Cosa richiedono davvero le leggi NIS2 baltiche in materia di MFA: Lettonia, Lituania, Estonia

La direttiva NIS2, di per sé, dice soltanto che un’organizzazione deve usare «soluzioni di autenticazione a più fattori o di autenticazione continua … ove opportuno» (articolo 21, paragrafo 2, lettera j, della direttiva (UE) 2022/2555). I tre Stati baltici hanno trasformato quella singola riga in tre insiemi di regole piuttosto diversi tra loro. Se gestite sistemi in più di uno di questi Paesi, o state cercando di capire su quali dei vostri account un’autorità di controllo vi farà domande, le differenze contano. Questo articolo cita le clausole e indica dove ciascuna lascia margine.

Prima l’eccezione a livello UE: i fornitori di infrastrutture digitali come DNS, cloud, data center, fornitori di servizi gestiti e mercati online seguono il regolamento di esecuzione della Commissione anziché le regole nazionali. Il punto 11.7 del suo allegato richiede l’MFA o l’autenticazione continua per l’accesso ai sistemi informativi e di rete «in base alla classificazione della risorsa», e il punto 11.3.2 richiede un’autenticazione forte «come l’autenticazione a più fattori» per gli account privilegiati e di amministrazione di sistema (regolamento 2024/2690, in vigore dal 7 novembre 2024). Tutti gli altri seguono le regole nazionali riportate di seguito.

Lettonia: il regolamento elenca gli account

Le regole lettoni sono le più specifiche delle tre. Il regolamento del Consiglio dei ministri n. 397, Minimālās kiberdrošības prasības (Requisiti minimi di cybersicurezza), è in vigore dal 2 luglio 2025 (likumi.lv) in attuazione della Legge nazionale sulla cybersicurezza (Nacionālās kiberdrošības likums, likumi.lv).

Il punto 52 rende l’MFA obbligatoria per:

• 52.1 gli account amministratore e gli account utente standard dei sistemi informativi di classe A;
• 52.2 gli account amministratore dei sistemi informativi di classe B;
• 52.3 gli account utente standard dei sistemi di classe B quando vi si accede da remoto da una rete esterna e tale accesso non passa già attraverso una VPN cifrata con MFA.

Le classi sono una proprietà di ciascun sistema informativo, non della vostra organizzazione. I punti da 32 a 34 le derivano dalle classi di sicurezza del sistema per confidenzialità, integrità e disponibilità: una sola valutazione A ne fa un sistema di classe A, altrimenti una sola valutazione B lo rende di classe B, e tutto ciò che fa parte di un’infrastruttura critica è di classe A per definizione. Un fornitore di servizi essenziali può avere soltanto sistemi di classe B e C, e il regolamento lo prevede: il suo ciclo triennale di autovalutazione riguarda ogni soggetto privo di sistemi di classe A.

Il punto 55.8 aggiunge una regola di rete per i proprietari di infrastrutture critiche ICT e per i fornitori di servizi essenziali: l’accesso dall’esterno della rete interna alle risorse interne «è possibile soltanto attraverso una soluzione VPN cifrata con autenticazione a più fattori». Il punto 56 applica ai fornitori di servizi importanti soltanto i punti da 55.1 a 55.4, quindi il 55.8 non li vincola.

Accanto alla regola sull’MFA ci sono obblighi che un auditor verificherà nella stessa ispezione: gli account amministratore non devono essere usati per il lavoro quotidiano e gli account standard non devono essere usati per l’amministrazione (punti 51.5 e 51.4); l’accesso alle risorse informative, tentativi falliti compresi, deve essere registrato (punto 58.3) e conservato per 18, 12 o 6 mesi a seconda della classe del sistema (punto 57). Una relazione di autovalutazione redatta sul modulo dell’allegato 16 del regolamento va presentata entro il 1º ottobre di ogni anno dai proprietari di infrastrutture critiche e da chiunque abbia almeno un sistema di classe A, e ogni tre anni da tutti gli altri (punti 141 e 142); è indirizzata al Centro nazionale per la cybersicurezza (Nacionālais kiberdrošības centrs) o, per le infrastrutture critiche, all’Ufficio per la tutela della Costituzione (Satversmes aizsardzības birojs).

