no sustituyen a las de la SRI 2 cuando el fabricante es también una entidad SRI 2. Desde el 11 de septiembre de 2026, estas notificaciones también se presentan en la plataforma única de notificación (SRP) de ENISA.","de":"Artikel 14 Absatz 4. Ein Vorfall ist schwerwiegend, wenn er die Fähigkeit des Produkts, Daten und Funktionen zu schützen, beeinträchtigt oder beeinträchtigen kann oder zum Einschleusen von Schadcode geführt hat. Meldungen nach dem CRA ersetzen nicht die Meldungen nach NIS 2, wenn der Hersteller auch eine NIS-2-Einrichtung ist. Seit dem 11. September 2026 werden auch diese Meldungen über die zentrale Meldeplattform (SRP) der ENISA eingereicht."},"source_url":"https://eur-lex.europa.eu/eli/reg/2024/2847/oj"},{"id":"fi-cra","jurisdiction":"FI","regime":{"it":"CRA (legge 439/2026)","en":"CRA (Act 439/2026)","fr":"CRA (loi 439/2026)","es":"CRA (Ley 439/2026)","de":"CRA (Gesetz 439/2026)"},"documents":["fi-laki-439-2026-kyberkestavyys","eu-cyber-resilience-act-2024-2847"],"status":"in_force","applies_from":"2026-09-11","who":{"it":"Fabbricanti di prodotti con elementi digitali, per le vulnerabilità attivamente sfruttate e gli incidenti gravi.","en":"Manufacturers of products with digital elements, for actively exploited vulnerabilities and severe incidents.","fr":"Fabricants de produits comportant des éléments numériques, pour les vulnérabilités activement exploitées et les incidents graves.","es":"Fabricantes de productos con elementos digitales, para las vulnerabilidades explotadas activamente y los incidentes graves.","de":"Hersteller von Produkten mit digitalen Elementen bei aktiv ausgenutzten Schwachstellen und schwerwiegenden Vorfällen."},"authority":"Traficom (NCSC-FI), via ENISA's single reporting platform","authority_it":"Traficom (NCSC-FI), tramite la piattaforma unica dell'ENISA","authority_fr":"Traficom (NCSC-FI), via la plateforme unique de l'ENISA","authority_es":"Traficom (NCSC-FI), a través de la plataforma única de ENISA","authority_de":"Traficom (NCSC-FI), über die zentrale Meldeplattform der ENISA","steps":[{"time":"24h","label":{"it":"Preallarme (vulnerabilità sfruttata o incidente grave)","en":"Early warning (exploited vulnerability or severe incident)","fr":"Alerte précoce (vulnérabilité exploitée ou incident grave)","es":"Alerta temprana (vulnerabilidad explotada o incidente grave)","de":"Frühwarnung (ausgenutzte Schwachstelle oder schwerwiegender Vorfall)"}},{"time":"72h","label":{"it":"Notifica","en":"Notification","fr":"Notification","es":"Notificación","de":"Meldung"}},{"time":"14d","label":{"it":"Relazione finale sulla vulnerabilità (dalla correzione)","en":"Final vulnerability report (from the fix)","fr":"Rapport final sur la vulnérabilité (après le correctif)","es":"Informe final de la vulnerabilidad (desde la corrección)","de":"Abschlussbericht zur Schwachstelle (ab der Behebung)"}},{"time":"1m","label":{"it":"Relazione finale sull'incidente (dalla notifica)","en":"Final incident report (from the notification)","fr":"Rapport final sur l'incident (après la notification)","es":"Informe final del incidente (desde la notificación)","de":"Abschlussbericht zum Vorfall (ab der Meldung)"}}],"sanctions":{"it":"Sanzioni amministrative fino a 15 milioni di euro o al 2,5% del fatturato mondiale per i fabbricanti; per le violazioni degli obblighi di segnalazione si applicano dall'11 settembre 2026.","en":"Administrative fines of up to €15 million or 2.5% of worldwide turnover for manufacturers; for breaches of the reporting obligations they apply from 11 September 2026.","fr":"Amendes administratives jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial pour les fabricants ; pour les manquements aux obligations de signalement, elles s'appliquent depuis le 11 septembre 2026.","es":"Multas administrativas de hasta 15 millones de euros o el 2,5 % del volumen de negocios mundial para los fabricantes; para los incumplimientos de las obligaciones de notificación se aplican desde el 11 de septiembre de 2026.","de":"Verwaltungsgeldbußen von bis zu 15 Mio. € oder 2,5 % des weltweiten Umsatzes für Hersteller; bei Verstößen gegen die Meldepflichten gelten sie ab dem 11. September 2026."},"notes":{"it":"I termini sono quelli del regolamento; la legge nazionale designa le autorità e fissa le sanzioni.","en":"The deadlines are those of the regulation; the national law designates the authorities and lays down the penalties.","fr":"Les délais sont ceux du règlement ; la loi nationale désigne les autorités et fixe les sanctions.","es":"Los plazos son los del reglamento; la ley nacional designa las autoridades y fija las sanciones.","de":"Die Fristen sind die der Verordnung; das nationale Gesetz benennt die Behörden und legt die Sanktionen fest."},"source_url":"https://www.finlex.fi/fi/lainsaadanto/2026/439"},{"id":"de-cra","jurisdiction":"DE","regime":{"it":"CRA (disegno di legge di attuazione)","en":"CRA (implementing bill)","fr":"CRA (projet de loi d'application)","es":"CRA (proyecto de ley de aplicación)","de":"CRA (Durchführungsgesetzentwurf)"},"documents":["eu-cyber-resilience-act-2024-2847"],"status":"in_force","applies_from":"2026-09-11","who":{"it":"Fabbricanti di prodotti con elementi digitali, per le vulnerabilità attivamente sfruttate e gli incidenti gravi.","en":"Manufacturers of products with digital elements, for actively exploited vulnerabilities and severe incidents.","fr":"Fabricants de produits comportant des éléments numériques, pour les vulnérabilités activement exploitées et les incidents graves.","es":"Fabricantes de productos con elementos digitales, para las vulnerabilidades explotadas activamente y los incidentes graves.","de":"Hersteller von Produkten mit digitalen Elementen bei aktiv ausgenutzten Schwachstellen und schwerwiegenden Vorfällen."},"authority":"BSI (CSIRT), via ENISA's single reporting platform","authority_it":"BSI (CSIRT), tramite la piattaforma unica dell'ENISA","authority_fr":"BSI (CSIRT), via la plateforme unique de l'ENISA","authority_es":"BSI (CSIRT), a través de la plataforma única de ENISA","authority_de":"BSI (CSIRT), über die zentrale Meldeplattform der ENISA","steps":[{"time":"24h","label":{"it":"Preallarme (vulnerabilità sfruttata o incidente grave)","en":"Early warning (exploited vulnerability or severe incident)","fr":"Alerte précoce (vulnérabilité exploitée ou incident grave)","es":"Alerta temprana (vulnerabilidad explotada o incidente grave)","de":"Frühwarnung (ausgenutzte Schwachstelle oder schwerwiegender Vorfall)"}},{"time":"72h","label":{"it":"Notifica","en":"Notification","fr":"Notification","es":"Notificación","de":"Meldung"}},{"time":"14d","label":{"it":"Relazione finale sulla vulnerabilità (dalla correzione)","en":"Final vulnerability report (from the fix)","fr":"Rapport final sur la vulnérabilité (après le correctif)","es":"Informe final de la vulnerabilidad (desde la corrección)","de":"Abschlussbericht zur Schwachstelle (ab der Behebung)"}},{"time":"1m","label":{"it":"Relazione finale sull'incidente (dalla notifica)","en":"Final incident report (from the notification)","fr":"Rapport final sur l'incident (après la notification)","es":"Informe final del incidente (desde la notificación)","de":"Abschlussbericht zum Vorfall (ab der Meldung)"}}],"sanctions":{"it":"Secondo il disegno di legge approvato dal Bundestag, il BSI potrà infliggere multe fino a 15 milioni di euro o al 2,5% del fatturato mondiale dall'11 dicembre 2027; le autorità pubbliche sono escluse.","en":"Under the bill passed by the Bundestag, the BSI will be able to impose fines of up to €15 million or 2.5% of worldwide turnover from 11 December 2027; public bodies are excluded.","fr":"Selon le projet de loi adopté par le Bundestag, le BSI pourra infliger des amendes jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial à partir du 11 décembre 2027 ; les autorités publiques sont exclues.","es":"Según el proyecto de ley aprobado por el Bundestag, la BSI podrá imponer multas de hasta 15 millones de euros o el 2,5 % del volumen de negocios mundial a partir del 11 de diciembre de 2027; las autoridades públicas quedan excluidas.","de":"Nach dem vom Bundestag beschlossenen Gesetz kann das BSI ab dem 11. Dezember 2027 Geldbußen von bis zu 15 Mio. € oder 2,5 % des weltweiten Umsatzes verhängen; öffentliche Stellen sind ausgenommen."},"notes":{"it":"Gli obblighi di segnalazione si applicano direttamente dall'11 settembre 2026 e il BSI coordina già le segnalazioni come CSIRT. La legge di attuazione, approvata dal Bundestag il 15 ottobre 2026, attende il Bundesrat (prossima seduta plenaria il 20 novembre 2026) e la promulgazione; le norme sulle segnalazioni entreranno in vigore il giorno dopo la promulgazione.","en":"The reporting obligations apply directly from 11 September 2026 and the BSI already coordinates reports as CSIRT. The implementing law, passed by the Bundestag on 15 October 2026, awaits the Bundesrat (next plenary sitting on 20 November 2026) and promulgation; its reporting provisions will enter into force the day after promulgation.","fr":"Les obligations de signalement s'appliquent directement depuis le 11 septembre 2026 et le BSI coordonne déjà les signalements en tant que CSIRT. La loi d'application, adoptée par le Bundestag le 15 octobre 2026, attend le Bundesrat (prochaine séance plénière le 20 novembre 2026) et la promulgation ; ses dispositions sur les signalements entreront en vigueur le lendemain de la promulgation.","es":"Las obligaciones de notificación se aplican directamente desde el 11 de septiembre de 2026 y la BSI ya coordina las notificaciones como CSIRT. La ley de aplicación, aprobada por el Bundestag el 15 de octubre de 2026, está pendiente del Bundesrat (próxima sesión plenaria el 20 de noviembre de 2026) y de la promulgación; sus disposiciones sobre notificaciones entrarán en vigor al día siguiente de la promulgación.","de":"Die Meldepflichten gelten unmittelbar ab dem 11. September 2026, und das BSI koordiniert die Meldungen bereits als CSIRT. Das vom Bundestag am 15. Oktober 2026 beschlossene Durchführungsgesetz wartet auf den Bundesrat (nächste Plenarsitzung am 20. November 2026) und die Verkündung; seine Meldebestimmungen treten am Tag nach der Verkündung in Kraft."},"source_url":"https://dserver.bundestag.de/btd/21/061/2106134.pdf"},{"id":"it-cra","jurisdiction":"IT","regime":{"it":"CRA (schema di decreto legislativo, AG 447)","en":"CRA (draft legislative decree, AG 447)","fr":"CRA (projet de décret législatif, AG 447)","es":"CRA (proyecto de decreto legislativo, AG 447)","de":"CRA (Entwurf eines gesetzesvertretenden Dekrets, AG 447)"},"documents":["eu-cyber-resilience-act-2024-2847"],"status":"in_force","applies_from":"2026-09-11","who":{"it":"Fabbricanti di prodotti con elementi digitali, per le vulnerabilità attivamente sfruttate e gli incidenti gravi.","en":"Manufacturers of products with digital elements, for actively exploited vulnerabilities and severe incidents.","fr":"Fabricants de produits comportant des éléments numériques, pour les vulnérabilités activement exploitées et les incidents graves.","es":"Fabricantes de productos con elementos digitales, para las vulnerabilidades explotadas activamente y los incidentes graves.","de":"Hersteller von Produkten mit digitalen Elementen bei aktiv ausgenutzten Schwachstellen und schwerwiegenden Vorfällen."},"authority":"CSIRT Italia (ACN), via ENISA's single reporting platform","authority_it":"CSIRT Italia (ACN), tramite la piattaforma unica dell'ENISA","authority_fr":"CSIRT Italia (ACN), via la plateforme unique de l'ENISA","authority_es":"CSIRT Italia (ACN), a través de la plataforma única de ENISA","authority_de":"CSIRT Italia (ACN), über die zentrale Meldeplattform der ENISA","steps":[{"time":"24h","label":{"it":"Preallarme (vulnerabilità sfruttata o incidente grave)","en":"Early warning (exploited vulnerability or severe incident)","fr":"Alerte précoce (vulnérabilité exploitée ou incident grave)","es":"Alerta temprana (vulnerabilidad explotada o incidente grave)","de":"Frühwarnung (ausgenutzte Schwachstelle oder schwerwiegender Vorfall)"}},{"time":"72h","label":{"it":"Notifica","en":"Notification","fr":"Notification","es":"Notificación","de":"Meldung"}},{"time":"14d","label":{"it":"Relazione finale sulla vulnerabilità (dalla correzione)","en":"Final vulnerability report (from the fix)","fr":"Rapport final sur la vulnérabilité (après le correctif)","es":"Informe final de la vulnerabilidad (desde la corrección)","de":"Abschlussbericht zur Schwachstelle (ab der Behebung)"}},{"time":"1m","label":{"it":"Relazione finale sull'incidente (dalla notifica)","en":"Final incident report (from the notification)","fr":"Rapport final sur l'incident (après la notification)","es":"Informe final del incidente (desde la notificación)","de":"Abschlussbericht zum Vorfall (ab der Meldung)"}}],"sanctions":{"it":"Quelle del regolamento (fino a 15 milioni di euro o al 2,5% del fatturato mondiale); secondo lo schema di decreto ogni autorità competente le applica con le proprie procedure.","en":"Those of the regulation (up to €15 million or 2.5% of worldwide turnover); under the draft decree each competent authority applies them under its own procedures.","fr":"Celles du règlement (jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial) ; selon le projet de décret, chaque autorité compétente les applique selon ses propres procédures.","es":"Las del reglamento (hasta 15 millones de euros o el 2,5 % del volumen de negocios mundial); según el proyecto de decreto, cada autoridad competente las aplica con sus propios procedimientos.","de":"Die der Verordnung (bis zu 15 Mio. € oder 2,5 % des weltweiten Umsatzes); nach dem Dekretentwurf wendet jede zuständige Behörde sie nach ihren eigenen Verfahren an."},"notes":{"it":"Gli obblighi di segnalazione si applicano direttamente dall'11 settembre 2026. Lo schema di decreto (esame preliminare del Consiglio dei ministri del 2 ottobre 2026; alla Camera le commissioni riunite Affari costituzionali e Trasporti devono dare il parere entro il 18 novembre 2026) designa l'ACN come autorità di notifica e di vigilanza del mercato e consente anche ai consumatori di segnalare vulnerabilità e incidenti al CSIRT Italia.","en":"The reporting obligations apply directly from 11 September 2026. The draft decree (preliminary reading by the Council of Ministers on 2 October 2026; in the Chamber of Deputies the joint Constitutional Affairs and Transport Committees must give their opinion by 18 November 2026) designates ACN as notifying and market surveillance authority and also lets consumers report vulnerabilities and incidents to CSIRT Italia.","fr":"Les obligations de signalement s'appliquent directement depuis le 11 septembre 2026. Le projet de décret (examen préliminaire en Conseil des ministres le 2 octobre 2026 ; à la Chambre des députés, les commissions réunies des Affaires constitutionnelles et des Transports doivent rendre leur avis d'ici le 18 novembre 2026) désigne l'ACN comme autorité notifiante et de surveillance du marché et permet aussi aux consommateurs de signaler vulnérabilités et incidents au CSIRT Italia.","es":"Las obligaciones de notificación se aplican directamente desde el 11 de septiembre de 2026. El proyecto de decreto (examen preliminar del Consejo de Ministros del 2 de octubre de 2026; en la Cámara de Diputados, las comisiones conjuntas de Asuntos Constitucionales y de Transportes deben emitir su dictamen antes del 18 de noviembre de 2026) designa a la ACN como autoridad notificante y de vigilancia del mercado y permite también a los consumidores notificar vulnerabilidades e incidentes al CSIRT Italia.","de":"Die Meldepflichten gelten unmittelbar ab dem 11. September 2026. Der Dekretentwurf (Vorprüfung durch den Ministerrat am 2. Oktober 2026; in der Abgeordnetenkammer müssen die gemeinsam tagenden Ausschüsse für Verfassungsfragen und für Verkehr bis zum 18. November 2026 ihre Stellungnahme abgeben) benennt die ACN als notifizierende Behörde und Marktüberwachungsbehörde und erlaubt auch Verbrauchern, Schwachstellen und Vorfälle an CSIRT Italia zu melden."},"source_url":"https://www.camera.it/leg19/682?atto=447&tipoAtto=atto&idLegislatura=19"},{"id":"it-nis2","jurisdiction":"IT","regime":{"it":"NIS2 (D.lgs. 138/2024)","en":"NIS2 (Legislative Decree 138/2024)","fr":"NIS 2 (décret législatif 138/2024)","es":"NIS2 (Decreto Legislativo 138/2024)","de":"NIS 2 (Gesetzesvertretendes Dekret 138/2024)"},"documents":["it-dlgs-138-2024-nis2","it-acn-determinazione-379907-2025-specifiche-base"],"status":"in_force","applies_from":"2026-01","who":{"it":"Soggetti essenziali e importanti iscritti nell'elenco NIS dell'ACN.","en":"Essential and important entities on ACN's NIS list.","fr":"Entités essentielles et importantes inscrites sur la liste NIS de l'ACN.","es":"Entidades esenciales e importantes inscritas en la lista NIS de la ACN.","de":"Wesentliche und wichtige Einrichtungen auf der NIS-Liste der ACN."},"authority":"CSIRT Italia (Agenzia per la cybersicurezza nazionale)","authority_en":"CSIRT Italia (National Cybersecurity Agency, ACN)","authority_fr":"CSIRT Italia (Agence nationale pour la cybersécurité, ACN)","authority_es":"CSIRT Italia (Agencia Nacional de Ciberseguridad, ACN)","authority_de":"CSIRT Italia (Nationale Agentur für Cybersicherheit, ACN)","steps":[{"time":"24h","label":{"it":"Pre-notifica","en":"Early warning","fr":"Pré-notification","es":"Prenotificación","de":"Frühwarnung"}},{"time":"72h","label":{"it":"Notifica dell'incidente","en":"Incident notification","fr":"Notification de l'incident","es":"Notificación del incidente","de":"Meldung des Vorfalls"}},{"time":"1m","label":{"it":"Relazione finale (dalla notifica)","en":"Final report (from the notification)","fr":"Rapport final (après la notification)","es":"Informe final (desde la notificación)","de":"Abschlussbericht (ab der Meldung)"}}],"sanctions":{"it":"Fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali; fino a 7 milioni o all'1,4% per quelli importanti.","en":"Up to €10 million or 2% of worldwide annual turnover for essential entities; up to €7 million or 1.4% for important entities.","fr":"Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles ; jusqu'à 7 millions ou 1,4 % pour les entités importantes.","es":"Hasta 10 millones de euros o el 2 % del volumen de negocios anual mundial para las entidades esenciales; hasta 7 millones o el 1,4 % para las importantes.","de":"Bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen; bis zu 7 Mio. € oder 1,4 % für wichtige Einrichtungen."},"notes":{"it":"L'obbligo di notifica si applica dal gennaio 2026 ai soggetti già iscritti; per quelli inseriti nell'elenco nel 2026 dal 1° gennaio 2027.","en":"The reporting duty applies from January 2026 to entities already listed; for those added to the list in 2026, from 1 January 2027.","fr":"L'obligation de notification s'applique depuis janvier 2026 aux entités déjà inscrites ; pour celles ajoutées à la liste en 2026, à partir du 1er janvier 2027.","es":"La obligación de notificar se aplica desde enero de 2026 a las entidades ya inscritas; para las añadidas a la lista en 2026, a partir del 1 de enero de 2027.","de":"Die Meldepflicht gilt ab Januar 2026 für bereits gelistete Einrichtungen; für die 2026 in die Liste aufgenommenen ab dem 1. Januar 2027."},"source_url":"https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2024-09-04;138"},{"id":"it-perimetro","jurisdiction":"IT","regime":{"it":"Perimetro di sicurezza nazionale cibernetica (D.L. 105/2019)","en":"National cybersecurity perimeter (Decree-Law 105/2019)","fr":"Périmètre de sécurité nationale cybernétique (décret-loi 105/2019)","es":"Perímetro de seguridad nacional cibernética (Decreto-ley 105/2019)","de":"Nationaler Cybersicherheitsperimeter (Gesetzesdekret 105/2019)"},"documents":["it-dl-105-2019-perimetro","it-dpcm-81-2021-perimetro-notifiche"],"status":"in_force","who":{"it":"Amministrazioni e operatori inclusi nel Perimetro, per gli incidenti sui beni ICT censiti.","en":"Administrations and operators included in the perimeter, for incidents affecting their listed ICT assets.","fr":"Administrations et opérateurs inclus dans le périmètre, pour les incidents touchant leurs biens TIC recensés.","es":"Administraciones y operadores incluidos en el perímetro, para los incidentes que afectan a sus activos TIC inventariados.","de":"In den Perimeter einbezogene Verwaltungen und Betreiber bei Vorfällen, die ihre gelisteten IKT-Assets betreffen."