L-Ordni NIS2 ta’ Malta u l-fornituri tas-software tiegħek

01Fejn tinsab in-NIS2 fil-ħarifa tal-2026

Id-Direttiva NIS 2 (jiftaħ sit estern), id-Direttiva (UE) 2022/2555, ġiet ippubblikata fil-Ġurnal Uffiċjali fis-27 ta’ Diċembru 2022 u daħlet fis-seħħ fis-16 ta’ Jannar 2023. L-Istati Membri kellhom jadottaw u jippubblikaw il-miżuri nazzjonali tagħhom sas-17 ta’ Ottubru 2024 u japplikawhom mit-18 ta’ Ottubru 2024, il-jum li fih ġiet imħassra l-ewwel Direttiva NIS.

Peress li n-NIS2 hija direttiva, dak li jorbot organizzazzjoni huwa l-liġi nazzjonali li tittrasponiha. It-traspożizzjoni ma kinitx uniformi: xi Stati Membri applikaw il-liġi tagħhom fil-ħin, oħrajn biss fl-2025 jew fl-2026, u l-Kummissjoni Ewropea bdiet proċeduri ta’ ksur kontra Stati Membri li qabżu l-iskadenza. Għalhekk id-dmirijiet tar-reġistrazzjoni, il-portals tar-rappurtar u s-superviżuri jvarjaw minn pajjiż għal ieħor.

F’Malta, in-NIS2 hija trasposta bl-Ordni tal-2025 dwar Miżuri għal Livell Għoli Komuni taċ-Ċibersigurtà madwar l-Unjoni Ewropea (Malta), l-A.L. 71 tal-2025 (L.S. 460.41), ippubblikat fil-Gazzetta tal-Gvern tat-8 ta’ April 2025. L-A.L. 22 tal-2026 daħħal id-dispożizzjonijiet kollha tiegħu fis-seħħ fit-23 ta’ Jannar 2026, u l-Ordni ħa post ir-regoli tan-NIS1 (L.S. 460.35). L-A.L. 89 tal-2026, tas-7 ta’ April 2026, emenda l-Ordni, fost l-oħrajn biex is-CSIRT nazzjonali jitwaqqaf fi ħdan il-MITA.

02Entitajiet essenzjali u importanti

In-NIS2 tapplika għal entitajiet pubbliċi u privati fis-setturi tal-Anness I (kritiċità għolja: enerġija, trasport, banek, infrastrutturi tas-swieq finanzjarji, saħħa, ilma tax-xorb, ilma mormi, infrastruttura diġitali, ġestjoni tas-servizzi tal-ICT, amministrazzjoni pubblika u spazju) u tal-Anness II (setturi kritiċi oħra: servizzi postali u tal-kurrier, ġestjoni tal-iskart, kimiċi, ikel, manifattura, fornituri diġitali u riċerka). Bħala regola tkopri organizzazzjonijiet ta’ daqs medju u kbar. Xi wħud huma koperti tkun xi tkun id-daqs tagħhom, bħall-fornituri ta’ servizzi fiduċjarji, il-fornituri ta’ servizzi tad-DNS u l-entitajiet tal-amministrazzjoni pubblika ċentrali.

Imbagħad l-Artikolu 3 jaqsam dawn l-organizzazzjonijiet f’żewġ kategoriji:

• Entitajiet essenzjali: l-aktar organizzazzjonijiet kbar fis-setturi tal-Anness I, flimkien ma’ entitajiet li huma essenzjali tkun xi tkun id-daqs tagħhom, bħall-fornituri kwalifikati ta’ servizzi fiduċjarji, ir-reġistri tal-ismijiet tad-dominji tal-ogħla livell, il-fornituri ta’ servizzi tad-DNS u l-entitajiet tal-amministrazzjoni pubblika ċentrali. Huma ssorveljati b’mod proattiv, li jista’ jinkludi awditi u spezzjonijiet fuq il-post.
• Entitajiet importanti: l-organizzazzjonijiet l-oħra fil-kamp tal-Annessi I u II. Is-superviżjoni hija ex post: l-awtorità taġixxi meta jkun hemm indikazzjonijiet li l-entità mhix konformi.