Ciò che il regolamento non fa: non nomina alcuna tecnologia. «Daudzfaktoru autentifikācija» (autenticazione a più fattori) è tutto ciò che dice, senza alcun riferimento a SMS, codici monouso, FIDO o resistenza al phishing, e non fissa alcuna regola sulle password. Le sanzioni previste dalla legge arrivano a 10 milioni di euro per i fornitori di servizi essenziali, o al 2% del fatturato se il fatturato supera i 500 milioni di euro, e a 7 milioni di euro per i fornitori di servizi importanti, o all’1,4% del fatturato oltre la stessa soglia di 500 milioni di euro.

Lituania: tutti, utenti compresi, con un termine di 24 mesi

La Lituania ha riscritto la propria Legge sulla cybersicurezza (Kibernetinio saugumo įstatymas) per la NIS2 con effetto dal 18 ottobre 2024. L’articolo 14, paragrafo 5, punto 11, elenca le «soluzioni di autenticazione a più fattori o continua» tra gli elementi richiesti, e la risoluzione del Governo n. 945 del 6 novembre 2024 (in vigore dal 12 novembre 2024) approva la descrizione dettagliata dei requisiti di cybersicurezza (Kibernetinio saugumo reikalavimų aprašas) (e-seimas).

La regola sull’MFA si trova nella tabella 7 di quella descrizione, riga 61, ed è la più ampia dei tre Paesi: «l’utente e l’amministratore devono confermare la propria identità con una password e un mezzo di autenticazione aggiuntivo (autenticazione a più fattori)». È contrassegnata sia per i soggetti essenziali sia per quelli importanti, e non dipende da dove si trovi l’utente né da come sia classificato il sistema. Accanto a essa: amministrazione soltanto tramite un account separato non usato per il lavoro quotidiano (riga 58), account sospesi dopo tre mesi di inattività per gli utenti e due per gli amministratori, blocco della postazione di lavoro entro 15 minuti, e divieto per i browser di salvare le password al di fuori di un gestore di password dedicato. Per i terzi l’MFA vale «ove possibile». La parte organizzativa, compresa una procedura scritta di gestione degli accessi che indichi come viene usata l’MFA (punto 65.9), va completata entro 12 mesi dalla registrazione nel sistema informativo nazionale di cybersicurezza; i requisiti tecnici della tabella 7, MFA compresa, entro 24 mesi dalla registrazione (punto 72).

La legge richiede inoltre un audit di cybersicurezza almeno ogni tre anni secondo la metodologia del centro, e una formazione dei vertici almeno ogni due. Gli obblighi scattano soltanto una volta che il soggetto è registrato (articolo 11, paragrafo 2); la vigilanza spetta al Centro nazionale per la cybersicurezza (Nacionalinis kibernetinio saugumo centras, NKSC). Una violazione dei requisiti dell’articolo 14 è considerata una «violazione pericolosa», la fascia di sanzione più alta: fino a 10 milioni di euro o al 2% del fatturato mondiale, a seconda di quale importo sia più elevato, per i soggetti essenziali, e 7 milioni di euro o l’1,4%, a seconda di quale importo sia più elevato, per quelli importanti. Per gli enti pubblici di bilancio i massimali sono più bassi. La legge è stata nuovamente modificata nel giugno 2026; non abbiamo potuto leggere quel testo, quindi verificate se gli articoli sulle sanzioni e sulla registrazione siano cambiati.

Estonia: la legge tace, lo standard no

La Legge estone sulla cybersicurezza (Küberturvalisuse seadus), nella versione modificata, è entrata in vigore il 1º gennaio 2026 (Riigi Teataja). Chiama i soggetti essenziali üliolulised üksused e quelli importanti olulised üksused, e non menziona l’autenticazione a più fattori in nessun punto. L’articolo 7 delega invece le misure di sicurezza a un regolamento del Governo, e quel regolamento lascia ai fornitori una scelta: attuare lo standard estone di sicurezza delle informazioni E-ITS, oppure dimostrare che le proprie misure soddisfano i requisiti della ISO/IEC 27001, con un audit di conformità ogni tre anni (regolamento n. 121).