},"authority":"CSIRT Italia (Agenzia per la cybersicurezza nazionale)","authority_en":"CSIRT Italia (National Cybersecurity Agency, ACN)","authority_fr":"CSIRT Italia (Agence nationale pour la cybersécurité, ACN)","authority_es":"CSIRT Italia (Agencia Nacional de Ciberseguridad, ACN)","authority_de":"CSIRT Italia (Nationale Agentur für Cybersicherheit, ACN)","steps":[{"time":"1h","label":{"it":"Notifica degli incidenti più gravi (categoria 2)","en":"Notification of the most serious incidents (category 2)","fr":"Notification des incidents les plus graves (catégorie 2)","es":"Notificación de los incidentes más graves (categoría 2)","de":"Meldung der schwersten Vorfälle (Kategorie 2)"}},{"time":"6h","label":{"it":"Notifica degli altri incidenti (categoria 1)","en":"Notification of other incidents (category 1)","fr":"Notification des autres incidents (catégorie 1)","es":"Notificación de los demás incidentes (categoría 1)","de":"Meldung der übrigen Vorfälle (Kategorie 1)"}}],"sanctions":{"it":"Sanzione amministrativa da 250.000 a 1.500.000 euro per la mancata notifica.","en":"Administrative fine of €250,000 to €1,500,000 for failure to notify.","fr":"Amende administrative de 250 000 à 1 500 000 euros en cas de défaut de notification.","es":"Multa administrativa de 250 000 a 1 500 000 euros por no notificar.","de":"Verwaltungsgeldbuße von 250.000 € bis 1.500.000 € bei unterlassener Meldung."},"notes":{"it":"Le categorie di incidenti e i termini sono fissati dal DPCM 81/2021. Il DPCM 111/2025, in vigore dal 16 agosto 2025, ha aggiunto alla tabella 1 una categoria per gli incidenti dovuti a un uso improprio dei beni ICT, senza cambiare i termini.","en":"Incident categories and deadlines are set by Prime Ministerial Decree 81/2021. Prime Ministerial Decree 111/2025, in force since 16 August 2025, added to table 1 a category for incidents caused by improper use of ICT assets, without changing the deadlines.","fr":"Les catégories d'incidents et les délais sont fixés par le décret du président du Conseil 81/2021. Le décret 111/2025, en vigueur depuis le 16 août 2025, a ajouté au tableau 1 une catégorie pour les incidents dus à une utilisation abusive des biens TIC, sans modifier les délais.","es":"Las categorías de incidentes y los plazos los fija el Decreto del Presidente del Consejo 81/2021. El Decreto 111/2025, en vigor desde el 16 de agosto de 2025, añadió a la tabla 1 una categoría para los incidentes debidos a un uso indebido de los activos TIC, sin cambiar los plazos.","de":"Vorfallkategorien und Fristen legt das Dekret des Ministerpräsidenten 81/2021 fest. Das seit dem 16. August 2025 geltende Dekret des Ministerpräsidenten 111/2025 hat der Tabelle 1 eine Kategorie für Vorfälle durch missbräuchliche Nutzung von IKT-Assets hinzugefügt, ohne die Fristen zu ändern."},"source_url":"https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legge:2019-09-21;105"},{"id":"it-legge-90","jurisdiction":"IT","regime":{"it":"Legge 90/2024 (pubbliche amministrazioni)","en":"Law 90/2024 (public administrations)","fr":"Loi 90/2024 (administrations publiques)","es":"Ley 90/2024 (administraciones públicas)","de":"Gesetz 90/2024 (öffentliche Verwaltungen)"},"documents":["it-legge-90-2024","it-acn-determina-tassonomia-incidenti-2026"],"status":"in_force","who":{"it":"Amministrazioni centrali, regioni e province autonome, città metropolitane, comuni con più di 100.000 abitanti e capoluoghi di regione, aziende sanitarie e altri enti pubblici indicati dalla legge.","en":"Central administrations, regions and autonomous provinces, metropolitan cities, municipalities with over 100,000 inhabitants and regional capitals, health authorities and other public bodies listed in the law.","fr":"Administrations centrales, régions et provinces autonomes, villes métropolitaines, communes de plus de 100 000 habitants et chefs-lieux de région, organismes de santé et autres entités publiques énumérées par la loi.","es":"Administraciones centrales, regiones y provincias autónomas, ciudades metropolitanas, municipios de más de 100 000 habitantes y capitales regionales, entes sanitarios y otros organismos públicos indicados en la ley.","de":"Zentralverwaltungen, Regionen und autonome Provinzen, Großstädte (Città metropolitane), Gemeinden mit mehr als 100.000 Einwohnern und Regionalhauptstädte, Gesundheitsbehörden und weitere im Gesetz aufgeführte öffentliche Stellen."},"authority":"Agenzia per la cybersicurezza nazionale (ACN)","authority_en":"National Cybersecurity Agency (ACN)","authority_fr":"Agence nationale pour la cybersécurité (ACN)","authority_es":"Agencia Nacional de Ciberseguridad (ACN)","authority_de":"Nationale Agentur für Cybersicherheit (ACN)","steps":[{"time":"24h","label":{"it":"Segnalazione","en":"Initial report","fr":"Signalement","es":"Comunicación inicial","de":"Erstmeldung"}},{"time":"72h","label":{"it":"Notifica completa","en":"Full notification","fr":"Notification complète","es":"Notificación completa","de":"Vollständige Meldung"}}],"sanctions":{"it":"In caso di inosservanza reiterata, sanzione amministrativa da 25.000 a 125.000 euro.","en":"For repeated non-compliance, an administrative fine of €25,000 to €125,000.","fr":"En cas de manquements répétés, amende administrative de 25 000 à 125 000 euros.","es":"En caso de incumplimiento reiterado, multa administrativa de 25 000 a 125 000 euros.","de":"Bei wiederholter Nichteinhaltung eine Verwaltungsgeldbuße von 25.000 € bis 125.000 €."},"notes":{"it":"Per i soggetti che rientrano nella NIS2 si applicano le regole del D.lgs. 138/2024. Gli incidenti da segnalare sono quelli della tassonomia adottata dall'ACN il 9 febbraio 2026 (in vigore dal 17 febbraio 2026); la notifica fatta ai sensi della NIS2 vale anche per la legge 90/2024.","en":"Entities covered by NIS2 follow the rules of Legislative Decree 138/2024. The incidents to report are those in the taxonomy adopted by ACN on 9 February 2026 (in force since 17 February 2026); a notification made under NIS2 also satisfies Law 90/2024.","fr":"Les entités relevant de NIS 2 suivent les règles du décret législatif 138/2024. Les incidents à signaler sont ceux de la taxonomie adoptée par l'ACN le 9 février 2026 (en vigueur depuis le 17 février 2026) ; une notification faite au titre de NIS 2 vaut aussi pour la loi 90/2024.","es":"Las entidades sujetas a NIS2 siguen las reglas del Decreto Legislativo 138/2024. Los incidentes que deben notificarse son los de la taxonomía adoptada por la ACN el 9 de febrero de 2026 (en vigor desde el 17 de febrero de 2026); la notificación hecha con arreglo a NIS2 vale también para la Ley 90/2024.","de":"Unter NIS 2 fallende Einrichtungen folgen den Vorschriften des Gesetzesvertretenden Dekrets 138/2024. Zu melden sind die Vorfälle der von der ACN am 9. Februar 2026 angenommenen Taxonomie (in Kraft seit dem 17. Februar 2026); eine nach NIS 2 erstattete Meldung erfüllt auch das Gesetz 90/2024."},"source_url":"https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2024-06-28;90"},{"id":"de-nis2","jurisdiction":"DE","regime":{"it":"NIS2 (NIS2UmsuCG, BSIG)","en":"NIS2 (NIS2UmsuCG, BSIG)","fr":"NIS 2 (NIS2UmsuCG, BSIG)","es":"NIS2 (NIS2UmsuCG, BSIG)","de":"NIS 2 (NIS2UmsuCG, BSIG)"},"documents":["de-nis2umsucg-2025"],"status":"in_force","applies_from":"2025-12-06","who":{"it":"Soggetti particolarmente importanti e importanti (besonders wichtige e wichtige Einrichtungen) e gestori di infrastrutture critiche.","en":"Particularly important and important entities (besonders wichtige and wichtige Einrichtungen) and critical infrastructure operators.","fr":"Entités particulièrement importantes et importantes (besonders wichtige et wichtige Einrichtungen) et exploitants d'infrastructures critiques.","es":"Entidades especialmente importantes e importantes (besonders wichtige y wichtige Einrichtungen) y operadores de infraestructuras críticas.","de":"Besonders wichtige Einrichtungen und wichtige Einrichtungen sowie Betreiber kritischer Anlagen."},"authority":"Bundesamt für Sicherheit in der Informationstechnik (BSI)","authority_it":"Ufficio federale per la sicurezza informatica (BSI)","authority_en":"Federal Office for Information Security (BSI)","authority_fr":"Office fédéral de la sécurité des technologies de l'information (BSI)","authority_es":"Oficina Federal de Seguridad de la Información (BSI)","authority_de":"Bundesamt für Sicherheit in der Informationstechnik (BSI)","steps":[{"time":"24h","label":{"it":"Preallarme","en":"Early warning","fr":"Alerte précoce","es":"Alerta temprana","de":"Frühe Erstmeldung"}},{"time":"72h","label":{"it":"Notifica dell'incidente","en":"Incident notification","fr":"Notification de l'incident","es":"Notificación del incidente","de":"Meldung des Vorfalls"}},{"time":"1m","label":{"it":"Relazione finale (dalla notifica)","en":"Final report (from the notification)","fr":"Rapport final (après la notification)","es":"Informe final (desde la notificación)","de":"Abschlussmeldung (ab der Meldung)"}}],"sanctions":{"it":"Fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti particolarmente importanti; fino a 7 milioni o all'1,4% per quelli importanti.","en":"Up to €10 million or 2% of worldwide annual turnover for particularly important entities; up to €7 million or 1.4% for important entities.","fr":"Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les entités particulièrement importantes ; jusqu'à 7 millions ou 1,4 % pour les entités importantes.","es":"Hasta 10 millones de euros o el 2 % del volumen de negocios anual mundial para las entidades especialmente importantes; hasta 7 millones o el 1,4 % para las importantes.","de":"Bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen; bis zu 7 Mio. € oder 1,4 % für wichtige Einrichtungen."},"source_url":"https://www.recht.bund.de/bgbl/1/2025/301/VO.html"},{"id":"fr-nis1","jurisdiction":"FR","regime":{"it":"NIS1 (legge 2018-133)","en":"NIS1 (Law 2018-133)","fr":"NIS 1 (loi 2018-133)","es":"NIS1 (Ley 2018-133)","de":"NIS 1 (Gesetz 2018-133)"},"documents":["fr-loi-2018-133-transposition-nis"],"status":"in_force","who":{"it":"Operatori di servizi essenziali (OSE) e fornitori di servizi digitali.","en":"Operators of essential services (OES) and digital service providers.","fr":"Opérateurs de services essentiels (OSE) et fournisseurs de service numérique.","es":"Operadores de servicios esenciales y proveedores de servicios digitales.","de":"Betreiber wesentlicher Dienste (OES) und Anbieter digitaler Dienste."},"authority":"Agence nationale de la sécurité des systèmes d'information (ANSSI)","authority_it":"Agenzia nazionale per la sicurezza dei sistemi informativi (ANSSI)","authority_en":"National Cybersecurity Agency of France (ANSSI)","authority_es":"Agencia Nacional de Seguridad de los Sistemas de Información (ANSSI)","authority_de":"Nationale Agentur für die Sicherheit der Informationssysteme Frankreichs (ANSSI)","steps":[{"time":"immediate","label":{"it":"Dichiarazione dell'incidente","en":"Incident declaration","fr":"Déclaration de l'incident","es":"Declaración del incidente","de":"Meldung des Vorfalls"}}],"sanctions":{"it":"Ammenda fino a 75.000 euro per i dirigenti degli OSE che non dichiarano un incidente.","en":"Fine of up to €75,000 for managers of operators of essential services who fail to declare an incident.","fr":"Amende jusqu'à 75 000 euros pour les dirigeants d'OSE qui ne déclarent pas un incident.","es":"Multa de hasta 75 000 euros para los directivos de operadores de servicios esenciales que no declaren un incidente.","de":"Geldbuße von bis zu 75.000 € für Leitungsorgane von Betreibern wesentlicher Dienste, die einen Vorfall nicht melden."},"notes":{"it":"Il progetto di legge di recepimento della NIS2 (sulla resilienza delle infrastrutture critiche), approvato dal Senato nel marzo 2025, attende ancora l'esame in aula dell'Assemblea nazionale, tolto dall'ordine del giorno il 6 ottobre 2026 e non ancora riprogrammato; quando sarà approvato si applicherà lo schema 24 ore, 72 ore e un mese.","en":"The NIS2 transposition bill (on the resilience of critical infrastructure), adopted by the Senate in March 2025, still awaits its plenary debate in the National Assembly, which was withdrawn from the agenda on 6 October 2026 and has not yet been rescheduled; once adopted, the 24-hour, 72-hour and one-month scheme will apply.","fr":"Le projet de loi de transposition de NIS 2 (relatif à la résilience des infrastructures critiques), adopté par le Sénat en mars 2025, attend toujours son examen en séance à l'Assemblée nationale, retiré de l'ordre du jour le 6 octobre 2026 et pas encore reprogrammé ; une fois adopté, le schéma 24 heures, 72 heures et un mois s'appliquera.","es":"El proyecto de ley de transposición de NIS2 (sobre la resiliencia de las infraestructuras críticas), aprobado por el Senado en marzo de 2025, sigue pendiente del debate en el pleno de la Asamblea Nacional, retirado del orden del día el 6 de octubre de 2026 y aún no reprogramado; cuando se apruebe se aplicará el esquema de 24 horas, 72 horas y un mes.","de":"Der Gesetzentwurf zur Umsetzung von NIS 2 (über die Resilienz kritischer Infrastrukturen), im März 2025 vom Senat angenommen, wartet noch auf die Plenarberatung in der Nationalversammlung, die am 6. Oktober 2026 von der Tagesordnung genommen und noch nicht neu angesetzt wurde; nach seiner Annahme gilt das Schema mit 24 Stunden, 72 Stunden und einem Monat."},"source_url":"https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000036644772"},{"id":"es-nis1","jurisdiction":"ES","regime":{"it":"NIS1 (Real Decreto-ley 12/2018)","en":"NIS1 (Royal Decree-Law 12/2018)","fr":"NIS 1 (décret-loi royal 12/2018)","es":"NIS1 (Real Decreto-ley 12/2018)","de":"NIS 1 (Königliches Gesetzesdekret 12/2018)"},"documents":["es-rdl-12-2018-seguridad-redes"],"status":"in_force","who":{"it":"Operatori di servizi essenziali e fornitori di servizi digitali, per gli incidenti con effetti perturbatori significativi.","en":"Operators of essential services and digital service providers, for incidents with significant disruptive effects.","fr":"Opérateurs de services essentiels et fournisseurs de service numérique, pour les incidents ayant des effets perturbateurs importants.","es":"Operadores de servicios esenciales y proveedores de servicios digitales, para los incidentes con efectos perturbadores significativos.","de":"Betreiber wesentlicher Dienste und Anbieter digitaler Dienste bei Vorfällen mit erheblichen störenden Auswirkungen."},"authority":"CSIRT de referencia (INCIBE-CERT, CCN-CERT o ESPDEF-CERT)","authority_it":"CSIRT di riferimento (INCIBE-CERT, CCN-CERT o ESPDEF-CERT)","authority_en":"Reference CSIRT (INCIBE-CERT, CCN-CERT or ESPDEF-CERT)","authority_fr":"CSIRT de référence (INCIBE-CERT, CCN-CERT ou ESPDEF-CERT)","steps":[{"time":"asap","label":{"it":"Notifica iniziale, poi aggiornamenti e notifica finale","en":"Initial notification, then updates and a final notification","fr":"Notification initiale, puis mises à jour et notification finale","es":"Notificación inicial, después actualizaciones y notificación final","de":"Erstmeldung, danach Aktualisierungen und eine Abschlussmeldung"}}],"sanctions":{"it":"Fino a 1 milione di euro per le infrazioni molto gravi.","en":"Up to €1 million for very serious infringements.","fr":"Jusqu'à 1 million d'euros pour les infractions très graves.","es":"Hasta 1 millón de euros por las infracciones muy graves.","de":"Bis zu 1 Mio. € bei sehr schweren Verstößen."},"notes":{"it":"L'avamprogetto di legge di recepimento della NIS2 (Ley de Coordinación y Gobernanza de la Ciberseguridad), approvato in prima lettura dal Consiglio dei ministri il 14 gennaio 2025, non è mai stato presentato alle Cortes, sciolte il 6 ottobre 2026 con elezioni il 29 novembre 2026; il recepimento passa quindi alla nuova legislatura e nel frattempo resta in vigore il Real Decreto-ley 12/2018.","en":"The preliminary draft NIS2 transposition law (Ley de Coordinación y Gobernanza de la Ciberseguridad), approved at first reading by the Council of Ministers on 14 January 2025, was never sent to the Cortes, which were dissolved on 6 October 2026 with elections on 29 November 2026; transposition therefore passes to the new legislature, and Royal Decree-Law 12/2018 remains in force meanwhile.","fr":"L'avant-projet de loi de transposition de NIS 2 (Ley de Coordinación y Gobernanza de la Ciberseguridad), approuvé en première lecture par le Conseil des ministres le 14 janvier 2025, n'a jamais été transmis aux Cortes, dissoutes le 6 octobre 2026 avec des élections le 29 novembre 2026 ; la transposition revient donc à la nouvelle législature et, d'ici là, le décret-loi royal 12/2018 reste en vigueur.","es":"El anteproyecto de ley de transposición de NIS2 (Ley de Coordinación y Gobernanza de la Ciberseguridad), aprobado en primera vuelta por el Consejo de Ministros el 14 de enero de 2025, nunca se remitió a las Cortes, disueltas el 6 de octubre de 2026 con elecciones el 29 de noviembre de 2026; la transposición pasa por tanto a la nueva legislatura y, mientras tanto, sigue en vigor el Real Decreto-ley 12/2018.","de":"Der Vorentwurf des Gesetzes zur Umsetzung von NIS 2 (Ley de Coordinación y Gobernanza de la Ciberseguridad), am 14. Januar 2025 vom Ministerrat in erster Lesung gebilligt, wurde nie an die Cortes übermittelt, die am 6. Oktober 2026 aufgelöst wurden, mit Wahlen am 29. November 2026; die Umsetzung geht daher an die neue Legislaturperiode über, und das Königliche Gesetzesdekret 12/2018 bleibt bis dahin in Kraft."},"source_url":"https://www.boe.es/eli/es/rdl/2018/09/07/12"},{"id":"gb-nis","jurisdiction":"GB","regime":{"it":"NIS Regulations 2018","en":"NIS Regulations 2018","fr":"NIS Regulations 2018","es":"NIS Regulations 2018","de":"NIS Regulations 2018"},"documents":["gb-nis-regulations-2018"],"status":"in_force","who":{"it":"Operatori di servizi essenziali (energia, trasporti, sanità, acqua, infrastrutture digitali) e fornitori di servizi digitali rilevanti.","en":"Operators of essential services (energy, transport, health, water, digital infrastructure) and relevant digital service providers.","fr":"Opérateurs de services essentiels (énergie, transports, santé, eau, infrastructures numériques) et fournisseurs de service numérique concernés.","es":"Operadores de servicios esenciales (energía, transporte, sanidad, agua, infraestructuras digitales) y proveedores de servicios digitales pertinentes.","de":"Betreiber wesentlicher Dienste (Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur) und relevante Anbieter digitaler Dienste."},"authority":"Sector competent authority; Information Commissioner's Office (ICO) for digital service providers","authority_it":"Autorità competente di settore; Information Commissioner's Office (ICO) per i fornitori di servizi digitali","authority_fr":"Autorité compétente du secteur ; Information Commissioner's Office (ICO) pour les fournisseurs de service numérique","authority_es":"Autoridad competente del sector; Information Commissioner's Office (ICO) para los proveedores de servicios digitales","authority_de":"Zuständige Sektorbehörde; Information Commissioner's Office (ICO) für Anbieter digitaler Dienste","steps":[{"time":"72h","label":{"it":"Notifica dell'incidente","en":"Incident notification","fr":"Notification de l'incident","es":"Notificación del incidente","de":"Meldung des Vorfalls"}}],"sanctions":{"it":"Fino a 17 milioni di sterline.","en":"Up to £17 million.","fr":"Jusqu'à 17 millions de livres sterling.","es":"Hasta 17 millones de libras esterlinas.","de":"Bis zu 17 Mio. £."},"notes":{"it":"Il Cyber Security and Resilience (Network and Information Systems) Bill, che modifica queste regole, prevede una prima notifica entro 24 ore e una completa entro 72 ore, anche al NCSC. Alla Camera dei Lord ha concluso la fase di relazione il 26 ottobre 2026 e la terza lettura è fissata al 2 novembre 2026; seguiranno l'eventuale esame degli emendamenti ai Comuni e l'assenso reale.","en":"The Cyber Security and Resilience (Network and Information Systems) Bill, which amends these rules, provides for an initial notification within 24 hours and a full one within 72 hours, also to the NCSC. It completed report stage in the House of Lords on 26 October 2026 and third reading is set for 2 November 2026, followed by any consideration of amendments in the Commons and Royal Assent.","fr":"Le Cyber Security and Resilience (Network and Information Systems) Bill, qui modifie ces règles, prévoit une première notification sous 24 heures et une notification complète sous 72 heures, également au NCSC. À la Chambre des lords, l'étape du rapport s'est achevée le 26 octobre 2026 et la troisième lecture est fixée au 2 novembre 2026 ; suivront l'éventuel examen des amendements aux Communes et la sanction royale.","es":"El Cyber Security and Resilience (Network and Information Systems) Bill, que modifica estas normas, prevé una primera notificación en 24 horas y una completa en 72 horas, también al NCSC. En la Cámara de los Lores concluyó la fase de informe el 26 de octubre de 2026 y la tercera lectura está fijada para el 2 de noviembre de 2026; después vendrán el posible examen de las enmiendas en los Comunes y la sanción real.","de":"Die Cyber Security and Resilience (Network and Information Systems) Bill, die diese Vorschriften ändert, sieht eine Erstmeldung innerhalb von 24 Stunden und eine vollständige Meldung innerhalb von 72 Stunden vor, auch an das NCSC. Sie hat am 26. Oktober 2026 die Report Stage im House of Lords abgeschlossen; die dritte Lesung ist für den 2. November 2026 angesetzt, gefolgt von einer etwaigen Behandlung von Änderungen im Unterhaus und dem Royal Assent."