Iż-żewġ kategoriji għandhom l-istess dmirijiet ewlenin: miżuri tal-ġestjoni tar-riskju (l-Artikolu 21), rappurtar tal-inċidenti (l-Artikolu 23) u responsabbiltà tal-maniġment (l-Artikolu 20). Id-differenza hija fis-superviżjoni u fil-multi. Għal ksur tal-Artikoli 21 jew 23, il-liġi nazzjonali trid tippermetti multi massimi ta’ mill-inqas EUR 10 miljun jew 2% tal-fatturat annwali dinji għall-entitajiet essenzjali, u ta’ mill-inqas EUR 7 miljun jew 1.4% għall-entitajiet importanti, skont liema hu l-ogħla. L-Istati Membri jiddeċiedu jekk, u sa liema punt, il-multi japplikaw għall-entitajiet tal-amministrazzjoni pubblika.

Il-fornitur tas-software tiegħek huwa kopert hu stess?

Il-kitba tas-software, fiha nnifisha, mhix settur tan-NIS2. Fornitur xorta jista’ jkun kopert direttament. L-Anness I jkopri l-fornituri ta’ servizzi ġestiti, u n-NIS2 tiddefinixxihom b’mod wiesa’: entitajiet li jinstallaw, jiġġestixxu, iħaddmu jew iżommu prodotti, netwerks, infrastruttura jew applikazzjonijiet tal-ICT għall-klijenti, fuq il-post jew mill-bogħod. Fornitur ta’ daqs medju jew akbar li jħaddem jew iżomm applikazzjonijiet għall-klijenti tiegħu jista’ għalhekk jaqa’ taħt in-NIS2 hu stess, kif jistgħu jaqgħu l-fornituri tas-servizzi tal-cloud computing u taċ-ċentri tad-data. Għal dawn il-fornituri, ir-Regolament ta’ Implimentazzjoni (UE) 2024/2690 (jiftaħ sit estern) jagħti r-rekwiżiti tekniċi fid-dettall.

Il-biċċa l-kbira tal-fornituri tas-software, madankollu, jiltaqgħu man-NIS2 permezz tal-klijenti tagħhom, li jibdlu d-dmir tagħhom dwar il-katina tal-provvista fi klawżoli kuntrattwali, kwestjonarji u awditi. Il-prodotti tas-software huma koperti wkoll mill-Att dwar ir-Reżiljenza Ċibernetika (jiftaħ sit estern), ir-Regolament (UE) 2024/2847: l-obbligi tiegħu tar-rappurtar għall-vulnerabbiltajiet sfruttati b’mod attiv u għall-inċidenti severi japplikaw mill-11 ta’ Settembru 2026, u l-obbligi l-oħra mill-11 ta’ Diċembru 2027.

03L-għaxar miżuri minimi tal-Artikolu 21

L-Artikolu 21 jitlob miżuri tekniċi, operazzjonali u organizzattivi xierqa u proporzjonati, ibbażati fuq approċċ li jkopri l-perikli kollha. Iridu jirriflettu l-ogħla livell tal-arti u l-istandards Ewropej u internazzjonali rilevanti, u jkunu proporzjonati għall-espożizzjoni tal-entità għar-riskju, għad-daqs tagħha u għas-severità probabbli tal-inċidenti. Bħala minimu jkopru:

1. 01politiki dwar l-analiżi tar-riskju u s-sigurtà tas-sistemi tal-informazzjoni;
2. 02il-ġestjoni tal-inċidenti;
3. 03il-kontinwità tan-negozju, bħall-ġestjoni tal-backups u l-irkupru mid-diżastri, u l-ġestjoni tal-kriżijiet;
4. 04is-sigurtà tal-katina tal-provvista, inklużi l-aspetti tas-sigurtà fir-relazzjonijiet mal-fornituri diretti u mal-fornituri tas-servizzi;
5. 05is-sigurtà fl-akkwist, fl-iżvilupp u fil-manutenzjoni tan-netwerks u tas-sistemi tal-informazzjoni, inklużi l-ġestjoni u l-iżvelar tal-vulnerabbiltajiet;
6. 06politiki u proċeduri biex tiġi vvalutata l-effettività ta’ dawn il-miżuri;
7. 07prattiki bażiċi tal-iġjene ċibernetika u taħriġ fiċ-ċibersigurtà;
8. 08politiki u proċeduri dwar il-kriptografija u, fejn xieraq, il-kriptaġġ;
9. 09is-sigurtà tar-riżorsi umani, politiki tal-kontroll tal-aċċess u l-ġestjoni tal-assi;
10. 10awtentikazzjoni b’diversi fatturi jew kontinwa, u komunikazzjonijiet siguri bil-vuċi, bil-vidjo, bit-test u ta’ emerġenza, fejn xieraq.