L’MFA compare poi due volte. L’allegato del regolamento con le misure primarie, che si applica a ogni fornitore soggetto alla legge, indica di «preferire l’autenticazione a più passaggi» (punto 2.5), una formulazione morbida che i fornitori possono sostituire con una misura equivalente. Il catalogo di base E-ITS è più netto: dove il sistema lo consente, si usa l’MFA al posto dell’autenticazione con la sola password (ORP.4.M8); gli account privilegiati sono protetti con l’MFA contro gli attaccanti esterni e l’escalation dei privilegi (ORP.4.M10); per esigenze di protezione elevate, un’MFA sicura «ad esempio con una carta d’identità o un token» (ORP.4.M21); e l’MFA per l’accesso a dati personali sensibili (CON.2.M18) (catalogo E-ITS).

Le scadenze sono generose. I soggetti che rientravano già nei criteri al 1º gennaio 2026 dovevano registrarsi presso l’Autorità per i sistemi informativi (Riigi Infosüsteemi Amet, RIA) entro tre mesi, quindi entro la fine di marzo 2026, e hanno tre anni, fino all’inizio del 2029, per mettersi pienamente in regola. I nuovi soggetti hanno tre mesi per registrarsi e tre anni dal momento in cui rientrano nei criteri. Le sanzioni ricalcano la NIS2: fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali e 7 milioni di euro o l’1,4% per quelli importanti, in ciascun caso a seconda di quale importo sia più elevato. La RIA vigila sui soggetti importanti soltanto ex post.

Fianco a fianco

Cosa significa per gli account che avete davvero

• VPN e accesso remoto. In Lettonia, una VPN RADIUS cifrata con un secondo fattore è ciò che il punto 55.8 chiede ai proprietari di infrastrutture critiche e ai fornitori di servizi essenziali, e sottrae gli utenti di classe B all’ambito del punto 52.3; senza di essa, ogni utente remoto di classe B ha bisogno dell’MFA sull’applicazione stessa. In Lituania la VPN non cambia la regola, perché ogni utente ha comunque bisogno dell’MFA. In Estonia, per una VPN che supporta RADIUS, aspettatevi domande sulla clausola E-ITS «dove il sistema lo consente».
• Amministratori. Gli account amministratore sono il punto in cui le tre regole si sovrappongono di più: la Lettonia richiede per essi l’MFA sui sistemi di classe A e B, la Lituania ovunque, E-ITS su tutti gli account privilegiati. Lettonia e Lituania richiedono inoltre entrambe un account amministratore separato non usato per il lavoro quotidiano. Le console di firewall e server che accettano ancora la sola password sono il rilievo più probabile in sede di audit.
• Evidenze. La Lettonia vuole che gli accessi falliti siano registrati e conservati; la Lituania vuole una procedura scritta che indichi come viene usata l’MFA; l’Estonia vuole un audit rispetto a uno standard. Un metodo di autenticazione che produce una registrazione firmata e con marca temporale di ogni approvazione vi fornisce il materiale per tutti e tre senza doverlo ricostruire a posteriori.
• Tecnologia. Nessuna legge baltica prescrive un metodo, e nessuna usa le parole «resistente al phishing». Le linee guida di attuazione dell’ENISA raccomandano un’MFA resistente al phishing «ovunque possibile» e mettono FIDO2 in testa all’elenco; i testi nazionali si fermano a «più fattori». Si tratta di un minimo, non di un obiettivo, e l’articolo sull’autenticazione NIS2 spiega cosa distingue un fattore che soddisfa la lettera della norma da uno che resiste a un attaccante.

Notakey aggiunge un’approvazione sul telefono, che mostra il servizio, l’account e l’indirizzo di origine, alle VPN RADIUS, agli accessi a firewall e server, a Windows e alle applicazioni web, e lascia una registrazione firmata di ogni approvazione su un’appliance che potete eseguire nel vostro data center. La guida alla 2FA VPN mostra come soddisfare un requisito di accesso remoto di classe B in Lettonia o la riga 61 della tabella 7 in Lituania. Richiedete una demo e tradurremo in un progetto pilota gli account indicati dalla vostra norma nazionale, oppure, per cominciare, provate la demo dal vivo sul vostro telefono.

Questo articolo cita i testi di legge nella versione pubblicata al 29 ottobre 2026 e fornisce informazioni di carattere generale, non consulenza legale. Verificate con un consulente qualificato gli obblighi, le classi e le scadenze che si applicano alla vostra organizzazione, e controllate le modifiche lituane del giugno 2026, che non abbiamo potuto leggere al momento della stesura.