},"source_url":"https://www.legislation.gov.uk/uksi/2018/506"},{"id":"ch-isg","jurisdiction":"CH","regime":{"it":"Legge sulla sicurezza delle informazioni (LSIn)","en":"Information Security Act (ISA)","fr":"Loi sur la sécurité de l'information (LSI)","es":"Ley de seguridad de la información (ISG)","de":"Informationssicherheitsgesetz (ISG)"},"documents":["ch-informationssicherheitsgesetz-isg-2020"],"status":"in_force","applies_from":"2025-04-01","who":{"it":"Gestori di infrastrutture critiche, tra cui autorità pubbliche, fornitori di energia e acqua, ospedali, banche, assicurazioni e operatori di telecomunicazioni e trasporti.","en":"Critical infrastructure operators, including public authorities, energy and water suppliers, hospitals, banks, insurers and telecom and transport operators.","fr":"Exploitants d'infrastructures critiques, dont les autorités publiques, les fournisseurs d'énergie et d'eau, les hôpitaux, les banques, les assurances et les opérateurs de télécommunications et de transport.","es":"Operadores de infraestructuras críticas, entre ellos autoridades públicas, proveedores de energía y agua, hospitales, bancos, aseguradoras y operadores de telecomunicaciones y transporte.","de":"Betreiber kritischer Infrastrukturen, darunter Behörden, Energie- und Wasserversorger, Spitäler, Banken, Versicherungen sowie Telekommunikations- und Verkehrsunternehmen."},"authority":"Bundesamt für Cybersicherheit (BACS)","authority_it":"Ufficio federale della cibersicurezza (UFCS)","authority_en":"Federal Office for Cybersecurity (FOCS)","authority_fr":"Office fédéral de la cybersécurité (OFCS)","authority_es":"Oficina Federal de Ciberseguridad (OFCS)","authority_de":"Bundesamt für Cybersicherheit (BACS)","steps":[{"time":"24h","label":{"it":"Segnalazione del ciberattacco","en":"Cyberattack report","fr":"Signalement de la cyberattaque","es":"Notificación del ciberataque","de":"Meldung eines Cyberangriffs"}}],"sanctions":{"it":"Multa fino a 100.000 franchi dal 1° ottobre 2025.","en":"Fine of up to CHF 100,000 from 1 October 2025.","fr":"Amende jusqu'à 100 000 francs depuis le 1er octobre 2025.","es":"Multa de hasta 100 000 francos desde el 1 de octubre de 2025.","de":"Busse von bis zu 100.000 CHF ab dem 1. Oktober 2025."},"source_url":"https://www.fedlex.admin.ch/eli/cc/2022/232/de"},{"id":"no-digitalsikkerhetsloven","jurisdiction":"NO","regime":{"it":"Legge sulla sicurezza digitale (digitalsikkerhetsloven)","en":"Digital Security Act (digitalsikkerhetsloven)","fr":"Loi sur la sécurité numérique (digitalsikkerhetsloven)","es":"Ley de Seguridad Digital (digitalsikkerhetsloven)","de":"Gesetz über digitale Sicherheit (digitalsikkerhetsloven)"},"documents":["no-digitalsikkerhetsloven-2023"],"status":"in_force","applies_from":"2025-10-01","who":{"it":"Fornitori di servizi essenziali (energia, trasporti, sanità, acqua potabile, banche e mercati finanziari, infrastrutture digitali) e fornitori di servizi digitali diversi dalle piccole imprese, per gli incidenti con un impatto rilevante sui servizi.","en":"Providers of essential services (energy, transport, health, drinking water, banking and financial markets, digital infrastructure) and digital service providers other than small enterprises, for incidents with a significant impact on their services.","fr":"Fournisseurs de services essentiels (énergie, transports, santé, eau potable, banques et marchés financiers, infrastructures numériques) et fournisseurs de services numériques autres que les petites entreprises, pour les incidents ayant un impact significatif sur leurs services.","es":"Proveedores de servicios esenciales (energía, transporte, salud, agua potable, banca y mercados financieros, infraestructura digital) y proveedores de servicios digitales que no sean pequeñas empresas, para los incidentes con un impacto significativo en sus servicios.","de":"Anbieter wesentlicher Dienste (Energie, Verkehr, Gesundheit, Trinkwasser, Bank- und Finanzmärkte, digitale Infrastruktur) und Anbieter digitaler Dienste mit Ausnahme kleiner Unternehmen, bei Vorfällen mit erheblichen Auswirkungen auf ihre Dienste."},"authority":"Tilsynsmyndigheten i sektoren, med kopi til Nasjonal sikkerhetsmyndighet (NSM)","authority_it":"Autorità di vigilanza del settore, con copia all'Autorità nazionale per la sicurezza (NSM)","authority_en":"Sector supervisory authority, with a copy to the Norwegian National Security Authority (NSM)","authority_fr":"Autorité de surveillance du secteur, avec copie à l'Autorité nationale de sécurité (NSM)","authority_es":"Autoridad supervisora del sector, con copia a la Autoridad Nacional de Seguridad (NSM)","authority_de":"Sektorale Aufsichtsbehörde, mit Kopie an die norwegische Nationale Sicherheitsbehörde (NSM)","steps":[{"time":"24h","label":{"it":"Notifica (varsel)","en":"Notice (varsel)","fr":"Notification (varsel)","es":"Notificación (varsel)","de":"Benachrichtigung (varsel)"}},{"time":"72h","label":{"it":"Aggiornamento della notifica","en":"Update of the notice","fr":"Mise à jour de la notification","es":"Actualización de la notificación","de":"Aktualisierung der Benachrichtigung"}},{"time":"1m","label":{"it":"Rapporto sull'incidente (dalla notifica)","en":"Incident report (from the notice)","fr":"Rapport d'incident (après la notification)","es":"Informe del incidente (desde la notificación)","de":"Bericht über den Vorfall (ab der Benachrichtigung)"}}],"sanctions":{"it":"Sanzione amministrativa (overtredelsesgebyr) fino a 25 volte l'importo base della previdenza sociale (G) o, per le imprese, fino al 4% del fatturato annuo se più alto, ma mai oltre 50 milioni di corone.","en":"Administrative fine (overtredelsesgebyr) of up to 25 times the national insurance basic amount (G) or, for companies, up to 4% of annual turnover if higher, but never more than NOK 50 million.","fr":"Amende administrative (overtredelsesgebyr) jusqu'à 25 fois le montant de base de la sécurité sociale (G) ou, pour les entreprises, jusqu'à 4 % du chiffre d'affaires annuel si ce montant est plus élevé, sans jamais dépasser 50 millions de couronnes.","es":"Multa administrativa (overtredelsesgebyr) de hasta 25 veces la cuantía básica de la seguridad social (G) o, para las empresas, de hasta el 4 % del volumen de negocios anual si es mayor, sin superar nunca 50 millones de coronas.","de":"Verwaltungsgeldbuße (overtredelsesgebyr) bis zum 25-Fachen des Grundbetrags der Volksversicherung (G) oder, für Unternehmen, bis zu 4 % des Jahresumsatzes, falls dies höher ist, jedoch nie mehr als 50 Mio. NOK."},"notes":{"it":"I termini sono fissati dal § 17 del regolamento sulla sicurezza digitale (digitalsikkerhetsforskriften) del 20 giugno 2025, in vigore con la legge dal 1° ottobre 2025; la legge chiede di notificare senza ingiustificato ritardo. L'NSM è il punto di contatto nazionale e il centro nazionale di risposta agli incidenti. La legge recepisce, nel quadro dell'accordo SEE, la direttiva (UE) 2016/1148 (NIS).","en":"The deadlines are set by § 17 of the Digital Security Regulation (digitalsikkerhetsforskriften) of 20 June 2025, in force together with the Act since 1 October 2025; the Act requires notification without undue delay. NSM is the national single point of contact and the national incident response centre. The Act implements Directive (EU) 2016/1148 (NIS) under the EEA Agreement.","fr":"Les délais sont fixés par le § 17 du règlement sur la sécurité numérique (digitalsikkerhetsforskriften) du 20 juin 2025, en vigueur avec la loi depuis le 1er octobre 2025 ; la loi impose de notifier sans retard injustifié. La NSM est le point de contact national et le centre national de réponse aux incidents. La loi transpose, dans le cadre de l'accord EEE, la directive (UE) 2016/1148 (SRI).","es":"Los plazos los fija el § 17 del reglamento de seguridad digital (digitalsikkerhetsforskriften) de 20 de junio de 2025, en vigor junto con la ley desde el 1 de octubre de 2025; la ley exige notificar sin demora indebida. La NSM es el punto de contacto nacional y el centro nacional de respuesta a incidentes. La ley transpone, en el marco del Acuerdo EEE, la Directiva (UE) 2016/1148 (SRI).","de":"Die Fristen legt § 17 der Verordnung über digitale Sicherheit (digitalsikkerhetsforskriften) vom 20. Juni 2025 fest, die zusammen mit dem Gesetz seit dem 1. Oktober 2025 in Kraft ist; das Gesetz verlangt eine unverzügliche Meldung. Die NSM ist nationale zentrale Anlaufstelle und nationales Zentrum für die Reaktion auf Vorfälle. Das Gesetz setzt die Richtlinie (EU) 2016/1148 (NIS) im Rahmen des EWR-Abkommens um."},"source_url":"https://lovdata.no/dokument/SF/forskrift/2025-06-20-1131"},{"id":"li-csg","jurisdiction":"LI","regime":{"it":"NIS2 (legge sulla cibersicurezza, CSG)","en":"NIS2 (Cyber Security Act, CSG)","fr":"NIS 2 (loi sur la cybersécurité, CSG)","es":"NIS2 (Ley de Ciberseguridad, CSG)","de":"NIS 2 (Cyber-Sicherheitsgesetz, CSG)"},"documents":["li-cyber-sicherheitsgesetz-2024","eu-nis2-directive-2022-2555"],"status":"in_force","applies_from":"2025-02-01","who":{"it":"Soggetti essenziali e importanti dei settori elencati negli allegati della legge, per gli incidenti significativi.","en":"Essential and important entities in the sectors listed in the annexes to the Act, for significant incidents.","fr":"Entités essentielles et importantes des secteurs énumérés en annexe de la loi, pour les incidents importants.","es":"Entidades esenciales e importantes de los sectores enumerados en los anexos de la ley, para los incidentes significativos.","de":"Wesentliche und wichtige Einrichtungen in den in den Anhängen des Gesetzes aufgeführten Sektoren bei erheblichen Sicherheitsvorfällen."},"authority":"Stabsstelle Cyber-Sicherheit (SCS)","steps":[{"time":"24h","label":{"it":"Preallarme","en":"Early warning","fr":"Alerte précoce","es":"Alerta temprana","de":"Frühwarnung"}},{"time":"72h","label":{"it":"Notifica dell'incidente","en":"Incident notification","fr":"Notification de l'incident","es":"Notificación del incidente","de":"Meldung des Vorfalls"}},{"time":"1m","label":{"it":"Relazione finale (dalla notifica)","en":"Final report (from the notification)","fr":"Rapport final (après la notification)","es":"Informe final (desde la notificación)","de":"Abschlussbericht (ab der Meldung)"}}],"sanctions":{"it":"Fino a 10 milioni di franchi o al 2% del fatturato mondiale per i soggetti essenziali; fino a 7 milioni o all'1,4% per quelli importanti. I massimi si dimezzano in caso di negligenza; nessuna multa agli enti dell'amministrazione pubblica dello Stato.","en":"Up to CHF 10 million or 2% of worldwide turnover for essential entities; up to CHF 7 million or 1.4% for important entities. The maximums are halved for negligence; no fines are imposed on bodies of the State's public administration.","fr":"Jusqu'à 10 millions de francs ou 2 % du chiffre d'affaires mondial pour les entités essentielles ; jusqu'à 7 millions ou 1,4 % pour les entités importantes. Les plafonds sont réduits de moitié en cas de négligence ; aucune amende n'est infligée aux organismes de l'administration publique de l'État.","es":"Hasta 10 millones de francos o el 2 % del volumen de negocios mundial para las entidades esenciales; hasta 7 millones o el 1,4 % para las importantes. Los máximos se reducen a la mitad en caso de negligencia; no se imponen multas a los organismos de la Administración pública del Estado.","de":"Bis zu 10 Mio. CHF oder 2 % des weltweiten Umsatzes für wesentliche Einrichtungen; bis zu 7 Mio. CHF oder 1,4 % für wichtige Einrichtungen. Bei Fahrlässigkeit halbieren sich die Höchstbeträge; gegen Stellen der staatlichen öffentlichen Verwaltung werden keine Bußen verhängt."},"notes":{"it":"L'obbligo è previsto dall'articolo 6 della legge, in vigore dal 1° febbraio 2025; la direttiva NIS2 vi si applica come diritto nazionale finché non sarà recepita nell'accordo SEE. Se una legge di settore prevede una notifica con criteri almeno equivalenti, vale quella e chi la riceve la inoltra senza indugio alla Stabsstelle Cyber-Sicherheit. Anche i destinatari dei servizi colpiti vanno informati senza indugio.","en":"The duty is laid down in Article 6 of the Act, in force since 1 February 2025; the NIS2 Directive applies there as national law until it is incorporated into the EEA Agreement. Where sector legislation provides for a notification with at least equivalent criteria, that one applies and its recipient forwards it without delay to the Stabsstelle Cyber-Sicherheit. Affected service recipients must also be informed without delay.","fr":"L'obligation figure à l'article 6 de la loi, en vigueur depuis le 1er février 2025 ; la directive NIS 2 s'y applique comme droit national jusqu'à son intégration dans l'accord EEE. Lorsqu'une loi sectorielle prévoit une notification aux critères au moins équivalents, c'est celle-ci qui s'applique et son destinataire la transmet sans délai à la Stabsstelle Cyber-Sicherheit. Les destinataires des services touchés doivent aussi être informés sans délai.","es":"La obligación figura en el artículo 6 de la ley, en vigor desde el 1 de febrero de 2025; la Directiva NIS2 se aplica allí como Derecho nacional hasta su incorporación al Acuerdo EEE. Cuando una ley sectorial prevé una notificación con criterios al menos equivalentes, se aplica esa y quien la recibe la remite sin demora a la Stabsstelle Cyber-Sicherheit. Los destinatarios de los servicios afectados también deben ser informados sin demora.","de":"Die Pflicht ist in Artikel 6 des seit dem 1. Februar 2025 geltenden Gesetzes festgelegt; die NIS-2-Richtlinie gilt dort als Landesrecht, bis sie in das EWR-Abkommen übernommen wird. Sieht die Spezialgesetzgebung eine Meldung mit mindestens gleichwertigen Kriterien vor, gilt diese, und ihr Empfänger leitet sie unverzüglich an die Stabsstelle Cyber-Sicherheit weiter. Betroffene Dienstempfänger sind ebenfalls unverzüglich zu informieren."},"source_url":"https://www.gesetze.li/konso/2025111000"},{"id":"me-zib","jurisdiction":"ME","regime":{"it":"Legge sulla sicurezza delle informazioni (2024)","en":"Law on Information Security (2024)","fr":"Loi sur la sécurité de l'information (2024)","es":"Ley de Seguridad de la Información (2024)","de":"Gesetz über Informationssicherheit (2024)"},"documents":["me-zakon-informaciona-bezbjednost-2024"],"status":"in_force","applies_from":"2024-12-05","who":{"it":"Enti pubblici, imprese e altri soggetti che usano e gestiscono reti e sistemi informativi, per le minacce e gli incidenti che possono incidere in modo significativo sulla continuità dei servizi.","en":"Public bodies, companies and other entities that use and manage network and information systems, for threats and incidents that could significantly affect the continuity of their services.","fr":"Organismes publics, entreprises et autres entités qui utilisent et gèrent des réseaux et systèmes d'information, pour les menaces et incidents susceptibles d'affecter de manière importante la continuité de leurs services.","es":"Organismos públicos, empresas y otras entidades que utilizan y gestionan redes y sistemas de información, para las amenazas e incidentes que puedan afectar de forma significativa a la continuidad de sus servicios.","de":"Öffentliche Stellen, Unternehmen und andere Einrichtungen, die Netz- und Informationssysteme nutzen und verwalten, bei Bedrohungen und Vorfällen, die die Kontinuität ihrer Dienste erheblich beeinträchtigen könnten."},"authority":"Agencija za sajber bezbjednost ili, za organe državne uprave, CIRT državne uprave","authority_it":"Agenzia per la cibersicurezza o, per gli organi dell'amministrazione statale, il CIRT dell'amministrazione statale","authority_en":"Cyber Security Agency or, for state administration bodies, the state administration CIRT","authority_fr":"Agence de cybersécurité ou, pour les organes de l'administration de l'État, le CIRT de l'administration de l'État","authority_es":"Agencia de Ciberseguridad o, para los órganos de la Administración del Estado, el CIRT de la Administración del Estado","authority_de":"Agentur für Cybersicherheit oder, für Stellen der Staatsverwaltung, das CIRT der Staatsverwaltung","steps":[{"time":"24h","label":{"it":"Notifica iniziale","en":"Initial notification","fr":"Notification initiale","es":"Notificación inicial","de":"Erstmeldung"}},{"time":"72h","label":{"it":"Primo rapporto sugli incidenti di livello medio o alto (dalla notifica iniziale)","en":"First report on medium- or high-level incidents (from the initial notification)","fr":"Premier rapport sur les incidents de niveau moyen ou élevé (après la notification initiale)","es":"Primer informe sobre los incidentes de nivel medio o alto (desde la notificación inicial)","de":"Erster Bericht über Vorfälle mittlerer oder hoher Stufe (ab der Erstmeldung)"}},{"time":"30d","label":{"it":"Rapporto finale (dalla risoluzione dell'incidente)","en":"Final report (from resolution of the incident)","fr":"Rapport final (après la résolution de l'incident)","es":"Informe final (desde la resolución del incidente)","de":"Abschlussbericht (ab der Behebung des Vorfalls)"}}],"sanctions":{"it":"Multa da 500 a 5.000 euro per la persona giuridica e da 30 a 1.500 euro per il responsabile; in caso di recidiva, divieto di esercitare la professione, l'attività o la funzione da tre a sei mesi.","en":"Fine of €500 to €5,000 for the legal person and €30 to €1,500 for the responsible person; for repeated breaches, a ban on exercising the profession, activity or duty for three to six months.","fr":"Amende de 500 à 5 000 euros pour la personne morale et de 30 à 1 500 euros pour la personne responsable ; en cas de récidive, interdiction d'exercer la profession, l'activité ou la fonction pendant trois à six mois.","es":"Multa de 500 a 5000 euros para la persona jurídica y de 30 a 1500 euros para la persona responsable; en caso de reincidencia, prohibición de ejercer la profesión, actividad o función durante tres a seis meses.","de":"Geldbuße von 500 € bis 5.000 € für die juristische Person und von 30 € bis 1.500 € für die verantwortliche Person; bei wiederholten Verstößen ein Verbot der Ausübung des Berufs, der Tätigkeit oder der Funktion für drei bis sechs Monate."},"notes":{"it":"Gli obblighi sono negli articoli 28-34 della legge (Službeni list CG 113/2024), in vigore dal 5 dicembre 2024 e allineata alla NIS2. Il livello dell'incidente (basso, medio o alto) è stabilito dall'Agenzia o dal CIRT dopo la notifica iniziale; finché l'incidente dura seguono rapporti ogni 72 ore per quelli di livello medio e ogni 24 ore per quelli di livello alto. Le minacce e gli incidenti senza impatto sulla continuità dei servizi si segnalano con un rapporto mensile.","en":"The obligations are in Articles 28-34 of the Law (Službeni list CG 113/2024), in force since 5 December 2024 and aligned with NIS2. The incident level (low, medium or high) is set by the Agency or the CIRT after the initial notification; while the incident lasts, reports follow every 72 hours for medium-level incidents and every 24 hours for high-level ones. Threats and incidents with no impact on service continuity are reported in a monthly report.","fr":"Les obligations figurent aux articles 28 à 34 de la loi (Službeni list CG 113/2024), en vigueur depuis le 5 décembre 2024 et alignée sur la directive NIS 2. Le niveau de l'incident (faible, moyen ou élevé) est fixé par l'Agence ou le CIRT après la notification initiale ; tant que l'incident dure, des rapports suivent toutes les 72 heures pour les incidents de niveau moyen et toutes les 24 heures pour ceux de niveau élevé. Les menaces et incidents sans impact sur la continuité des services sont signalés dans un rapport mensuel.","es":"Las obligaciones figuran en los artículos 28 a 34 de la ley (Službeni list CG 113/2024), en vigor desde el 5 de diciembre de 2024 y alineada con la NIS2. El nivel del incidente (bajo, medio o alto) lo fija la Agencia o el CIRT tras la notificación inicial; mientras dura el incidente, siguen informes cada 72 horas para los de nivel medio y cada 24 horas para los de nivel alto. Las amenazas e incidentes sin impacto en la continuidad de los servicios se comunican en un informe mensual.","de":"Die Pflichten stehen in den Artikeln 28-34 des Gesetzes (Službeni list CG 113/2024), das seit dem 5. Dezember 2024 in Kraft und an NIS 2 angeglichen ist. Die Stufe des Vorfalls (niedrig, mittel oder hoch) legt die Agentur oder das CIRT nach der Erstmeldung fest; solange der Vorfall andauert, folgen Berichte alle 72 Stunden bei Vorfällen mittlerer Stufe und alle 24 Stunden bei solchen hoher Stufe. Bedrohungen und Vorfälle ohne Auswirkungen auf die Kontinuität der Dienste werden in einem Monatsbericht gemeldet."