Il-punti 4 u 5 huma fejn jidħlu l-fornituri. L-Artikolu 21(3) jitlob lill-entitajiet iqisu l-vulnerabbiltajiet speċifiċi għal kull fornitur dirett, il-kwalità ġenerali tal-prodotti u tal-prattiki taċ-ċibersigurtà tiegħu, u l-proċeduri tiegħu għall-iżvilupp sigur. Il-klijenti tiegħek mistennija jħarsu lejn kif tibni s-software, mhux biss lejn dak li tagħti.

04Il-maniġment japprova, jissorvelja u jwieġeb

Skont l-Artikolu 20, il-korpi maniġerjali tal-entitajiet essenzjali u importanti jridu japprovaw il-miżuri tal-ġestjoni tar-riskju taċ-ċibersigurtà, jissorveljaw l-implimentazzjoni tagħhom u jistgħu jinżammu responsabbli għall-ksur. Il-membri tagħhom iridu jsegwu taħriġ, u l-entitajiet huma mħeġġa jħarrġu wkoll lill-impjegati tagħhom regolarment. Għall-entitajiet pubbliċi, ir-regoli nazzjonali dwar ir-responsabbiltà tal-istituzzjonijiet u tal-uffiċjali pubbliċi jibqgħu japplikaw.

Dan ibiddel il-konverżazzjoni mal-fornituri. Bord li jrid japprova l-miżuri jrid evidenza li jista’ jsegwi: liema fornituri jsostnu liema servizzi, liema riskji jibqgħu, u x’ġie ttestjat verament.

05Rappurtar tal-inċidenti: 24 siegħa, 72 siegħa, xahar

L-Artikolu 23 jitlob lill-entitajiet jirrappurtaw l-inċidenti sinifikanti lis-CSIRT jew lill-awtorità kompetenti tagħhom. Inċident huwa sinifikanti jekk ikkawża, jew jista’ jikkawża, tfixkil operazzjonali sever jew telf finanzjarju għall-entità, jew ħsara materjali jew mhux materjali konsiderevoli lil oħrajn. Ir-rappurtar isir fi stadji:

Fejn xieraq, l-entitajiet iridu jinfurmaw ukoll lir-riċevituri tas-servizzi tagħhom mingħajr dewmien żejjed dwar inċidenti sinifikanti li x’aktarx jaffettwaw dawk is-servizzi. F’Malta, l-Artikolu 20(5) tal-Ordni NIS2 jitlob l-istess stadji: twissija bikrija lis-CSIRT nazzjonali fi żmien 24 siegħa, notifika tal-inċident fi żmien 72 siegħa u rapport finali fi żmien xahar.

Iż-żmien jibda jgħodd minn meta l-entità ssir taf bl-inċident. Jekk l-inċident jibda fis-sistema ta’ fornitur, il-klijent jista’ jlaħħaq mal-iskadenza ta’ 24 siegħa biss jekk il-fornitur jagħrfu, jifhmu u jgħaddih fi ftit sigħat. Għalhekk l-iskoperta, ir-reġistrazzjoni tal-avvenimenti u kanal miftiehem għan-notifika huma klawżoli tal-kuntratt, mhux biss dettalji tal-inġinerija.