},"source_url":"https://www.gov.me/dokumenta/23936380-482a-4784-bd94-be69413d7334"},{"id":"rs-zib","jurisdiction":"RS","regime":{"it":"Legge sulla sicurezza delle informazioni (2025)","en":"Law on Information Security (2025)","fr":"Loi sur la sécurité de l'information (2025)","es":"Ley de Seguridad de la Información (2025)","de":"Gesetz über Informationssicherheit (2025)"},"documents":["rs-zakon-informaciona-bezbednost-2025"],"status":"in_force","who":{"it":"Operatori di sistemi ICT di particolare importanza (prioritari e importanti), per gli incidenti che possono incidere in modo significativo sulla sicurezza delle informazioni e per i quasi incidenti che rappresentano una minaccia grave.","en":"Operators of ICT systems of special importance (priority and important), for incidents that may significantly affect information security and for near misses that pose a serious threat.","fr":"Opérateurs de systèmes TIC d'importance particulière (prioritaires et importants), pour les incidents susceptibles d'avoir un impact important sur la sécurité de l'information et pour les incidents évités qui représentent une menace grave.","es":"Operadores de sistemas TIC de especial importancia (prioritarios e importantes), para los incidentes que puedan afectar de forma significativa a la seguridad de la información y para los cuasi incidentes que supongan una amenaza grave.","de":"Betreiber von IKT-Systemen von besonderer Bedeutung (vorrangige und wichtige) bei Vorfällen, die die Informationssicherheit erheblich beeinträchtigen können, und bei Beinahe-Vorfällen, die eine ernste Bedrohung darstellen."},"authority":"Jedinstveni sistem za prijem obaveštenja o incidentima; Narodna banka Srbije, Komisija za hartije od vrednosti i RATEL za svoje sektore","authority_it":"Sistema unico di ricezione delle notifiche (sito del ministero competente o dell'Ufficio per la sicurezza delle informazioni); Banca nazionale di Serbia, Commissione per i valori mobiliari e RATEL per i rispettivi settori","authority_en":"Single incident notification system (website of the competent ministry or of the Information Security Office); National Bank of Serbia, Securities Commission and RATEL for their sectors","authority_fr":"Système unique de réception des notifications (site du ministère compétent ou de l'Office de la sécurité de l'information) ; Banque nationale de Serbie, Commission des valeurs mobilières et RATEL pour leurs secteurs","authority_es":"Sistema único de recepción de notificaciones (sitio web del ministerio competente o de la Oficina de Seguridad de la Información); Banco Nacional de Serbia, Comisión de Valores y RATEL para sus sectores","authority_de":"Einheitliches System für die Meldung von Vorfällen (Website des zuständigen Ministeriums oder des Amts für Informationssicherheit); Nationalbank Serbiens, Wertpapierkommission und RATEL für ihre Sektoren","steps":[{"time":"24h","label":{"it":"Notifica dell'incidente","en":"Incident notification","fr":"Notification de l'incident","es":"Notificación del incidente","de":"Meldung des Vorfalls"}},{"time":"15d","label":{"it":"Rapporto finale (dalla fine dell'incidente)","en":"Final report (from the end of the incident)","fr":"Rapport final (après la fin de l'incident)","es":"Informe final (desde el fin del incidente)","de":"Abschlussbericht (ab dem Ende des Vorfalls)"}}],"sanctions":{"it":"Per la mancata notifica, la mancata informazione degli utenti o i rapporti non inviati, multa da 50.000 a 500.000 dinari per la persona giuridica e da 5.000 a 50.000 dinari per il responsabile; per banche e mercati finanziari provvede la Banca nazionale di Serbia secondo le norme di settore.","en":"For failing to notify, to inform users or to send reports, a fine of RSD 50,000 to 500,000 for the legal person and RSD 5,000 to 50,000 for the responsible person; for banks and financial markets the National Bank of Serbia acts under sector rules.","fr":"En cas de défaut de notification, d'information des utilisateurs ou d'envoi des rapports, amende de 50 000 à 500 000 dinars pour la personne morale et de 5 000 à 50 000 dinars pour la personne responsable ; pour les banques et les marchés financiers, la Banque nationale de Serbie intervient selon les règles du secteur.","es":"Por no notificar, no informar a los usuarios o no enviar los informes, multa de 50 000 a 500 000 dinares para la persona jurídica y de 5000 a 50 000 dinares para la persona responsable; para los bancos y los mercados financieros actúa el Banco Nacional de Serbia según las normas del sector.","de":"Bei unterlassener Meldung, Unterrichtung der Nutzer oder Übermittlung von Berichten eine Geldbuße von 50.000 bis 500.000 RSD für die juristische Person und von 5.000 bis 50.000 RSD für die verantwortliche Person; für Banken und Finanzmärkte handelt die Nationalbank Serbiens nach sektoralen Vorschriften."},"notes":{"it":"Gli obblighi sono negli articoli 13, 14 e 24 della legge, in vigore dal 31 ottobre 2025; per gli operatori designati con la legge del 2016 i vecchi obblighi sono rimasti in vigore fino al 31 dicembre 2025. Finché l'incidente dura vanno inviati rapporti ogni tre giorni per quelli di livello medio e ogni 24 ore per quelli di livello alto e molto alto; gli utenti colpiti vanno informati senza indugio. L'Ufficio per la sicurezza delle informazioni opera dal 1° gennaio 2027; fino ad allora i suoi compiti sono svolti dall'Ufficio per le tecnologie dell'informazione e l'amministrazione elettronica e, per il CERT nazionale, dalla RATEL.","en":"The obligations are in Articles 13, 14 and 24 of the Law, in force since 31 October 2025; for operators designated under the 2016 law, the old obligations remained in force until 31 December 2025. While the incident lasts, reports must be sent every three days for medium-level incidents and every 24 hours for high- and very high-level ones; affected users must be informed without delay. The Information Security Office starts operating on 1 January 2027; until then its tasks are carried out by the Office for Information Technologies and eGovernment and, for the national CERT, by RATEL.","fr":"Les obligations figurent aux articles 13, 14 et 24 de la loi, en vigueur depuis le 31 octobre 2025 ; pour les opérateurs désignés sous la loi de 2016, les anciennes obligations sont restées en vigueur jusqu'au 31 décembre 2025. Tant que l'incident dure, des rapports sont dus tous les trois jours pour les incidents de niveau moyen et toutes les 24 heures pour ceux de niveau élevé et très élevé ; les utilisateurs touchés doivent être informés sans délai. L'Office de la sécurité de l'information fonctionne à partir du 1er janvier 2027 ; jusque-là, ses tâches sont assurées par l'Office des technologies de l'information et de l'administration électronique et, pour le CERT national, par la RATEL.","es":"Las obligaciones figuran en los artículos 13, 14 y 24 de la ley, en vigor desde el 31 de octubre de 2025; para los operadores designados con la ley de 2016, las antiguas obligaciones siguieron vigentes hasta el 31 de diciembre de 2025. Mientras dura el incidente deben enviarse informes cada tres días para los de nivel medio y cada 24 horas para los de nivel alto y muy alto; los usuarios afectados deben ser informados sin demora. La Oficina de Seguridad de la Información empieza a funcionar el 1 de enero de 2027; hasta entonces sus funciones las ejercen la Oficina de Tecnologías de la Información y Administración Electrónica y, para el CERT nacional, RATEL.","de":"Die Pflichten stehen in den Artikeln 13, 14 und 24 des seit dem 31. Oktober 2025 geltenden Gesetzes; für nach dem Gesetz von 2016 bestimmte Betreiber galten die alten Pflichten bis zum 31. Dezember 2025 weiter. Solange der Vorfall andauert, sind Berichte bei Vorfällen mittlerer Stufe alle drei Tage und bei solchen hoher und sehr hoher Stufe alle 24 Stunden zu übermitteln; betroffene Nutzer sind unverzüglich zu informieren. Das Amt für Informationssicherheit nimmt am 1. Januar 2027 seine Tätigkeit auf; bis dahin werden seine Aufgaben vom Amt für Informationstechnologien und E-Government und, für das nationale CERT, von RATEL wahrgenommen."},"source_url":"https://www.parlament.gov.rs/upload/archive/files/lat/pdf/zakoni/14_saziv/1223-25%20-%20Lat..pdf"},{"id":"mk-nis","jurisdiction":"MK","regime":{"it":"Legge sulla sicurezza delle reti e dei sistemi informativi (2025)","en":"Law on Security of Network and Information Systems (2025)","fr":"Loi sur la sécurité des réseaux et des systèmes d'information (2025)","es":"Ley sobre la seguridad de las redes y sistemas de información (2025)","de":"Gesetz über die Sicherheit von Netz- und Informationssystemen (2025)"},"documents":["mk-zakon-bezbednost-mrezni-informaciski-sistemi-2025"],"status":"in_force","applies_from":"2026-01-01","who":{"it":"Soggetti essenziali e importanti (istituzioni pubbliche e imprese dei settori allineati alla NIS2), per gli incidenti e le minacce informatiche significativi; alcuni settori, come acqua, rifiuti, servizi postali e ricerca, saranno coperti solo dall'adesione all'UE.","en":"Essential and important entities (public institutions and companies in the sectors aligned with NIS2), for significant incidents and cyber threats; some sectors, such as water, waste, postal services and research, will only be covered from EU accession.","fr":"Entités essentielles et importantes (institutions publiques et entreprises des secteurs alignés sur la directive NIS 2), pour les incidents et cybermenaces importants ; certains secteurs, comme l'eau, les déchets, les services postaux et la recherche, ne seront couverts qu'à partir de l'adhésion à l'UE.","es":"Entidades esenciales e importantes (instituciones públicas y empresas de los sectores alineados con la NIS2), para los incidentes y ciberamenazas significativos; algunos sectores, como el agua, los residuos, los servicios postales y la investigación, solo estarán cubiertos desde la adhesión a la UE.","de":"Wesentliche und wichtige Einrichtungen (öffentliche Einrichtungen und Unternehmen in den an NIS 2 angeglichenen Sektoren) bei erheblichen Sicherheitsvorfällen und Cyberbedrohungen; einige Sektoren wie Wasser, Abfall, Postdienste und Forschung werden erst ab dem EU-Beitritt erfasst."},"authority":"Competent CSIRT (MKD-CIRT at the Agency for Electronic Communications or, for executive bodies, MKD-GOV-CSIRT)","authority_it":"CSIRT competente (MKD-CIRT presso l'Agenzia per le comunicazioni elettroniche o, per gli organi esecutivi, MKD-GOV-CSIRT)","authority_fr":"CSIRT compétent (MKD-CIRT, au sein de l'Agence des communications électroniques, ou, pour les organes exécutifs, MKD-GOV-CSIRT)","authority_es":"CSIRT competente (MKD-CIRT, en la Agencia de Comunicaciones Electrónicas, o, para los órganos ejecutivos, MKD-GOV-CSIRT)","authority_de":"Zuständiges CSIRT (MKD-CIRT bei der Agentur für elektronische Kommunikation oder, für Exekutivorgane, MKD-GOV-CSIRT)","steps":[{"time":"3h","label":{"it":"Prima comunicazione dell'incidente o della minaccia significativi","en":"First notice of the significant incident or threat","fr":"Première communication de l'incident ou de la menace importants","es":"Primera comunicación del incidente o la amenaza significativos","de":"Erste Benachrichtigung über den erheblichen Vorfall oder die Bedrohung"}},{"time":"24h","label":{"it":"Preallarme","en":"Early warning","fr":"Alerte précoce","es":"Alerta temprana","de":"Frühwarnung"}},{"time":"72h","label":{"it":"Notifica dell'incidente","en":"Incident notification","fr":"Notification de l'incident","es":"Notificación del incidente","de":"Meldung des Vorfalls"}},{"time":"1m","label":{"it":"Relazione finale (dalla notifica)","en":"Final report (from the notification)","fr":"Rapport final (après la notification)","es":"Informe final (desde la notificación)","de":"Abschlussbericht (ab der Meldung)"}}],"sanctions":{"it":"Multa fino al 2% del reddito annuo per i soggetti essenziali e fino all'1,4% per quelli importanti, e fino a 5.000 euro per i responsabili e i dirigenti pubblici; per i soggetti essenziali anche il divieto temporaneo di svolgere l'attività. Le sanzioni sono inflitte dal giudice.","en":"Fine of up to 2% of annual revenue for essential entities and up to 1.4% for important ones, and up to €5,000 for responsible persons and heads of public bodies; essential entities may also be temporarily banned from carrying out the activity. Penalties are imposed by the courts.","fr":"Amende jusqu'à 2 % du revenu annuel pour les entités essentielles et jusqu'à 1,4 % pour les entités importantes, et jusqu'à 5 000 euros pour les responsables et les dirigeants publics ; les entités essentielles peuvent aussi se voir interdire temporairement l'exercice de l'activité. Les sanctions sont prononcées par le tribunal.","es":"Multa de hasta el 2 % de los ingresos anuales para las entidades esenciales y de hasta el 1,4 % para las importantes, y de hasta 5000 euros para los responsables y los directivos públicos; a las entidades esenciales también se les puede prohibir temporalmente ejercer la actividad. Las sanciones las impone el tribunal.","de":"Geldbuße von bis zu 2 % des Jahresumsatzes für wesentliche und bis zu 1,4 % für wichtige Einrichtungen sowie bis zu 5.000 € für verantwortliche Personen und Leiter öffentlicher Stellen; wesentlichen Einrichtungen kann zudem die Tätigkeit vorübergehend untersagt werden. Die Sanktionen verhängen die Gerichte."},"notes":{"it":"Gli obblighi sono nell'articolo 33 della legge (Služben vesnik n. 135 del 4 luglio 2025), che si allinea alla NIS2 e si applica dal 1° gennaio 2026. I prestatori di servizi fiduciari notificano entro 24 ore; gli utenti esposti a una minaccia grave vanno informati entro il giorno lavorativo successivo. Se la comunicazione arriva all'autorità competente, questa la inoltra al CSIRT entro due ore.","en":"The obligations are in Article 33 of the Law (Služben vesnik No 135 of 4 July 2025), which aligns with NIS2 and applies from 1 January 2026. Trust service providers report within 24 hours; users exposed to a serious threat must be informed by the next working day. If the notice reaches the competent authority instead, it forwards it to the CSIRT within two hours.","fr":"Les obligations figurent à l'article 33 de la loi (Služben vesnik n° 135 du 4 juillet 2025), qui s'aligne sur la directive NIS 2 et s'applique depuis le 1er janvier 2026. Les prestataires de services de confiance notifient dans les 24 heures ; les utilisateurs exposés à une menace grave doivent être informés au plus tard le jour ouvrable suivant. Si la communication parvient à l'autorité compétente, celle-ci la transmet au CSIRT dans les deux heures.","es":"Las obligaciones figuran en el artículo 33 de la ley (Služben vesnik n.º 135 de 4 de julio de 2025), que se alinea con la NIS2 y se aplica desde el 1 de enero de 2026. Los prestadores de servicios de confianza notifican en 24 horas; los usuarios expuestos a una amenaza grave deben ser informados a más tardar el siguiente día hábil. Si la comunicación llega a la autoridad competente, esta la remite al CSIRT en dos horas.","de":"Die Pflichten stehen in Artikel 33 des Gesetzes (Služben vesnik Nr. 135 vom 4. Juli 2025), das an NIS 2 angeglichen ist und ab dem 1. Januar 2026 gilt. Vertrauensdiensteanbieter melden innerhalb von 24 Stunden; Nutzer, die einer ernsten Bedrohung ausgesetzt sind, müssen bis zum nächsten Arbeitstag informiert werden. Geht die Benachrichtigung stattdessen bei der zuständigen Behörde ein, leitet diese sie innerhalb von zwei Stunden an das CSIRT weiter."},"source_url":"https://mkd-cirt.mk/download/zakon-za-bezbednost-na-mrezi-i-informaciski-sistemi-2025/"},{"id":"us-circia","jurisdiction":"US","regime":{"it":"CIRCIA (2022)","en":"CIRCIA (2022)","fr":"CIRCIA (2022)","es":"CIRCIA (2022)","de":"CIRCIA (2022)"},"documents":["us-circia-2022"],"status":"pending","who":{"it":"Soggetti dei settori delle infrastrutture critiche individuati dalla regola attuativa della CISA.","en":"Critical infrastructure entities defined by CISA's implementing rule.","fr":"Entités des secteurs d'infrastructures critiques définies par la règle d'application de la CISA.","es":"Entidades de los sectores de infraestructuras críticas definidas por la norma de aplicación de la CISA.","de":"Einrichtungen kritischer Infrastrukturen, wie sie die Durchführungsvorschrift der CISA bestimmt."},"authority":"Cybersecurity and Infrastructure Security Agency (CISA)","authority_it":"Agenzia per la sicurezza informatica e delle infrastrutture (CISA)","authority_fr":"Agence pour la cybersécurité et la sécurité des infrastructures (CISA)","authority_es":"Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA)","authority_de":"Cybersecurity and Infrastructure Security Agency (CISA)","steps":[{"time":"24h","label":{"it":"Pagamento di un riscatto (dal pagamento)","en":"Ransom payment (from the payment)","fr":"Paiement d'une rançon (après le paiement)","es":"Pago de un rescate (desde el pago)","de":"Lösegeldzahlung (ab der Zahlung)"}},{"time":"72h","label":{"it":"Incidente informatico rilevante","en":"Covered cyber incident","fr":"Cyberincident visé","es":"Ciberincidente cubierto","de":"Erfasster Cybervorfall"}}],"sanctions":{"it":"La CISA può chiedere informazioni, emettere ingiunzioni (subpoena) e rivolgersi al Dipartimento di Giustizia per un'azione civile.","en":"CISA can request information, issue subpoenas and refer cases to the Department of Justice for civil action.","fr":"La CISA peut demander des informations, délivrer des injonctions (subpoenas) et saisir le département de la Justice pour une action civile.","es":"La CISA puede solicitar información, emitir citaciones (subpoenas) y remitir el caso al Departamento de Justicia para una acción civil.","de":"Die CISA kann Informationen anfordern, Vorladungen (Subpoenas) erlassen und Fälle zur zivilrechtlichen Verfolgung an das Justizministerium verweisen."},"notes":{"it":"Gli obblighi scattano solo con la regola finale della CISA, che l'agenda regolamentare federale dell'autunno 2025 indicava per settembre 2026. Il 1° ottobre 2026 il testo finale è stato trasmesso per l'esame all'Office of Information and Regulatory Affairs (OIRA) della Casa Bianca, ancora in corso a fine ottobre 2026; la regola non è quindi ancora stata pubblicata nel Federal Register. Nel 2026 la CISA ha tenuto incontri pubblici (town hall) per ridurre portata e oneri della proposta del 2024.","en":"The obligations start only with CISA's final rule, which the Fall 2025 federal regulatory agenda scheduled for September 2026. On 1 October 2026 the final rule was submitted for review to the White House Office of Information and Regulatory Affairs (OIRA), a review still under way in late October 2026, so the rule has not yet been published in the Federal Register. In 2026 CISA held town hall meetings to refine the scope and burden of the 2024 proposal.","fr":"Les obligations ne s'appliqueront qu'avec la règle finale de la CISA, que l'agenda réglementaire fédéral de l'automne 2025 annonçait pour septembre 2026. Le 1er octobre 2026, le texte final a été transmis pour examen à l'Office of Information and Regulatory Affairs (OIRA) de la Maison-Blanche, examen toujours en cours fin octobre 2026 ; la règle n'est donc pas encore publiée au Federal Register. En 2026, la CISA a organisé des réunions publiques (town halls) pour réduire la portée et la charge de la proposition de 2024.","es":"Las obligaciones solo se aplicarán con la norma final de la CISA, que la agenda regulatoria federal de otoño de 2025 preveía para septiembre de 2026. El 1 de octubre de 2026 el texto final se remitió para su examen a la Office of Information and Regulatory Affairs (OIRA) de la Casa Blanca, examen aún en curso a finales de octubre de 2026, por lo que la norma todavía no se ha publicado en el Federal Register. En 2026 la CISA celebró reuniones públicas (town halls) para reducir el alcance y la carga de la propuesta de 2024.","de":"Die Pflichten beginnen erst mit der endgültigen Vorschrift der CISA, die die Regulierungsagenda des Bundes vom Herbst 2025 für September 2026 vorsah. Am 1. Oktober 2026 wurde die endgültige Vorschrift dem Office of Information and Regulatory Affairs (OIRA) des Weißen Hauses zur Prüfung vorgelegt, die Ende Oktober 2026 noch andauert, sodass die Vorschrift noch nicht im Federal Register veröffentlicht ist. 2026 hielt die CISA Town-Hall-Veranstaltungen ab, um Anwendungsbereich und Belastung des Entwurfs von 2024 zu präzisieren."},"source_url":"https://www.cisa.gov/topics/cyber-threats-and-advisories/information-sharing/cyber-incident-reporting-critical-infrastructure-act-2022-circia"},{"id":"us-sec-8k","jurisdiction":"US","regime":{"it":"Regole SEC sulla trasparenza cyber (modulo 8-K, Item 1.05)","en":"SEC cybersecurity disclosure rules (Form 8-K, Item 1.05)","fr":"Règles de la SEC sur la publication des incidents cyber (formulaire 8-K, Item 1.05)","es":"Normas de la SEC sobre divulgación de ciberseguridad (formulario 8-K, Item 1.05)","de":"Offenlegungsvorschriften der SEC zur Cybersicherheit (Form 8-K, Item 1.05)"},"documents":["us-sec-cybersecurity-disclosure-rule-2023"],"status":"in_force","applies_from":"2023-12-18","who":{"it":"Emittenti soggetti agli obblighi di informativa del Securities Exchange Act del 1934, per gli incidenti di cybersecurity rilevanti (material) per gli investitori; gli emittenti esteri usano invece il modulo 6-K.","en":"Issuers subject to the reporting requirements of the Securities Exchange Act of 1934, for cybersecurity incidents that are material to investors; foreign private issuers use Form 6-K instead.","fr":"Émetteurs soumis aux obligations d'information du Securities Exchange Act de 1934, pour les incidents de cybersécurité significatifs (material) pour les investisseurs ; les émetteurs privés étrangers utilisent le formulaire 6-K.","es":"Emisores sujetos a las obligaciones de información de la Securities Exchange Act de 1934, para los incidentes de ciberseguridad importantes (material) para los inversores; los emisores privados extranjeros usan el formulario 6-K.","de":"Emittenten, die den Berichtspflichten des Securities Exchange Act von 1934 unterliegen, bei Cybersicherheitsvorfällen, die für Anleger wesentlich sind; ausländische private Emittenten verwenden stattdessen Form 6-K."},"authority":"Securities and Exchange Commission (SEC)","steps":[{"time":"4d","label":{"it":"Comunicazione pubblica sul modulo 8-K (4 giorni lavorativi dalla decisione sulla rilevanza)","en":"Public disclosure on Form 8-K (4 business days from the materiality determination)","fr":"Publication sur le formulaire 8-K (4 jours ouvrables après la décision sur le caractère significatif)","es":"Divulgación pública en el formulario 8-K (4 días hábiles desde la determinación de la importancia)","de":"Öffentliche Offenlegung auf Form 8-K (4 Geschäftstage ab Feststellung der Wesentlichkeit)"}}],"sanctions":{"it":"La regola non prevede sanzioni proprie. Il solo ritardo non fa perdere l'idoneità al modulo S-3 e rientra in un limitato safe harbor rispetto alla responsabilità ai sensi della Rule 10b-5.","en":"The rule sets no penalties of its own. Late filing alone does not cost eligibility for Form S-3 and falls within a limited safe harbor from liability under Rule 10b-5.","fr":"La règle ne prévoit pas de sanctions propres. Le seul retard ne fait pas perdre l'éligibilité au formulaire S-3 et relève d'une exonération limitée (safe harbor) de responsabilité au titre de la Rule 10b-5.","es":"La norma no prevé sanciones propias. El mero retraso no hace perder la elegibilidad para el formulario S-3 y se acoge a un puerto seguro limitado frente a la responsabilidad conforme a la Rule 10b-5.","de":"Die Vorschrift legt keine eigenen Sanktionen fest. Eine verspätete Einreichung allein führt nicht zum Verlust der Berechtigung für Form S-3 und fällt unter einen begrenzten Safe Harbor gegen die Haftung nach Rule 10b-5."},"notes":{"it":"La rilevanza va valutata senza ingiustificato ritardo dopo la scoperta dell'incidente; le informazioni non disponibili al momento si aggiungono con una modifica del modulo 8-K entro 4 giorni lavorativi da quando diventano disponibili. La comunicazione può essere rinviata se il procuratore generale degli Stati Uniti ritiene che comporti un rischio grave per la sicurezza nazionale o pubblica. Obbligo applicato dal 18 dicembre 2023 e, per le società di minori dimensioni (smaller reporting companies), dal 15 giugno 2024.","en":"Materiality must be determined without unreasonable delay after discovery of the incident; information not available at the time is added by amending the Form 8-K within 4 business days after it becomes available. Disclosure may be delayed if the US Attorney General determines that it poses a substantial risk to national security or public safety. Compliance required from 18 December 2023 and, for smaller reporting companies, from 15 June 2024.","fr":"Le caractère significatif doit être apprécié sans retard injustifié après la découverte de l'incident ; les informations non disponibles sur le moment sont ajoutées par une modification du formulaire 8-K dans les 4 jours ouvrables suivant le moment où elles le deviennent. La publication peut être différée si le procureur général des États-Unis estime qu'elle présente un risque grave pour la sécurité nationale ou publique. Obligation applicable depuis le 18 décembre 2023 et, pour les petites sociétés (smaller reporting companies), depuis le 15 juin 2024.","es":"La importancia debe determinarse sin demora injustificada tras el descubrimiento del incidente; la información no disponible en ese momento se añade modificando el formulario 8-K en los 4 días hábiles siguientes a que esté disponible. La divulgación puede aplazarse si el fiscal general de Estados Unidos considera que supone un riesgo grave para la seguridad nacional o pública. Obligación aplicable desde el 18 de diciembre de 2023 y, para las empresas de menor tamaño (smaller reporting companies), desde el 15 de junio de 2024.","de":"Die Wesentlichkeit ist nach Entdeckung des Vorfalls ohne unangemessene Verzögerung festzustellen; zu diesem Zeitpunkt nicht verfügbare Informationen werden durch Änderung der Form 8-K innerhalb von 4 Geschäftstagen nach ihrem Vorliegen nachgetragen. Die Offenlegung kann aufgeschoben werden, wenn der US Attorney General feststellt, dass sie ein erhebliches Risiko für die nationale oder öffentliche Sicherheit darstellt. Einhaltung erforderlich ab dem 18. Dezember 2023 und für kleinere berichtspflichtige Unternehmen ab dem 15. Juni 2024."},"source_url":"https://www.govinfo.gov/content/pkg/FR-2023-08-04/pdf/2023-16194.pdf"},{"id":"ca-ccspa","jurisdiction":"CA","regime":{"it":"Critical Cyber Systems Protection Act (S.C. 2026, c. 9)","en":"Critical Cyber Systems Protection Act (S.C. 2026, c. 9)","fr":"Loi sur la protection des cybersystèmes essentiels (L.C. 2026, ch. 9)","es":"Critical Cyber Systems Protection Act (S.C. 2026, c. 9)","de":"Critical Cyber Systems Protection Act (S.C. 2026, c. 9)"},"documents":["ca-act-respecting-cyber-security-2026"],"status":"pending","who":{"it":"Operatori designati di servizi e sistemi critici di competenza federale (telecomunicazioni, oleodotti e linee elettriche interprovinciali, nucleare, trasporti federali, banche e sistemi di compensazione e regolamento).","en":"Designated operators of vital services and systems under federal jurisdiction (telecommunications, interprovincial pipelines and power lines, nuclear energy, federal transportation, banks and clearing and settlement systems).","fr":"Exploitants désignés de services et systèmes critiques de compétence fédérale (télécommunications, pipelines et lignes électriques interprovinciaux, nucléaire, transports fédéraux, banques et systèmes de compensation et de règlement).","es":"Operadores designados de servicios y sistemas críticos de competencia federal (telecomunicaciones, oleoductos y líneas eléctricas interprovinciales, energía nuclear, transporte federal, bancos y sistemas de compensación y liquidación).","de":"Benannte Betreiber lebenswichtiger Dienste und Systeme unter Bundeszuständigkeit (Telekommunikation, interprovinzielle Pipelines und Stromleitungen, Kernenergie, Verkehr des Bundes, Banken sowie Clearing- und Abwicklungssysteme)."},"authority":"Communications Security Establishment (CSE)","authority_it":"Communications Security Establishment (CSE)","authority_fr":"Centre de la sécurité des télécommunications (CST)","authority_es":"Communications Security Establishment (CSE)","authority_de":"Communications Security Establishment (CSE)","steps":[{"time":"72h","label":{"it":"Segnalazione dell'incidente al CSE (termine massimo; quello esatto sarà fissato dai regolamenti)","en":"Incident report to the CSE (maximum period; the exact one will be set by regulations)","fr":"Signalement de l'incident au CST (délai maximal ; le délai exact sera fixé par règlement)","es":"Notificación del incidente al CSE (plazo máximo; el exacto lo fijarán los reglamentos)","de":"Meldung des Vorfalls an das CSE (Höchstfrist; die genaue Frist wird durch Verordnung festgelegt)"}}],"sanctions":{"it":"Sanzioni amministrative pecuniarie fino a 500.000 dollari canadesi per le persone fisiche e fino a 15 milioni per gli altri soggetti.","en":"Administrative monetary penalties of up to CAD 500,000 for individuals and up to CAD 15 million for others.","fr":"Sanctions administratives pécuniaires jusqu'à 500 000 dollars canadiens pour les personnes physiques et jusqu'à 15 millions pour les autres.","es":"Sanciones administrativas pecuniarias de hasta 500.000 dólares canadienses para las personas físicas y de hasta 15 millones para los demás.","de":"Verwaltungsgeldbußen von bis zu 500.000 CAD für natürliche Personen und bis zu 15 Mio. CAD für andere."},"notes":{"it":"La parte 2 della legge, sanzionata il 15 giugno 2026, entrerà in vigore con decreto del Governatore in Consiglio e i regolamenti fisseranno il termine esatto. Subito dopo la segnalazione al CSE l'operatore deve informare anche l'autorità di regolazione competente.","en":"Part 2 of the Act, which received Royal Assent on 15 June 2026, will come into force by order of the Governor in Council, and regulations will set the exact deadline. Immediately after reporting to the CSE, the operator must also notify the appropriate regulator.","fr":"La partie 2 de la loi, sanctionnée le 15 juin 2026, entrera en vigueur par décret du gouverneur en conseil et les règlements fixeront le délai exact. Immédiatement après le signalement au CST, l'exploitant doit aussi aviser l'organisme réglementaire compétent.","es":"La parte 2 de la ley, sancionada el 15 de junio de 2026, entrará en vigor por decreto del Gobernador en Consejo y los reglamentos fijarán el plazo exacto. Inmediatamente después de notificar al CSE, el operador debe informar también al regulador competente.","de":"Teil 2 des Gesetzes, das am 15. Juni 2026 den Royal Assent erhielt, tritt durch Verordnung des Governor in Council in Kraft, und Verordnungen werden die genaue Frist festlegen. Unmittelbar nach der Meldung an das CSE muss der Betreiber auch die zuständige Regulierungsbehörde benachrichtigen."},"source_url":"https://laws-lois.justice.gc.ca/eng/AnnualStatutes/2026_9/FullText.html"},{"id":"au-soci","jurisdiction":"AU","regime":{"it":"Security of Critical Infrastructure Act 2018","en":"Security of Critical Infrastructure Act 2018","fr":"Security of Critical Infrastructure Act 2018","es":"Security of Critical Infrastructure Act 2018","de":"Security of Critical Infrastructure Act 2018"},"documents":["au-security-of-critical-infrastructure-act-2018"],"status":"in_force","who":{"it":"Soggetti responsabili di asset infrastrutturali critici in undici settori (energia, comunicazioni, dati e cloud, sanità, finanza, trasporti e altri).","en":"Responsible entities for critical infrastructure assets in eleven sectors (energy, communications, data storage and cloud, health, finance, transport and others).","fr":"Entités responsables d'actifs d'infrastructures critiques dans onze secteurs (énergie, communications, données et cloud, santé, finance, transports et autres).","es":"Entidades responsables de activos de infraestructuras críticas en once sectores (energía, comunicaciones, datos y nube, sanidad, finanzas, transporte y otros).","de":"Verantwortliche Einrichtungen für Assets kritischer Infrastrukturen in elf Sektoren (Energie, Kommunikation, Datenspeicherung und Cloud, Gesundheit, Finanzen, Verkehr und andere)."},"authority":"Australian Cyber Security Centre (ASD's ACSC)","authority_it":"Australian Cyber Security Centre (ACSC, presso l'ASD)","authority_fr":"Australian Cyber Security Centre (ACSC, rattaché à l'ASD)","authority_es":"Australian Cyber Security Centre (ACSC, dependiente del ASD)","authority_de":"Australian Cyber Security Centre (ACSC des ASD)","steps":[{"time":"12h","label":{"it":"Incidente critico con impatto significativo (se orale, per iscritto entro 84 ore)","en":"Critical incident with significant impact (if oral, in writing within 84 hours)","fr":"Incident critique à impact important (si oral, par écrit sous 84 heures)","es":"Incidente crítico con impacto significativo (si es oral, por escrito en 84 horas)","de":"Kritischer Vorfall mit erheblichen Auswirkungen (bei mündlicher Meldung schriftlich innerhalb von 84 Stunden)"}},{"time":"72h","label":{"it":"Altro incidente con impatto rilevante (se orale, per iscritto entro 48 ore)","en":"Other incident with relevant impact (if oral, in writing within 48 hours)","fr":"Autre incident à impact notable (si oral, par écrit sous 48 heures)","es":"Otro incidente con impacto relevante (si es oral, por escrito en 48 horas)","de":"Sonstiger Vorfall mit relevanten Auswirkungen (bei mündlicher Meldung schriftlich innerhalb von 48 Stunden)"}}],"sanctions":{"it":"Sanzione civile fino a 50 penalty unit.","en":"Civil penalty of up to 50 penalty units.","fr":"Sanction civile jusqu'à 50 penalty units.","es":"Sanción civil de hasta 50 penalty units.","de":"Zivilrechtliche Sanktion von bis zu 50 Strafeinheiten (penalty units)."},"source_url":"https://www.legislation.gov.au/C2018A00029/latest/text"},{"id":"au-ransomware","jurisdiction":"AU","regime":{"it":"Cyber Security Act 2024 (pagamenti di riscatto)","en":"Cyber Security Act 2024 (ransomware payments)","fr":"Cyber Security Act 2024 (paiements de rançon)","es":"Cyber Security Act 2024 (pagos de rescate)","de":"Cyber Security Act 2024 (Ransomware-Zahlungen)"},"documents":["au-cyber-security-act-2024"],"status":"in_force","applies_from":"2025-05-29","who":{"it":"Imprese con fatturato annuo superiore a 3 milioni di dollari australiani e soggetti responsabili di infrastrutture critiche che pagano un riscatto.","en":"Businesses with annual turnover above AUD 3 million and responsible entities for critical infrastructure that make a ransom payment.","fr":"Entreprises dont le chiffre d'affaires annuel dépasse 3 millions de dollars australiens et entités responsables d'infrastructures critiques qui paient une rançon.","es":"Empresas con un volumen de negocios anual superior a 3 millones de dólares australianos y entidades responsables de infraestructuras críticas que pagan un rescate.","de":"Unternehmen mit einem Jahresumsatz über 3 Mio. AUD und verantwortliche Einrichtungen kritischer Infrastrukturen, die ein Lösegeld zahlen."},"authority":"Australian Signals Directorate (ASD)","steps":[{"time":"72h","label":{"it":"Segnalazione del pagamento (dal pagamento o da quando se ne viene a conoscenza)","en":"Payment report (from the payment or from becoming aware of it)","fr":"Déclaration du paiement (après le paiement ou sa connaissance)","es":"Notificación del pago (desde el pago o desde que se tiene conocimiento)","de":"Meldung der Zahlung (ab der Zahlung oder ab Kenntnis davon)"}}],"sanctions":{"it":"Sanzione civile fino a 60 penalty unit.","en":"Civil penalty of up to 60 penalty units.","fr":"Sanction civile jusqu'à 60 penalty units.","es":"Sanción civil de hasta 60 penalty units.","de":"Zivilrechtliche Sanktion von bis zu 60 Strafeinheiten (penalty units)."},"notes":{"it":"La parte 3 della legge, che contiene l'obbligo, è entrata in vigore il 29 maggio 2025, alla scadenza dei sei mesi dalla sanzione regia (29 novembre 2024). La soglia di fatturato e il contenuto della segnalazione sono fissati dalle Cyber Security (Ransomware Payment Reporting) Rules 2025.","en":"Part 3 of the Act, which contains the obligation, commenced on 29 May 2025, at the end of the six months from Royal Assent (29 November 2024). The turnover threshold and the content of the report are set by the Cyber Security (Ransomware Payment Reporting) Rules 2025.","fr":"La partie 3 de la loi, qui contient l'obligation, est entrée en vigueur le 29 mai 2025, à l'expiration des six mois suivant la sanction royale (29 novembre 2024). Le seuil de chiffre d'affaires et le contenu de la déclaration sont fixés par les Cyber Security (Ransomware Payment Reporting) Rules 2025.","es":"La parte 3 de la ley, que contiene la obligación, entró en vigor el 29 de mayo de 2025, al cumplirse seis meses de la sanción real (29 de noviembre de 2024). El umbral de volumen de negocios y el contenido de la notificación los fijan las Cyber Security (Ransomware Payment Reporting) Rules 2025.","de":"Teil 3 des Gesetzes, der die Pflicht enthält, trat am 29. Mai 2025 in Kraft, nach Ablauf von sechs Monaten ab dem Royal Assent (29. November 2024). Umsatzschwelle und Inhalt der Meldung legen die Cyber Security (Ransomware Payment Reporting) Rules 2025 fest."},"source_url":"https://www.legislation.gov.au/C2024A00098/latest/text"},{"id":"cn-incident-measures","jurisdiction":"CN","regime":{"it":"Misure sulla segnalazione degli incidenti di cybersecurity (2025)","en":"Measures for Reporting Cybersecurity Incidents (2025)","fr":"Mesures sur le signalement des incidents de cybersécurité (2025)","es":"Medidas sobre la notificación de incidentes de ciberseguridad (2025)","de":"Maßnahmen zur Meldung von Cybersicherheitsvorfällen (2025)"},"documents":["cn-cybersecurity-incident-reporting-measures-2025","cn-cybersecurity-law-2016","cn-critical-information-infrastructure-regulations-2021"],"status":"in_force","applies_from":"2025-11-01","who":{"it":"Operatori di rete, per gli incidenti di livello relativamente grave o superiore; termini più brevi per gli operatori di infrastrutture critiche dell'informazione e per gli organi centrali e statali.","en":"Network operators, for incidents rated relatively major or above; shorter deadlines for critical information infrastructure operators and for central and state bodies.","fr":"Opérateurs de réseau, pour les incidents classés relativement graves ou plus ; délais plus courts pour les opérateurs d'infrastructures d'information critiques et pour les organes centraux et étatiques.","es":"Operadores de red, para los incidentes calificados como relativamente graves o superiores; plazos más cortos para los operadores de infraestructuras de información críticas y para los órganos centrales y estatales.","de":"Netzbetreiber bei Vorfällen, die als relativ schwerwiegend oder höher eingestuft werden; kürzere Fristen für Betreiber kritischer Informationsinfrastrukturen und für zentrale und staatliche Stellen."