06X’jitlob klijent taħt in-NIS2 mill-fornitur tas-software tiegħu

Fil-prattika, l-Artikolu 21 isir miżuri tekniċi u evidenza li fornitur għandu jkun jista’ juri mingħajr ma jibda proġett. Dawk li naraw l-aktar spiss:

• Ċiklu ta’ żvilupp sigur. Immudellar tat-theddid għal bidliet sinifikanti, rieżami mill-pari, testijiet awtomatiċi tas-sigurtà u skanjar tad-dipendenzi fil-pipeline, builds iffirmati u lista tal-komponenti tas-software (SBOM) għal kull rilaxx.
• Ġestjoni u żvelar tal-vulnerabbiltajiet. Mod ippubblikat kif jiġu rrappurtati l-vulnerabbiltajiet, ħinijiet ta’ rispons miftiehma skont is-severità, u avviż lill-klijent meta vulnerabbiltà tolqot l-ambjent tiegħu.
• Kontroll tal-aċċess għall-persunal tal-fornitur. Kontijiet bl-isem, awtentikazzjoni b’diversi fatturi, l-inqas privileġġ, aċċess elevat limitat fil-ħin u reġistru ta’ kull azzjoni amministrattiva fl-ambjent tal-klijent.
• Reġistri u evidenza tal-inċidenti. Avvenimenti rilevanti għas-sigurtà rreġistrati b’ħinijiet affidabbli, miżmuma għal perjodu miftiehem u li jistgħu jiġu esportati, biex il-klijent ikun jista’ jwieġeb il-mistoqsijiet tat-twissija bikrija u tar-rapport finali.
• Kooperazzjoni fl-inċidenti. Kuntatt u kanal identifikati, żmien ta’ notifika ferm qabel l-24 siegħa tal-klijent, u appoġġ fl-analiżi tal-kawża ewlenija.
• Kontinwità u rkupru. Backups ippruvati billi jiġu restawrati, objettivi tal-irkupru allinjati ma’ dawk tal-klijent, u proċedura pprattikata.
• Dokumentazzjoni tal-katina tal-provvista. Lista aġġornata tas-sottokuntratturi u tal-postijiet tal-hosting, u tal-komponenti u s-servizzi ewlenin ta’ terzi li tiddependi minnhom is-soluzzjoni.
• Pjan ta’ ħruġ. Esportazzjoni tad-data f’formati li jistgħu jintużaw, dokumentazzjoni u appoġġ fit-trasferiment, biex il-klijent ikun jista’ jibdel il-fornitur mingħajr ma jitlef il-kontroll tas-servizz.

Xejn minn dan mhu ġdid għal timijiet tal-inġinerija maturi. Dak li tbiddel in-NIS2 huwa li l-klijent irid ikun jista’ jurih. Il-paġna Fiduċja u konformità tiddeskrivi kif naħdmu bħala fornitur, inkluża s-sistema tal-ġestjoni tas-sigurtà tal-informazzjoni tagħna b’ċertifikazzjoni ISO/IEC 27001.

07Lista ta’ kontroll għall-kuntratti u l-akkwist

1. 01Orbot il-fornituri mas-servizzi. Irreġistra liema fornituri jsostnu liema servizzi fil-kamp ta’ applikazzjoni, u liema għandhom aċċess għas-sistemi jew għad-data tiegħek.
2. 02Ikklassifika skont il-kritiċità. Applika l-itqal rekwiżiti għall-fornituri li jħaddmu, jew jistgħu jibdlu, sistemi kritiċi.
3. 03Ikteb il-miżuri fil-kuntratt. Rekwiżiti tas-sigurtà, żmien u kanal tan-notifika tal-inċidenti, ġestjoni tal-vulnerabbiltajiet, reġistri u żamma tagħhom, drittijiet ta’ awditjar jew ta’ evidenza, regoli tas-sottokuntrattar u postijiet.
4. 04Itlob evidenza, mhux dikjarazzjonijiet. Ċertifikati bil-kamp ta’ applikazzjoni tagħhom, riżultati tat-testijiet, SBOM, id-data tal-aħħar test tar-restawr.
5. 05Aqbel fuq il-ħruġ mill-bidu. Ritorn tad-data, appoġġ fit-tranżizzjoni u l-perjodu li matulu l-fornitur iżomm is-servizz għaddej.
6. 06Ipprattika flimkien. Agħmel eżerċizzju ta’ inċident mal-fornituri kritiċi tiegħek, inkluża t-twissija bikrija ta’ 24 siegħa.
7. 07Irrieżamina regolarment. Il-fornituri, is-servizzi u t-theddid jinbidlu; reġistru tal-fornituri aġġornat darba fis-sena ma jkunx aġġornat għall-biċċa l-kbira tas-sena.