},"authority":"Cyberspace Administration of China (CAC)","authority_it":"Ufficio provinciale dell'Amministrazione del cyberspazio (CAC); per le infrastrutture critiche il dipartimento di protezione e la pubblica sicurezza; per gli organi centrali e statali la propria struttura per il cyberspazio","authority_en":"Provincial cyberspace administration (CAC); for critical infrastructure the protection department and public security; for central and state bodies their own cyberspace unit","authority_fr":"Administration provinciale du cyberespace (CAC) ; pour les infrastructures critiques, le département de protection et la sécurité publique ; pour les organes centraux et étatiques, leur propre structure chargée du cyberespace","authority_es":"Administración provincial del ciberespacio (CAC); para las infraestructuras críticas, el departamento de protección y la seguridad pública; para los órganos centrales y estatales, su propia unidad del ciberespacio","authority_de":"Cyberspace-Verwaltung der Provinz (CAC); für kritische Infrastrukturen die Schutzabteilung und die öffentliche Sicherheit; für zentrale und staatliche Stellen deren eigene Cyberspace-Einheit","steps":[{"time":"1h","label":{"it":"Operatori di infrastrutture critiche","en":"Critical infrastructure operators","fr":"Opérateurs d'infrastructures critiques","es":"Operadores de infraestructuras críticas","de":"Betreiber kritischer Infrastrukturen"}},{"time":"2h","label":{"it":"Organi centrali e statali e unità che ne dipendono direttamente","en":"Central and state bodies and their directly affiliated units","fr":"Organes centraux et étatiques et unités qui en relèvent directement","es":"Órganos centrales y estatales y unidades que dependen directamente de ellos","de":"Zentrale und staatliche Stellen und ihre unmittelbar angegliederten Einheiten"}},{"time":"4h","label":{"it":"Altri operatori di rete","en":"Other network operators","fr":"Autres opérateurs de réseau","es":"Otros operadores de red","de":"Sonstige Netzbetreiber"}},{"time":"30d","label":{"it":"Rapporto finale (dalla fine della gestione dell'incidente)","en":"Final report (from the end of incident handling)","fr":"Rapport final (après la fin du traitement de l'incident)","es":"Informe final (desde el final de la gestión del incidente)","de":"Abschlussbericht (ab dem Ende der Bearbeitung des Vorfalls)"}}],"sanctions":{"it":"Sanzioni previste dalla legge sulla cybersecurity, dalla legge sulla sicurezza dei dati e dalla legge sulla protezione dei dati personali, più severe se una notifica tardiva, omessa, falsa o nascosta causa danni gravi; la notifica tempestiva, insieme a misure adeguate, può attenuare o escludere la responsabilità.","en":"Penalties under the Cybersecurity Law, the Data Security Law and the Personal Information Protection Law, heavier where late, missed, false or concealed reporting causes serious harm; timely reporting, together with adequate measures, can reduce or exclude liability.","fr":"Sanctions prévues par la loi sur la cybersécurité, la loi sur la sécurité des données et la loi sur la protection des informations personnelles, aggravées si une déclaration tardive, omise, fausse ou dissimulée cause un préjudice grave ; une déclaration rapide, avec des mesures adéquates, peut atténuer ou écarter la responsabilité.","es":"Sanciones previstas en la Ley de Ciberseguridad, la Ley de Seguridad de Datos y la Ley de Protección de la Información Personal, agravadas si una notificación tardía, omitida, falsa u ocultada causa daños graves; la notificación puntual, junto con medidas adecuadas, puede atenuar o excluir la responsabilidad.","de":"Sanktionen nach dem Cybersicherheitsgesetz, dem Datensicherheitsgesetz und dem Gesetz zum Schutz personenbezogener Informationen, schwerer, wenn eine verspätete, unterlassene, falsche oder verschleierte Meldung schweren Schaden verursacht; eine rechtzeitige Meldung kann zusammen mit angemessenen Maßnahmen die Haftung mindern oder ausschließen."},"notes":{"it":"Misure dell'Amministrazione del cyberspazio dell'11 settembre 2025, in vigore dal 1° novembre 2025 (articoli 4 e 8). Per gli incidenti gravi o particolarmente gravi chi riceve la notifica deve informare il livello nazionale entro 30 minuti (infrastrutture critiche) o entro 1 ora. Le informazioni che non si possono accertare nei termini si integrano in seguito; le notifiche si inviano anche tramite la linea 12387.","en":"Measures of the Cyberspace Administration of 11 September 2025, in force since 1 November 2025 (Articles 4 and 8). For major and particularly major incidents, the body receiving the report must inform the national level within 30 minutes (critical infrastructure) or within 1 hour. Details that cannot be established within the deadlines may be supplied later; reports can also be made through the 12387 hotline.","fr":"Mesures de l'Administration du cyberespace du 11 septembre 2025, en vigueur depuis le 1er novembre 2025 (articles 4 et 8). Pour les incidents graves et particulièrement graves, l'organisme qui reçoit la déclaration doit informer l'échelon national dans un délai de 30 minutes (infrastructures critiques) ou d'1 heure. Les éléments qui ne peuvent être établis dans les délais peuvent être complétés ensuite ; les déclarations peuvent aussi passer par la ligne 12387.","es":"Medidas de la Administración del Ciberespacio de 11 de septiembre de 2025, en vigor desde el 1 de noviembre de 2025 (artículos 4 y 8). En los incidentes graves y particularmente graves, el organismo que recibe la notificación debe informar al nivel nacional en 30 minutos (infraestructuras críticas) o en 1 hora. Los datos que no puedan determinarse en plazo pueden completarse después; las notificaciones también pueden hacerse por la línea 12387.","de":"Maßnahmen der Cyberspace-Verwaltung vom 11. September 2025, in Kraft seit dem 1. November 2025 (Artikel 4 und 8). Bei schwerwiegenden und besonders schwerwiegenden Vorfällen muss die Stelle, die die Meldung erhält, die nationale Ebene innerhalb von 30 Minuten (kritische Infrastrukturen) oder innerhalb von 1 Stunde informieren. Angaben, die innerhalb der Fristen nicht ermittelt werden können, dürfen nachgereicht werden; Meldungen sind auch über die Hotline 12387 möglich."},"source_url":"https://www.cac.gov.cn/2025-09/15/c_1759583017717009.htm"},{"id":"hk-cap653","jurisdiction":"HK","regime":{"it":"Ordinanza sulla protezione delle infrastrutture critiche (Cap. 653)","en":"Protection of Critical Infrastructures (Computer Systems) Ordinance (Cap. 653)","fr":"Ordonnance sur la protection des infrastructures critiques (Cap. 653)","es":"Ordenanza de protección de las infraestructuras críticas (Cap. 653)","de":"Protection of Critical Infrastructures (Computer Systems) Ordinance (Cap. 653)"},"documents":["hk-critical-infrastructures-computer-systems-ordinance-2025"],"status":"in_force","applies_from":"2026-01-01","who":{"it":"Gestori designati di infrastrutture critiche nei settori energia, informatica, banche e servizi finanziari, trasporto aereo, terrestre e marittimo, sanità, telecomunicazioni e radiotelevisione, e di infrastrutture per attività sociali o economiche essenziali, per gli incidenti sui sistemi informatici critici; i dipartimenti del Governo sono esclusi.","en":"Designated operators of critical infrastructures in energy, information technology, banking and financial services, air, land and maritime transport, healthcare, telecommunications and broadcasting, and of infrastructures for critical societal or economic activities, for incidents on critical computer systems; Government departments are excluded.","fr":"Exploitants désignés d'infrastructures critiques dans l'énergie, les technologies de l'information, la banque et les services financiers, les transports aérien, terrestre et maritime, la santé, les télécommunications et la radiodiffusion, ainsi que d'infrastructures nécessaires à des activités sociales ou économiques essentielles, pour les incidents touchant les systèmes informatiques critiques ; les départements du gouvernement sont exclus.","es":"Operadores designados de infraestructuras críticas de energía, tecnologías de la información, banca y servicios financieros, transporte aéreo, terrestre y marítimo, sanidad, telecomunicaciones y radiodifusión, y de infraestructuras para actividades sociales o económicas críticas, para los incidentes en sistemas informáticos críticos; los departamentos del Gobierno quedan excluidos.","de":"Benannte Betreiber kritischer Infrastrukturen in den Bereichen Energie, Informationstechnologie, Bank- und Finanzdienstleistungen, Luft-, Land- und Seeverkehr, Gesundheitswesen, Telekommunikation und Rundfunk sowie von Infrastrukturen für kritische gesellschaftliche oder wirtschaftliche Tätigkeiten, bei Vorfällen in kritischen Computersystemen; Regierungsstellen sind ausgenommen."},"authority":"Commissioner of Critical Infrastructure (Computer-system Security)","authority_it":"Commissario per le infrastrutture critiche (sicurezza dei sistemi informatici)","authority_fr":"Commissaire aux infrastructures critiques (sécurité des systèmes informatiques)","authority_es":"Comisionado de Infraestructuras Críticas (seguridad de los sistemas informáticos)","authority_de":"Commissioner of Critical Infrastructure (Computer-system Security)","steps":[{"time":"12h","label":{"it":"Notifica degli incidenti gravi (che interrompono o possono interrompere le funzioni essenziali)","en":"Notification of serious incidents (disrupting or likely to disrupt core functions)","fr":"Notification des incidents graves (qui perturbent ou risquent de perturber les fonctions essentielles)","es":"Notificación de los incidentes graves (que interrumpen o pueden interrumpir las funciones esenciales)","de":"Meldung schwerwiegender Vorfälle (die Kernfunktionen stören oder voraussichtlich stören)"}},{"time":"48h","label":{"it":"Notifica degli altri incidenti","en":"Notification of other incidents","fr":"Notification des autres incidents","es":"Notificación de los demás incidentes","de":"Meldung sonstiger Vorfälle"}},{"time":"14d","label":{"it":"Rapporto scritto","en":"Written report","fr":"Rapport écrit","es":"Informe escrito","de":"Schriftlicher Bericht"}}],"sanctions":{"it":"Multa fino a 5 milioni di dollari di Hong Kong per la mancata notifica o il mancato rapporto nei termini; le sanzioni colpiscono solo l'organizzazione, non i singoli dipendenti.","en":"Fine of up to HK$5 million for failing to notify or report within the time limits; penalties apply only to the organisation, not to individual staff.","fr":"Amende jusqu'à 5 millions de dollars de Hong Kong en cas de défaut de notification ou de rapport dans les délais ; les sanctions ne visent que l'organisation, pas les salariés.","es":"Multa de hasta 5 millones de dólares de Hong Kong por no notificar o no presentar el informe en plazo; las sanciones solo afectan a la organización, no a los empleados.","de":"Geldbuße von bis zu 5 Mio. HK$ bei unterlassener Meldung oder Berichterstattung innerhalb der Fristen; Sanktionen gelten nur für die Organisation, nicht für einzelne Beschäftigte."},"notes":{"it":"L'ordinanza è operativa dal 1° gennaio 2026 ed è applicata dall'Ufficio del Commissario istituito presso il Security Bureau. Se la prima notifica non è fatta con il modulo e le modalità prescritti, va completata in quella forma entro 48 ore.","en":"The Ordinance has been in operation since 1 January 2026 and is enforced by the Commissioner's Office set up within the Security Bureau. If the first notice is not given in the specified form and way, it must be completed in that form within 48 hours.","fr":"L'ordonnance s'applique depuis le 1er janvier 2026 et sa mise en œuvre relève du bureau du commissaire créé au sein du Security Bureau. Si la première notification n'est pas faite selon le formulaire et les modalités prescrits, elle doit être complétée sous cette forme dans les 48 heures.","es":"La ordenanza se aplica desde el 1 de enero de 2026 y la hace cumplir la Oficina del Comisionado creada en el Security Bureau. Si la primera notificación no se hace con el formulario y la forma prescritos, debe completarse de esa forma en 48 horas.","de":"Die Verordnung ist seit dem 1. Januar 2026 in Kraft und wird vom beim Security Bureau eingerichteten Büro des Commissioners durchgesetzt. Erfolgt die erste Meldung nicht in der vorgeschriebenen Form und Weise, ist sie innerhalb von 48 Stunden in dieser Form zu vervollständigen."},"source_url":"https://www.occics.gov.hk/en/ordinance/obligations/index.html"},{"id":"jp-acd","jurisdiction":"JP","regime":{"it":"Legge sulla cyberdifesa attiva (legge n. 42 del 2025)","en":"Active Cyber Defense Act (Act No. 42 of 2025)","fr":"Loi sur la cyberdéfense active (loi n° 42 de 2025)","es":"Ley de ciberdefensa activa (Ley n.º 42 de 2025)","de":"Gesetz über aktive Cyberabwehr (Gesetz Nr. 42 von 2025)"},"documents":["jp-active-cyber-defense-act-2025"],"status":"in_force","applies_from":"2026-10-01","who":{"it":"Operatori di infrastrutture essenziali designati in base alla legge sulla promozione della sicurezza economica, per gli attacchi (o i loro indizi) ai computer importanti collegati ai loro impianti critici.","en":"Operators of essential infrastructure designated under the Economic Security Promotion Act, for attacks (or signs of them) on the important computers linked to their critical facilities.","fr":"Opérateurs d'infrastructures essentielles désignés au titre de la loi sur la promotion de la sécurité économique, pour les attaques (ou leurs indices) visant les ordinateurs importants liés à leurs installations critiques.","es":"Operadores de infraestructuras esenciales designados con arreglo a la Ley de promoción de la seguridad económica, para los ataques (o sus indicios) contra los ordenadores importantes vinculados a sus instalaciones críticas.","de":"Betreiber wesentlicher Infrastrukturen, die nach dem Gesetz zur Förderung der wirtschaftlichen Sicherheit benannt sind, bei Angriffen (oder Anzeichen dafür) auf die wichtigen Computer ihrer kritischen Anlagen."},"authority":"Minister in charge of the business sector and Prime Minister","authority_it":"Ministro competente per il settore e Primo ministro","authority_fr":"Ministre compétent pour le secteur et Premier ministre","authority_es":"Ministro competente del sector y primer ministro","authority_de":"Für den Wirtschaftssektor zuständiger Minister und Premierminister","steps":[{"time":"asap","label":{"it":"Primo rapporto con le informazioni disponibili","en":"First report with the information available","fr":"Premier rapport avec les informations disponibles","es":"Primer informe con la información disponible","de":"Erste Meldung mit den verfügbaren Informationen"}},{"time":"30d","label":{"it":"Rapporto completo","en":"Full report","fr":"Rapport complet","es":"Informe completo","de":"Vollständiger Bericht"}}],"sanctions":{"it":"Il ministro può ordinare di presentare o correggere il rapporto; chi non rispetta l'ordine rischia una multa fino a 2 milioni di yen, applicabile anche all'impresa.","en":"The minister may order the report to be filed or corrected; breach of the order is punishable by a fine of up to ¥2 million, which can also be imposed on the company.","fr":"Le ministre peut ordonner la remise ou la correction du rapport ; le non-respect de l'ordre est puni d'une amende jusqu'à 2 millions de yens, qui peut aussi être infligée à l'entreprise.","es":"El ministro puede ordenar que se presente o corrija el informe; el incumplimiento de la orden se castiga con una multa de hasta 2 millones de yenes, que también puede imponerse a la empresa.","de":"Der Minister kann anordnen, dass die Meldung eingereicht oder berichtigt wird; ein Verstoß gegen die Anordnung wird mit einer Geldbuße von bis zu 2 Mio. ¥ geahndet, die auch gegen das Unternehmen verhängt werden kann."},"notes":{"it":"L'obbligo è previsto dall'articolo 5 della legge e precisato dall'articolo 4 dell'ordinanza interministeriale n. 4 del 28 maggio 2026, entrambi in vigore dal 1° ottobre 2026. Non vanno segnalati, tra l'altro, gli eventi avvenuti nei primi sei mesi dalla designazione dell'operatore.","en":"The duty is set by Article 5 of the Act and detailed in Article 4 of the joint ministerial ordinance No. 4 of 28 May 2026, both in force since 1 October 2026. Events occurring within six months of the operator's designation, among others, need not be reported.","fr":"L'obligation est prévue par l'article 5 de la loi et précisée par l'article 4 de l'ordonnance interministérielle n° 4 du 28 mai 2026, tous deux en vigueur depuis le 1er octobre 2026. Les événements survenus dans les six mois suivant la désignation de l'opérateur, notamment, n'ont pas à être signalés.","es":"La obligación la establece el artículo 5 de la ley y la desarrolla el artículo 4 de la orden interministerial n.º 4 de 28 de mayo de 2026, ambos en vigor desde el 1 de octubre de 2026. Entre otros, no deben notificarse los hechos ocurridos en los seis meses siguientes a la designación del operador.","de":"Die Pflicht ist in Artikel 5 des Gesetzes festgelegt und in Artikel 4 der gemeinsamen Ministerialverordnung Nr. 4 vom 28. Mai 2026 näher geregelt, beide seit dem 1. Oktober 2026 in Kraft. Unter anderem müssen Ereignisse, die innerhalb von sechs Monaten nach der Benennung des Betreibers eintreten, nicht gemeldet werden."},"source_url":"https://laws.e-gov.go.jp/law/508M60000F5A004"},{"id":"in-cert-in","jurisdiction":"IN","regime":{"it":"Direttive CERT-In del 28 aprile 2022","en":"CERT-In Directions of 28 April 2022","fr":"Directives du CERT-In du 28 avril 2022","es":"Directivas del CERT-In de 28 de abril de 2022","de":"Richtlinien des CERT-In vom 28. April 2022"},"documents":["in-information-technology-act-2000"],"status":"in_force","who":{"it":"Fornitori di servizi, intermediari, data center, aziende e organizzazioni pubbliche, per i tipi di incidente elencati.","en":"Service providers, intermediaries, data centres, body corporates and government organisations, for the listed incident types.","fr":"Fournisseurs de services, intermédiaires, centres de données, entreprises et organismes publics, pour les types d'incidents énumérés.","es":"Proveedores de servicios, intermediarios, centros de datos, empresas y organismos públicos, para los tipos de incidentes enumerados.","de":"Diensteanbieter, Vermittler, Rechenzentren, Körperschaften und Regierungsorganisationen bei den aufgeführten Vorfallarten."},"authority":"Indian Computer Emergency Response Team (CERT-In)","steps":[{"time":"6h","label":{"it":"Segnalazione dell'incidente","en":"Incident report","fr":"Signalement de l'incident","es":"Notificación del incidente","de":"Meldung des Vorfalls"}}],"sanctions":{"it":"Reclusione fino a un anno o multa fino a 100.000 rupie (articolo 70B dell'IT Act).","en":"Imprisonment of up to one year or a fine of up to INR 100,000 (section 70B of the IT Act).","fr":"Emprisonnement jusqu'à un an ou amende jusqu'à 100 000 roupies (article 70B de l'IT Act).","es":"Prisión de hasta un año o multa de hasta 100 000 rupias (artículo 70B de la IT Act).","de":"Freiheitsstrafe bis zu einem Jahr oder Geldstrafe bis zu 100.000 INR (Abschnitt 70B des IT Act)."},"source_url":"https://www.cert-in.org.in/PDF/CERT-In_Directions_70B_28.04.2022.pdf"},{"id":"my-csa","jurisdiction":"MY","regime":{"it":"Cyber Security Act 2024 (Act 854)","en":"Cyber Security Act 2024 (Act 854)","fr":"Cyber Security Act 2024 (Act 854)","es":"Cyber Security Act 2024 (Act 854)","de":"Cyber Security Act 2024 (Act 854)"},"documents":["my-cyber-security-act-2024"],"status":"in_force","applies_from":"2024-08-26","who":{"it":"Soggetti che gestiscono infrastrutture critiche nazionali dell'informazione (NCII).","en":"Entities running national critical information infrastructure (NCII).","fr":"Entités exploitant des infrastructures d'information critiques nationales (NCII).","es":"Entidades que gestionan infraestructuras de información críticas nacionales (NCII).","de":"Einrichtungen, die nationale kritische Informationsinfrastrukturen (NCII) betreiben."},"authority":"Chief Executive of the National Cyber Security Agency (NACSA) and NCII sector lead","authority_it":"Direttore generale della National Cyber Security Agency (NACSA) e capofila del settore NCII","authority_fr":"Directeur général de la National Cyber Security Agency (NACSA) et chef de file du secteur NCII","authority_es":"Director general de la National Cyber Security Agency (NACSA) y responsable del sector NCII","authority_de":"Chief Executive der National Cyber Security Agency (NACSA) und federführende Stelle des NCII-Sektors","steps":[{"time":"immediate","label":{"it":"Notifica iniziale","en":"Initial notification","fr":"Notification initiale","es":"Notificación inicial","de":"Erstmeldung"}},{"time":"6h","label":{"it":"Prime informazioni integrative","en":"First supplementary information","fr":"Premières informations complémentaires","es":"Primera información complementaria","de":"Erste ergänzende Angaben"}},{"time":"14d","label":{"it":"Informazioni complete","en":"Full details","fr":"Informations complètes","es":"Información completa","de":"Vollständige Angaben"}}],"sanctions":{"it":"Multa fino a 500.000 ringgit, reclusione fino a 10 anni o entrambe.","en":"Fine of up to RM500,000, imprisonment of up to 10 years, or both.","fr":"Amende jusqu'à 500 000 ringgits, emprisonnement jusqu'à 10 ans, ou les deux.","es":"Multa de hasta 500 000 ringgits, prisión de hasta 10 años, o ambas.","de":"Geldstrafe bis zu 500.000 RM, Freiheitsstrafe bis zu 10 Jahren oder beides."},"notes":{"it":"I termini sono fissati dal Cyber Security (Notification of Cyber Security Incident) Regulations 2024.","en":"The deadlines are set by the Cyber Security (Notification of Cyber Security Incident) Regulations 2024.","fr":"Les délais sont fixés par le Cyber Security (Notification of Cyber Security Incident) Regulations 2024.","es":"Los plazos los fija el Cyber Security (Notification of Cyber Security Incident) Regulations 2024.","de":"Die Fristen legen die Cyber Security (Notification of Cyber Security Incident) Regulations 2024 fest."},"source_url":"https://www.nacsa.gov.my/act854.php"},{"id":"sg-csa","jurisdiction":"SG","regime":{"it":"Cybersecurity Act 2018","en":"Cybersecurity Act 2018","fr":"Cybersecurity Act 2018","es":"Cybersecurity Act 2018","de":"Cybersecurity Act 2018"},"documents":["sg-cybersecurity-act-2018"],"status":"in_force","who":{"it":"Proprietari di infrastrutture critiche dell'informazione (CII) e fornitori di servizi essenziali designati come responsabili di CII di proprietà di terzi; dal 31 ottobre 2025 anche per gli incidenti negli altri sistemi del proprietario e in quelli dei fornitori collegati alle CII.","en":"Owners of critical information infrastructure (CII) and providers of essential services designated as responsible for third-party-owned CII; since 31 October 2025 also for incidents in the owner's other systems and in suppliers' systems connected to the CII.","fr":"Propriétaires d'infrastructures d'information critiques (CII) et fournisseurs de services essentiels désignés comme responsables de CII appartenant à des tiers ; depuis le 31 octobre 2025, également pour les incidents touchant les autres systèmes du propriétaire et ceux des fournisseurs reliés aux CII.","es":"Propietarios de infraestructuras de información críticas (CII) y proveedores de servicios esenciales designados como responsables de CII de propiedad de terceros; desde el 31 de octubre de 2025, también para los incidentes en los demás sistemas del propietario y en los de los proveedores conectados a las CII.","de":"Eigentümer kritischer Informationsinfrastrukturen (CII) und Anbieter wesentlicher Dienste, die als verantwortlich für CII im Eigentum Dritter benannt sind; seit dem 31. Oktober 2025 auch bei Vorfällen in anderen Systemen des Eigentümers und in mit der CII verbundenen Systemen von Lieferanten."},"authority":"Commissioner of Cybersecurity (Cyber Security Agency of Singapore)","authority_it":"Commissario per la cybersecurity (Cyber Security Agency of Singapore)","authority_fr":"Commissaire à la cybersécurité (Cyber Security Agency of Singapore)","authority_es":"Comisionado de Ciberseguridad (Cyber Security Agency of Singapore)","authority_de":"Commissioner of Cybersecurity (Cyber Security Agency of Singapore)","steps":[{"time":"2h","label":{"it":"Notifica dell'incidente","en":"Incident notification","fr":"Notification de l'incident","es":"Notificación del incidente","de":"Meldung des Vorfalls"}},{"time":"72h","label":{"it":"Informazioni integrative","en":"Supplementary details","fr":"Informations complémentaires","es":"Información complementaria","de":"Ergänzende Angaben"}},{"time":"30d","label":{"it":"Relazione finale (dalle informazioni integrative)","en":"Final report (after the supplementary details)","fr":"Rapport final (après les informations complémentaires)","es":"Informe final (desde la información complementaria)","de":"Abschlussbericht (nach den ergänzenden Angaben)"}}],"sanctions":{"it":"Sanzioni penali per la mancata notifica; la riforma del 2024 prevede anche sanzioni civili commisurate al fatturato, che si applicano dalla data fissata dal ministro con notifica nella Gazzetta.","en":"Criminal penalties for failing to report; the 2024 reform also provides for civil penalties linked to turnover, which apply from the date set by the Minister by notification in the Gazette.","fr":"Sanctions pénales en cas de défaut de notification ; la réforme de 2024 prévoit aussi des sanctions civiles proportionnelles au chiffre d'affaires, applicables à partir de la date fixée par le ministre par avis publié à la Gazette.","es":"Sanciones penales por no notificar; la reforma de 2024 prevé también sanciones civiles proporcionales al volumen de negocios, aplicables desde la fecha que fije el ministro mediante notificación en la Gaceta.","de":"Strafrechtliche Sanktionen bei unterlassener Meldung; die Reform von 2024 sieht auch umsatzbezogene zivilrechtliche Sanktionen vor, die ab dem vom Minister durch Bekanntmachung im Gazette festgelegten Datum gelten."},"notes":{"it":"Termini indicati dalla Cyber Security Agency (CSA) per i proprietari di CII e per i fornitori designati responsabili di CII di proprietà di terzi. Dal 31 ottobre 2025 vanno notificati entro 2 ore anche gli incidenti sospetti di minacce persistenti avanzate (APT) e quelli che, nei sistemi del proprietario non collegati alle CII, interrompono il servizio essenziale; per gli incidenti nei sistemi non collegati alle CII è previsto anche un rapporto trimestrale consolidato, entro il terzo giorno lavorativo dopo la fine del trimestre. Dalla stessa data la CSA può designare sistemi di interesse temporaneo per la cybersecurity (STCC), i cui proprietari devono notificare gli incidenti nel periodo indicato.","en":"Deadlines as set out by the Cyber Security Agency (CSA) for CII owners and for providers designated as responsible for third-party-owned CII. Since 31 October 2025, incidents suspected of being caused by advanced persistent threats (APTs) and incidents in the owner's systems not connected to the CII that disrupt the essential service must also be reported within 2 hours; for incidents in systems not connected to the CII there is also a consolidated quarterly report, due by the third working day after the end of the quarter. Since the same date CSA can designate systems of temporary cybersecurity concern (STCCs), whose owners must report incidents during the period specified.","fr":"Délais indiqués par la Cyber Security Agency (CSA) pour les propriétaires de CII et pour les fournisseurs désignés responsables de CII appartenant à des tiers. Depuis le 31 octobre 2025, doivent aussi être notifiés sous 2 heures les incidents soupçonnés d'être causés par des menaces persistantes avancées (APT) et ceux qui, dans les systèmes du propriétaire non reliés aux CII, interrompent le service essentiel ; pour les incidents touchant les systèmes non reliés aux CII, un rapport trimestriel consolidé est également prévu, au plus tard le troisième jour ouvrable après la fin du trimestre. Depuis la même date, la CSA peut désigner des systèmes d'intérêt temporaire pour la cybersécurité (STCC), dont les propriétaires doivent notifier les incidents pendant la période fixée.","es":"Plazos indicados por la Cyber Security Agency (CSA) para los propietarios de CII y para los proveedores designados como responsables de CII de propiedad de terceros. Desde el 31 de octubre de 2025 también deben notificarse en 2 horas los incidentes que se sospeche causados por amenazas persistentes avanzadas (APT) y los que, en los sistemas del propietario no conectados a las CII, interrumpen el servicio esencial; para los incidentes en los sistemas no conectados a las CII se prevé además un informe trimestral consolidado, a más tardar el tercer día hábil tras el fin del trimestre. Desde la misma fecha la CSA puede designar sistemas de interés temporal para la ciberseguridad (STCC), cuyos propietarios deben notificar los incidentes durante el periodo fijado.","de":"Fristen gemäß den Vorgaben der Cyber Security Agency (CSA) für CII-Eigentümer und für Anbieter, die als verantwortlich für CII im Eigentum Dritter benannt sind. Seit dem 31. Oktober 2025 sind auch Vorfälle, die mutmaßlich durch fortgeschrittene andauernde Bedrohungen (APTs) verursacht wurden, und Vorfälle in nicht mit der CII verbundenen Systemen des Eigentümers, die den wesentlichen Dienst stören, innerhalb von 2 Stunden zu melden; für Vorfälle in nicht mit der CII verbundenen Systemen gibt es zudem einen konsolidierten Quartalsbericht, fällig bis zum dritten Arbeitstag nach Quartalsende. Seit demselben Datum kann die CSA Systeme von vorübergehender Bedeutung für die Cybersicherheit (STCCs) benennen, deren Eigentümer Vorfälle während des festgelegten Zeitraums melden müssen."},"source_url":"https://www.csa.gov.sg/legislation/forms/"},{"id":"cl-21663","jurisdiction":"CL","regime":{"it":"Legge quadro sulla cybersecurity 21.663","en":"Cybersecurity Framework Law 21.663","fr":"Loi-cadre sur la cybersécurité 21.663","es":"Ley Marco de Ciberseguridad 21.663","de":"Rahmengesetz über Cybersicherheit 21.663"},"documents":["cl-ley-marco-ciberseguridad-21663-2024"],"status":"in_force","applies_from":"2025-03-01","who":{"it":"Prestatori di servizi essenziali (PSE) e operatori di importanza vitale (OIV).","en":"Providers of essential services (PSE) and operators of vital importance (OIV).","fr":"Prestataires de services essentiels (PSE) et opérateurs d'importance vitale (OIV).","es":"Prestadores de servicios esenciales (PSE) y operadores de importancia vital (OIV).","de":"Anbieter wesentlicher Dienste (PSE) und Betreiber von lebenswichtiger Bedeutung (OIV)."},"authority":"CSIRT Nacional (Agencia Nacional de Ciberseguridad, ANCI)","authority_it":"CSIRT nazionale (Agenzia nazionale di cybersecurity, ANCI)","authority_en":"National CSIRT (National Cybersecurity Agency, ANCI)","authority_fr":"CSIRT national (Agence nationale de cybersécurité, ANCI)","steps":[{"time":"3h","label":{"it":"Allerta precoce","en":"Early alert","fr":"Alerte précoce","es":"Alerta temprana","de":"Frühwarnung"}},{"time":"72h","label":{"it":"Secondo rapporto (24 ore per gli OIV con servizio essenziale colpito)","en":"Second report (24 hours for OIV whose essential service is affected)","fr":"Deuxième rapport (24 heures pour les OIV dont le service essentiel est touché)","es":"Segundo reporte (24 horas para los OIV con el servicio esencial afectado)","de":"Zweiter Bericht (24 Stunden für OIV, deren wesentlicher Dienst betroffen ist)"}},{"time":"7d","label":{"it":"Piano d'azione (solo OIV)","en":"Action plan (OIV only)","fr":"Plan d'action (OIV uniquement)","es":"Plan de acción (solo OIV)","de":"Aktionsplan (nur OIV)"}},{"time":"15d","label":{"it":"Relazione finale (dall'allerta precoce)","en":"Final report (from the early alert)","fr":"Rapport final (après l'alerte précoce)","es":"Informe final (desde la alerta temprana)","de":"Abschlussbericht (ab der Frühwarnung)"}}],"sanctions":{"it":"Per il mancato rispetto dei termini, multa fino a 10.000 UTM per i PSE e fino a 20.000 UTM per gli OIV.","en":"For missing the deadlines, a fine of up to 10,000 UTM for PSE and up to 20,000 UTM for OIV.","fr":"En cas de non-respect des délais, amende jusqu'à 10 000 UTM pour les PSE et jusqu'à 20 000 UTM pour les OIV.","es":"Por incumplir los plazos, multa de hasta 10 000 UTM para los PSE y de hasta 20 000 UTM para los OIV.","de":"Bei Versäumen der Fristen eine Geldbuße von bis zu 10.000 UTM für PSE und bis zu 20.000 UTM für OIV."},"notes":{"it":"La procedura di segnalazione è disciplinata dal Decreto supremo 295/2024. Il dovere di segnalazione (articolo 9) e le sanzioni si applicano dal 1° marzo 2025. La UTM è un'unità di conto cilena indicizzata all'inflazione.","en":"The reporting procedure is governed by Supreme Decree 295/2024. The reporting duty (Article 9) and the penalties apply from 1 March 2025. The UTM is a Chilean inflation-indexed unit of account.","fr":"La procédure de signalement est régie par le décret suprême 295/2024. L'obligation de signalement (article 9) et les sanctions s'appliquent depuis le 1er mars 2025. L'UTM est une unité de compte chilienne indexée sur l'inflation.","es":"El procedimiento de reporte lo regula el Decreto Supremo 295/2024. El deber de reportar (artículo 9) y las sanciones se aplican desde el 1 de marzo de 2025. La UTM es la unidad tributaria mensual chilena.","de":"Das Meldeverfahren regelt das Oberste Dekret 295/2024. Die Meldepflicht (Artikel 9) und die Sanktionen gelten ab dem 1. März 2025. Die UTM ist eine chilenische inflationsindexierte Rechnungseinheit."},"source_url":"https://www.bcn.cl/leychile/navegar?idNorma=1202434"},{"id":"ec-ciberseguridad","jurisdiction":"EC","regime":{"it":"Legge organica per il rafforzamento della cybersicurezza (2026)","en":"Organic Law for the Strengthening of Cybersecurity (2026)","fr":"Loi organique pour le renforcement de la cybersécurité (2026)","es":"Ley Orgánica para el Fortalecimiento de la Ciberseguridad (2026)","de":"Organgesetz zur Stärkung der Cybersicherheit (2026)"},"documents":["ec-ley-fortalecimiento-ciberseguridad-2026"],"status":"in_force","applies_from":"2026-05-22","who":{"it":"Enti pubblici e operatori di infrastrutture critiche digitali, per gli incidenti che compromettono sistemi o informazioni rilevanti o la continuità di servizi essenziali, o che possono estendersi.","en":"Public entities and digital critical infrastructure operators, for incidents that compromise relevant systems or information or the continuity of essential services, or that may escalate or spread.","fr":"Entités publiques et opérateurs d'infrastructures critiques numériques, pour les incidents qui compromettent des systèmes ou informations importants ou la continuité de services essentiels, ou qui peuvent s'étendre.","es":"Entidades públicas y operadores de infraestructura crítica digital, para los incidentes que comprometan sistemas o información relevantes o la continuidad de servicios esenciales, o que puedan escalar o propagarse.","de":"Öffentliche Einrichtungen und Betreiber kritischer digitaler Infrastrukturen bei Vorfällen, die relevante Systeme oder Informationen oder die Kontinuität wesentlicher Dienste gefährden oder sich ausweiten oder ausbreiten können."},"authority":"Ministerio de Telecomunicaciones y de la Sociedad de la Información (MINTEL)","authority_it":"Ministero delle telecomunicazioni e della società dell'informazione (MINTEL)","authority_en":"Ministry of Telecommunications and Information Society (MINTEL)","authority_fr":"Ministère des Télécommunications et de la Société de l'information (MINTEL)","steps":[{"time":"immediate","label":{"it":"Notifica dell'incidente","en":"Incident notification","fr":"Notification de l'incident","es":"Notificación del incidente","de":"Meldung des Vorfalls"}},{"time":"72h","label":{"it":"Termine massimo per la notifica","en":"Maximum period for the notification","fr":"Délai maximal de notification","es":"Plazo máximo de notificación","de":"Höchstfrist für die Meldung"}}],"sanctions":{"it":"Nascondere incidenti significativi è un'infrazione grave e nascondere incidenti critici un'infrazione molto grave; le multe vanno dallo 0,1% all'1,5% del fatturato per le imprese private e pubbliche e da 1 a 40 salari base per i funzionari pubblici.","en":"Concealing significant incidents is a serious infringement and concealing critical incidents a very serious one; fines range from 0.1% to 1.5% of turnover for private and public companies and from 1 to 40 basic salaries for public officials.","fr":"Dissimuler des incidents importants est une infraction grave et dissimuler des incidents critiques une infraction très grave ; les amendes vont de 0,1 % à 1,5 % du chiffre d'affaires pour les entreprises privées et publiques et de 1 à 40 salaires de base pour les agents publics.","es":"Ocultar incidentes significativos es una infracción grave y ocultar incidentes críticos una infracción muy grave; las multas van del 0,1 % al 1,5 % del volumen de negocios para las empresas privadas y públicas y de 1 a 40 salarios básicos unificados para los servidores públicos.","de":"Das Verschleiern erheblicher Vorfälle ist ein schwerer Verstoß, das Verschleiern kritischer Vorfälle ein sehr schwerer; die Geldbußen reichen von 0,1 % bis 1,5 % des Umsatzes für private und öffentliche Unternehmen und von 1 bis 40 Grundgehältern für Amtsträger."},"notes":{"it":"L'obbligo è nell'articolo 20-G della legge organica sulla trasformazione digitale e audiovisiva, introdotto dalla legge pubblicata nel Registro Oficial il 22 maggio 2026 e in vigore da quel giorno. La notifica fatta in buona fede e nei termini non può essere usata da sola come prova di negligenza. Il MINTEL deve adottare entro sei mesi dalla pubblicazione il regolamento sulla gestione e la notifica degli incidenti, con il CSIRT nazionale e senza duplicare i canali dei settori che hanno un organo di controllo specializzato.","en":"The duty is in Article 20-G of the Organic Law on Digital and Audiovisual Transformation, inserted by the law published in the Registro Oficial on 22 May 2026 and in force from that day. A notification made in good faith and on time cannot be used on its own as proof of negligence. Within six months of publication MINTEL must adopt the regulation on incident management and notification, together with the national CSIRT and without duplicating the channels of sectors that have a specialised supervisory body.","fr":"L'obligation figure à l'article 20-G de la loi organique sur la transformation numérique et audiovisuelle, introduit par la loi publiée au Registro Oficial le 22 mai 2026 et en vigueur depuis ce jour. Une notification faite de bonne foi et dans les délais ne peut pas être utilisée à elle seule comme preuve de négligence. Dans les six mois suivant la publication, le MINTEL doit adopter le règlement sur la gestion et la notification des incidents, avec le CSIRT national et sans doubler les canaux des secteurs dotés d'un organe de contrôle spécialisé.","es":"La obligación figura en el artículo 20-G de la Ley Orgánica de Transformación Digital y Audiovisual, introducido por la ley publicada en el Registro Oficial el 22 de mayo de 2026 y en vigor desde ese día. La notificación hecha de buena fe y en plazo no puede usarse por sí sola como prueba de negligencia. En los seis meses siguientes a la publicación el MINTEL debe expedir el reglamento de gestión y notificación de incidentes, con el CSIRT nacional y sin duplicar los canales de los sectores con un órgano de control especializado.","de":"Die Pflicht steht in Artikel 20-G des Organgesetzes über die digitale und audiovisuelle Transformation, eingefügt durch das am 22. Mai 2026 im Registro Oficial veröffentlichte und ab diesem Tag geltende Gesetz. Eine in gutem Glauben und rechtzeitig erstattete Meldung darf nicht allein als Nachweis von Fahrlässigkeit verwendet werden. Innerhalb von sechs Monaten nach der Veröffentlichung muss das MINTEL zusammen mit dem nationalen CSIRT die Verordnung über das Management und die Meldung von Vorfällen erlassen, ohne die Kanäle von Sektoren mit eigener Fachaufsicht zu duplizieren."},"source_url":"https://www.asambleanacional.gob.ec/es/system/files/ro_29.pdf"},{"id":"pe-confianza-digital","jurisdiction":"PE","regime":{"it":"Regolamento del quadro di fiducia digitale (D.S. 126-2025-PCM)","en":"Digital Trust Framework Regulation (Supreme Decree 126-2025-PCM)","fr":"Règlement du cadre de confiance numérique (décret suprême 126-2025-PCM)","es":"Reglamento del Marco de Confianza Digital (D. S. 126-2025-PCM)","de":"Verordnung zum Rahmen für digitales Vertrauen (Oberstes Dekret 126-2025-PCM)"},"documents":["pe-reglamento-marco-confianza-digital-2025"],"status":"in_force","applies_from":"2026-02","who":{"it":"Enti pubblici e fornitori di servizi digitali dei settori finanziario, servizi di base (elettricità, acqua e gas), sanità e trasporto di persone, oltre ai fornitori di servizi internet, di attività critiche e di servizi educativi online.","en":"Public entities and digital service providers in finance, basic services (electricity, water and gas), health and passenger transport, as well as internet service providers, providers of critical activities and online education services.","fr":"Entités publiques et fournisseurs de services numériques des secteurs financier, des services de base (électricité, eau et gaz), de la santé et du transport de personnes, ainsi que les fournisseurs de services internet, d'activités critiques et de services éducatifs en ligne.","es":"Entidades públicas y proveedores de servicios digitales del sector financiero, servicios básicos (electricidad, agua y gas), salud y transporte de personas, además de los proveedores de servicios de internet, de actividades críticas y de servicios educativos en el entorno digital.","de":"Öffentliche Einrichtungen und Anbieter digitaler Dienste in den Bereichen Finanzen, Grundversorgung (Strom, Wasser und Gas), Gesundheit und Personenverkehr sowie Internetdiensteanbieter, Anbieter kritischer Tätigkeiten und Online-Bildungsdienste."