08Il-liġi nazzjonali tiddeċiedi d-dettalji

Ir-reġistrazzjoni, il-portals tar-rappurtar, il-formoli, l-awtorità kompetenti u kull rekwiżit addizzjonali ġejjin mil-liġi nazzjonali. Xi Stati Membri jorbtu l-miżuri tal-Artikolu 21 ma’ qafas jew ċertifikazzjoni nazzjonali. Bħala regola, entità taqa’ taħt l-Istat Membru fejn hija stabbilita. L-Artikolu 26 jagħmel eċċezzjonijiet: il-fornituri ta’ komunikazzjonijiet elettroniċi pubbliċi jaqgħu taħt kull pajjiż fejn jipprovdu servizzi, il-fornituri tal-cloud, taċ-ċentri tad-data u tas-servizzi ġestiti u diversi fornituri diġitali oħra taħt il-pajjiż tal-istabbiliment prinċipali tagħhom, u l-entitajiet tal-amministrazzjoni pubblika taħt l-Istat li waqqafhom.

F’Malta, l-Artikolu 7 tal-Ordni jagħmel lid-Dipartiment għall-Ħarsien tal-Infrastruttura Kritika (Dipartiment tas-CIP) l-awtorità superviżorja nazzjonali u l-punt uniku ta’ kuntatt. Id-Dipartiment tas-CIP iħaddem il-mekkaniżmu nazzjonali ta’ awtoreġistrazzjoni, li fuqu jirreġistraw l-entitajiet essenzjali u importanti li jipprovdu servizzi f’Malta. L-inċidenti sinifikanti jmorru għand is-CSIRT nazzjonali, imwaqqaf fi ħdan il-MITA.

09X’għandek issegwi fix-xhur li ġejjin

• Il-gwida tad-Dipartiment tas-CIP dwar l-Ordni NIS2 ta’ Malta, ir-reġistrazzjoni u r-rappurtar, u l-liġijiet ta’ traspożizzjoni tal-pajjiżi l-oħra fejn topera.
• Il-proposta tal-Kummissjoni għal Omnibus Diġitali (jiftaħ sit estern) tad-19 ta’ Novembru 2025, COM(2025) 837, li tipproponi li r-rapporti tal-inċidenti taħt in-NIS2, il-GDPR, id-DORA u liġijiet oħra jgħaddu minn punt uniku ta’ dħul immexxi mill-ENISA. F’Ottubru 2026 il-proposta kienet għadha quddiem il-Parlament Ewropew (jiftaħ sit estern)); sakemm tiġi adottata u tibda tapplika, jibqgħu l-kanali u l-iskadenzi attwali.
• Il-valutazzjonijiet koordinati tal-UE tar-riskju tal-katini tal-provvista kritiċi tal-ICT taħt l-Artikolu 22, li l-entitajiet iridu jqisu meta jagħżlu l-miżuri għall-fornituri.
• Il-kalendarju tal-Att dwar ir-Reżiljenza Ċibernetika għall-prodotti tas-software, bl-applikazzjoni sħiħa mill-11 ta’ Diċembru 2027.

Għall-entitajiet finanzjarji, id-DORA jieħu post ir-regoli tan-NIS2 dwar il-ġestjoni tar-riskju tal-ICT, ir-rappurtar tal-inċidenti u s-superviżjoni; ara l-artiklu tagħna Id-DORA u l-fornituri terzi ta’ servizzi tal-ICT: x’jeħtieġu l-entitajiet finanzjarji mill-fornituri tagħhom. Il-Kummissjoni żżomm ħarsa ġenerali lejn in-NIS2 u l-atti ta’ implimentazzjoni tagħha fil-paġna tagħha dwar id-Direttiva NIS 2 (jiftaħ sit estern).