},"authority":"Centro Nacional de Seguridad Digital (CNSD)","authority_it":"Centro nazionale di sicurezza digitale (CNSD)","authority_en":"National Digital Security Centre (CNSD)","authority_fr":"Centre national de sécurité numérique (CNSD)","steps":[{"time":"48h","label":{"it":"Notifica degli incidenti di livello critico","en":"Notification of critical-level incidents","fr":"Notification des incidents de niveau critique","es":"Notificación de los incidentes de nivel crítico","de":"Meldung von Vorfällen der kritischen Stufe"}}],"notes":{"it":"Gli obblighi sono negli articoli 18 e 32 del regolamento, pubblicato il 4 novembre 2025 ed entrato in vigore 90 giorni dopo, all'inizio di febbraio 2026. I termini per gli altri livelli sono fissati dalla classificazione degli incidenti della Segreteria di governo e trasformazione digitale (SGTD-PCM). Le violazioni di dati personali vanno notificate anche all'autorità per la protezione dei dati (ANPD).","en":"The obligations are in Articles 18 and 32 of the Regulation, published on 4 November 2025 and in force 90 days later, in early February 2026. Deadlines for the other levels are set by the incident classification of the Secretariat of Government and Digital Transformation (SGTD-PCM). Personal data breaches must also be notified to the data protection authority (ANPD).","fr":"Les obligations figurent aux articles 18 et 32 du règlement, publié le 4 novembre 2025 et entré en vigueur 90 jours plus tard, début février 2026. Les délais pour les autres niveaux sont fixés par la classification des incidents du Secrétariat du gouvernement et de la transformation numérique (SGTD-PCM). Les violations de données personnelles doivent aussi être notifiées à l'autorité de protection des données (ANPD).","es":"Las obligaciones figuran en los artículos 18 y 32 del reglamento, publicado el 4 de noviembre de 2025 y en vigor 90 días después, a principios de febrero de 2026. Los plazos para los demás niveles los fija la clasificación de incidentes de la Secretaría de Gobierno y Transformación Digital (SGTD-PCM). Las violaciones de datos personales también deben notificarse a la autoridad de protección de datos (ANPD).","de":"Die Pflichten stehen in den Artikeln 18 und 32 der Verordnung, veröffentlicht am 4. November 2025 und 90 Tage später, Anfang Februar 2026, in Kraft getreten. Die Fristen für die übrigen Stufen legt die Vorfallklassifizierung des Sekretariats für Regierung und digitale Transformation (SGTD-PCM) fest. Verletzungen des Schutzes personenbezogener Daten sind zudem der Datenschutzbehörde (ANPD) zu melden."},"source_url":"https://busquedas.elperuano.pe/dispositivo/EX/2455024-1"},{"id":"tw-csma","jurisdiction":"TW","regime":{"it":"Cyber Security Management Act","en":"Cyber Security Management Act","fr":"Cyber Security Management Act","es":"Cyber Security Management Act","de":"Cyber Security Management Act"},"documents":["tw-cyber-security-management-act-2018"],"status":"in_force","applies_from":"2025-12-01","who":{"it":"Enti pubblici e soggetti non pubblici specifici (infrastrutture critiche, imprese pubbliche e fondazioni finanziate dallo Stato).","en":"Government agencies and specific non-government agencies (critical infrastructure providers, state-owned enterprises and government-funded foundations).","fr":"Organismes publics et entités non publiques spécifiques (infrastructures critiques, entreprises publiques et fondations financées par l'État).","es":"Organismos públicos y entidades no públicas específicas (infraestructuras críticas, empresas públicas y fundaciones financiadas por el Estado).","de":"Regierungsbehörden und bestimmte nichtstaatliche Stellen (Anbieter kritischer Infrastrukturen, staatliche Unternehmen und staatlich finanzierte Stiftungen)."},"authority":"Central competent authority in charge of the sector; for government agencies, the supervising agency and the Ministry of Digital Affairs","authority_it":"Autorità centrale competente per il settore; per gli enti pubblici, l'ente sovraordinato e il Ministero degli affari digitali","authority_fr":"Autorité centrale compétente pour le secteur ; pour les organismes publics, l'organisme de tutelle et le ministère des Affaires numériques","authority_es":"Autoridad central competente del sector; para los organismos públicos, el organismo superior y el Ministerio de Asuntos Digitales","authority_de":"Für den Sektor zuständige zentrale Behörde; für Regierungsbehörden die übergeordnete Behörde und das Ministerium für digitale Angelegenheiten","steps":[{"time":"1h","label":{"it":"Notifica dell'incidente","en":"Incident notification","fr":"Notification de l'incident","es":"Notificación del incidente","de":"Meldung des Vorfalls"}},{"time":"36h","label":{"it":"Contenimento o ripristino completati e comunicati, per gli incidenti gravi (72 ore per quelli di livello 1 o 2)","en":"Damage control or recovery completed and reported, for major incidents (72 hours for level 1 or 2 incidents)","fr":"Maîtrise des dommages ou rétablissement achevés et signalés, pour les incidents majeurs (72 heures pour les incidents de niveau 1 ou 2)","es":"Control de daños o recuperación completados y comunicados, para los incidentes graves (72 horas para los de nivel 1 o 2)","de":"Schadensbegrenzung oder Wiederherstellung abgeschlossen und gemeldet, bei schwerwiegenden Vorfällen (72 Stunden bei Vorfällen der Stufe 1 oder 2)"}},{"time":"1m","label":{"it":"Rapporto su indagine, gestione e misure correttive (dal completamento del contenimento o del ripristino)","en":"Investigation, handling and corrective action report (from completion of damage control or recovery)","fr":"Rapport d'enquête, de traitement et de mesures correctives (après la maîtrise des dommages ou le rétablissement)","es":"Informe de investigación, gestión y medidas correctivas (desde que concluyen el control de daños o la recuperación)","de":"Bericht über Untersuchung, Bearbeitung und Abhilfemaßnahmen (ab Abschluss der Schadensbegrenzung oder Wiederherstellung)"}}],"sanctions":{"it":"Per i soggetti non pubblici specifici che non notificano un incidente, multa da 300.000 a 10 milioni di dollari taiwanesi, ripetibile se non si mettono in regola; per il personale pubblico, sanzioni disciplinari.","en":"For specific non-government agencies that fail to report an incident, a fine of TWD 300,000 to 10 million, which can be repeated if they do not comply; for government personnel, disciplinary sanctions.","fr":"Pour les entités non publiques spécifiques qui ne notifient pas un incident, amende de 300 000 à 10 millions de dollars taïwanais, renouvelable faute de mise en conformité ; pour les agents publics, sanctions disciplinaires.","es":"Para las entidades no públicas específicas que no notifican un incidente, multa de 300 000 a 10 millones de dólares taiwaneses, que puede repetirse si no se corrigen; para el personal público, sanciones disciplinarias.","de":"Für bestimmte nichtstaatliche Stellen, die einen Vorfall nicht melden, eine Geldbuße von 300.000 bis 10 Mio. TWD, die bei fortgesetzter Nichteinhaltung wiederholt verhängt werden kann; für Regierungspersonal Disziplinarmaßnahmen."},"notes":{"it":"La legge riformata nel 2025 è in vigore dal 1° dicembre 2025. I termini sono fissati dal regolamento sulla notifica, la risposta e le esercitazioni per gli incidenti di cybersecurity, modificato il 5 gennaio 2026.","en":"The Act as revised in 2025 has been in force since 1 December 2025. The deadlines are set by the Regulations Governing the Reporting, Response and Drills for Cyber Security Incidents, amended on 5 January 2026.","fr":"La loi réformée en 2025 est en vigueur depuis le 1er décembre 2025. Les délais sont fixés par le règlement sur la notification, la réponse et les exercices relatifs aux incidents de cybersécurité, modifié le 5 janvier 2026.","es":"La ley reformada en 2025 está en vigor desde el 1 de diciembre de 2025. Los plazos los fija el reglamento sobre notificación, respuesta y simulacros de incidentes de ciberseguridad, modificado el 5 de enero de 2026.","de":"Das 2025 überarbeitete Gesetz ist seit dem 1. Dezember 2025 in Kraft. Die Fristen legen die am 5. Januar 2026 geänderten Regulations Governing the Reporting, Response and Drills for Cyber Security Incidents fest."},"source_url":"https://law.moj.gov.tw/ENG/LawClass/LawAll.aspx?pcode=A0030305"},{"id":"tr-7545","jurisdiction":"TR","regime":{"it":"Legge sulla cybersecurity n. 7545","en":"Cyber Security Law No. 7545","fr":"Loi sur la cybersécurité n° 7545","es":"Ley de Ciberseguridad n.º 7545","de":"Cybersicherheitsgesetz Nr. 7545"},"documents":["tr-siber-guvenlik-kanunu-7545-2025"],"status":"in_force","applies_from":"2025-03-19","who":{"it":"Enti pubblici, operatori di infrastrutture critiche e chi fornisce servizi o tratta dati tramite sistemi informatici, per gli incidenti e le vulnerabilità.","en":"Public bodies, critical infrastructure operators and those providing services or processing data through information systems, for incidents and vulnerabilities.","fr":"Organismes publics, opérateurs d'infrastructures critiques et acteurs qui fournissent des services ou traitent des données via des systèmes d'information, pour les incidents et les vulnérabilités.","es":"Organismos públicos, operadores de infraestructuras críticas y quienes prestan servicios o tratan datos mediante sistemas de información, para los incidentes y las vulnerabilidades.","de":"Öffentliche Stellen, Betreiber kritischer Infrastrukturen und alle, die über Informationssysteme Dienste erbringen oder Daten verarbeiten, bei Vorfällen und Schwachstellen."},"authority":"Siber Güvenlik Başkanlığı","authority_it":"Presidenza per la cybersecurity (Siber Güvenlik Başkanlığı)","authority_en":"Cyber Security Presidency (Siber Güvenlik Başkanlığı)","authority_fr":"Présidence de la cybersécurité (Siber Güvenlik Başkanlığı)","authority_es":"Presidencia de Ciberseguridad (Siber Güvenlik Başkanlığı)","authority_de":"Präsidium für Cybersicherheit (Siber Güvenlik Başkanlığı)","steps":[{"time":"immediate","label":{"it":"Notifica dell'incidente o della vulnerabilità","en":"Incident or vulnerability notification","fr":"Notification de l'incident ou de la vulnérabilité","es":"Notificación del incidente o de la vulnerabilidad","de":"Meldung des Vorfalls oder der Schwachstelle"}}],"sanctions":{"it":"Sanzioni amministrative pecuniarie, escluse le amministrazioni pubbliche.","en":"Administrative fines, except for public administrations.","fr":"Amendes administratives, sauf pour les administrations publiques.","es":"Multas administrativas, salvo para las administraciones públicas.","de":"Verwaltungsgeldbußen, außer für öffentliche Verwaltungen."},"source_url":"https://www.resmigazete.gov.tr/eskiler/2025/03/20250319-1.htm"},{"id":"ng-cybercrimes","jurisdiction":"NG","regime":{"it":"Cybercrimes Act 2015 (modificato nel 2024)","en":"Cybercrimes Act 2015 (as amended in 2024)","fr":"Cybercrimes Act 2015 (modifié en 2024)","es":"Cybercrimes Act 2015 (modificada en 2024)","de":"Cybercrimes Act 2015 (in der 2024 geänderten Fassung)"},"documents":["ng-cybercrimes-act-2015"],"status":"in_force","who":{"it":"Persone e istituzioni, pubbliche o private, che gestiscono un sistema o una rete informatica, per attacchi, intrusioni e altre perturbazioni che possono ostacolare il funzionamento di altri sistemi o reti.","en":"Persons and institutions, public or private, operating a computer system or network, for attacks, intrusions and other disruptions liable to hinder the functioning of another computer system or network.","fr":"Personnes et institutions, publiques ou privées, qui exploitent un système ou un réseau informatique, pour les attaques, intrusions et autres perturbations susceptibles d'entraver le fonctionnement d'un autre système ou réseau.","es":"Personas e instituciones, públicas o privadas, que operan un sistema o una red informática, para los ataques, intrusiones y otras perturbaciones que puedan obstaculizar el funcionamiento de otro sistema o red.","de":"Öffentliche oder private Personen und Einrichtungen, die ein Computersystem oder -netz betreiben, bei Angriffen, Eindringen und anderen Störungen, die das Funktionieren eines anderen Computersystems oder -netzes behindern können."},"authority":"National Computer Emergency Response Team (CERT) Coordination Center, through the sectoral CERTs or Security Operations Centres (SOC)","authority_it":"Centro di coordinamento del CERT nazionale, tramite i CERT o i centri operativi di sicurezza (SOC) di settore","authority_fr":"Centre de coordination du CERT national, par l'intermédiaire des CERT ou centres opérationnels de sécurité (SOC) sectoriels","authority_es":"Centro de Coordinación del CERT nacional, a través de los CERT o centros de operaciones de seguridad (SOC) sectoriales","authority_de":"Koordinierungszentrum des nationalen Computer Emergency Response Team (CERT), über die sektoralen CERTs oder Security Operations Centres (SOC)","steps":[{"time":"immediate","label":{"it":"Informare il CERT nazionale","en":"Inform the National CERT","fr":"Informer le CERT national","es":"Informar al CERT nacional","de":"Unterrichtung des nationalen CERT"}},{"time":"72h","label":{"it":"Termine ultimo per la segnalazione","en":"Reporting deadline","fr":"Délai limite de signalement","es":"Plazo máximo de notificación","de":"Meldefrist"}}],"sanctions":{"it":"Chi non segnala l'incidente nei termini commette un reato ed è punito con l'interruzione dei servizi Internet e con una multa obbligatoria di 2 milioni di naira da versare al National Cyber Security Fund.","en":"Failing to report within the deadline is an offence, punishable by denial of Internet services and a mandatory fine of NGN 2 million paid into the National Cyber Security Fund.","fr":"Ne pas signaler l'incident dans le délai constitue une infraction, punie de la coupure des services Internet et d'une amende obligatoire de 2 millions de nairas versée au National Cyber Security Fund.","es":"No notificar el incidente en plazo es un delito, castigado con la suspensión de los servicios de Internet y una multa obligatoria de 2 millones de nairas que se ingresa en el National Cyber Security Fund.","de":"Die Nichtmeldung innerhalb der Frist ist eine Straftat, die mit der Sperrung von Internetdiensten und einer obligatorischen Geldbuße von 2 Mio. NGN zugunsten des National Cyber Security Fund geahndet wird."},"notes":{"it":"L'obbligo è nella sezione 21 della legge. La modifica firmata il 28 febbraio 2024 ha sostituito il termine di 7 giorni dall'evento con 72 ore dalla rilevazione e ha previsto la segnalazione tramite i CERT o i SOC di settore.","en":"The duty is in section 21 of the Act. The amendment signed on 28 February 2024 replaced the 7-day deadline from occurrence with 72 hours from detection and provided for reporting through sectoral CERTs or SOCs.","fr":"L'obligation figure à la section 21 de la loi. La modification signée le 28 février 2024 a remplacé le délai de 7 jours après l'incident par 72 heures après sa détection et a prévu le signalement par l'intermédiaire des CERT ou SOC sectoriels.","es":"La obligación figura en la sección 21 de la ley. La reforma firmada el 28 de febrero de 2024 sustituyó el plazo de 7 días desde el incidente por 72 horas desde su detección y previó la notificación a través de los CERT o SOC sectoriales.","de":"Die Pflicht steht in Abschnitt 21 des Gesetzes. Die am 28. Februar 2024 unterzeichnete Änderung ersetzte die Frist von 7 Tagen ab Eintritt durch 72 Stunden ab Erkennung und sah die Meldung über sektorale CERTs oder SOCs vor."},"source_url":"https://www.ncc.gov.ng/media/1085/view"},{"id":"gh-cii","jurisdiction":"GH","regime":{"it":"Direttiva sulla protezione delle infrastrutture informative critiche (2021)","en":"Directive for the Protection of Critical Information Infrastructure (2021)","fr":"Directive pour la protection des infrastructures d'information critiques (2021)","es":"Directiva para la protección de las infraestructuras de información críticas (2021)","de":"Richtlinie zum Schutz kritischer Informationsinfrastrukturen (2021)"},"documents":["gh-cii-directive-2021","gh-cybersecurity-act-2020"],"status":"in_force","applies_from":"2021-10-01","who":{"it":"Titolari di infrastrutture informative critiche designate in base al Cybersecurity Act 2020 (Act 1038), per tutti gli incidenti di cybersecurity e per le vulnerabilità scoperte con audit e valutazioni.","en":"Owners of critical information infrastructure designated under the Cybersecurity Act, 2020 (Act 1038), for all cybersecurity incidents and for vulnerabilities found through audits and assessments.","fr":"Propriétaires d'infrastructures d'information critiques désignées au titre du Cybersecurity Act de 2020 (Act 1038), pour tous les incidents de cybersécurité et pour les vulnérabilités découvertes lors d'audits et d'évaluations.","es":"Titulares de infraestructuras de información críticas designadas conforme a la Cybersecurity Act de 2020 (Act 1038), para todos los incidentes de ciberseguridad y para las vulnerabilidades detectadas en auditorías y evaluaciones.","de":"Eigentümer kritischer Informationsinfrastrukturen, die nach dem Cybersecurity Act, 2020 (Act 1038) benannt sind, bei allen Cybersicherheitsvorfällen und bei durch Audits und Bewertungen festgestellten Schwachstellen."},"authority":"Sectoral CERT or, where there is none, the National CERT (CERT-GH) of the Cyber Security Authority","authority_it":"CERT di settore o, se manca, il CERT nazionale (CERT-GH) della Cyber Security Authority","authority_fr":"CERT sectoriel ou, à défaut, le CERT national (CERT-GH) de la Cyber Security Authority","authority_es":"CERT sectorial o, si no existe, el CERT nacional (CERT-GH) de la Cyber Security Authority","authority_de":"Sektorales CERT oder, wo keines besteht, das nationale CERT (CERT-GH) der Cyber Security Authority","steps":[{"time":"24h","label":{"it":"Segnalazione dell'incidente","en":"Incident report","fr":"Signalement de l'incident","es":"Notificación del incidente","de":"Meldung des Vorfalls"}},{"time":"72h","label":{"it":"Segnalazione delle vulnerabilità scoperte con audit e valutazioni (dalla scoperta della vulnerabilità)","en":"Report of vulnerabilities found in audits and assessments (from discovery of the vulnerability)","fr":"Signalement des vulnérabilités découvertes lors d'audits et d'évaluations (après la découverte de la vulnérabilité)","es":"Notificación de las vulnerabilidades detectadas en auditorías y evaluaciones (desde el descubrimiento de la vulnerabilidad)","de":"Meldung der bei Audits und Bewertungen festgestellten Schwachstellen (ab Entdeckung der Schwachstelle)"}}],"sanctions":{"it":"Sanzioni penali e amministrative previste dalla sezione 92(2) del Cybersecurity Act 2020 e dal suo secondo allegato.","en":"Criminal and administrative sanctions under section 92(2) of the Cybersecurity Act, 2020 and its Second Schedule.","fr":"Sanctions pénales et administratives prévues par la section 92(2) du Cybersecurity Act de 2020 et sa deuxième annexe.","es":"Sanciones penales y administrativas previstas en la sección 92(2) de la Cybersecurity Act de 2020 y su segundo anexo.","de":"Straf- und verwaltungsrechtliche Sanktionen nach Abschnitt 92(2) des Cybersecurity Act, 2020 und seinem Second Schedule."},"notes":{"it":"L'obbligo è al paragrafo 5.3 della direttiva, in vigore dal 1° ottobre 2021, che attua la sezione 39(1) dell'Act 1038. Il titolare deve anche indicare un punto di contatto per le segnalazioni e per ricevere gli avvisi di sicurezza.","en":"The duty is in paragraph 5.3 of the Directive, in force since 1 October 2021, which implements section 39(1) of Act 1038. The owner must also designate a point of contact for reports and for receiving security advisories.","fr":"L'obligation figure au paragraphe 5.3 de la directive, en vigueur depuis le 1er octobre 2021, qui met en œuvre la section 39(1) de l'Act 1038. Le propriétaire doit aussi désigner un point de contact pour les signalements et la réception des avis de sécurité.","es":"La obligación figura en el apartado 5.3 de la directiva, en vigor desde el 1 de octubre de 2021, que desarrolla la sección 39(1) de la Act 1038. El titular también debe designar un punto de contacto para las notificaciones y para recibir los avisos de seguridad.","de":"Die Pflicht steht in Nummer 5.3 der seit dem 1. Oktober 2021 geltenden Richtlinie, die Abschnitt 39(1) des Act 1038 umsetzt. Der Eigentümer muss zudem eine Kontaktstelle für Meldungen und für den Empfang von Sicherheitshinweisen benennen."},"source_url":"https://csa.gov.gh/resources/Directive_CII.pdf"}]}