Estado de NIS 2 en Eslovaquia
Lo que exige la directiva, cómo la transpone Eslovaquia y dónde encaja NBÚ en el conjunto.
Visión general
La Directiva NIS 2 es la capa de la UE. Vincula a todos los Estados miembros, incluida Eslovaquia, a un único nivel mínimo de ciberseguridad para las entidades esenciales e importantes. Eslovaquia debe trasladar ese nivel a la legislación eslovaca y supervisar a su amparo.
Eslovaquia transpone NIS 2 modificando su Ley de Ciberseguridad de 2018 existente. El instrumento es la Ley n.º 366/2024 Z.z., que modifica la Ley n.º 69/2018 Z.z. sobre ciberseguridad. Fue adoptada por el Consejo Nacional el 28 de noviembre de 2024, publicada en la Colección de Leyes el 19 de diciembre de 2024 y entró en vigor el 1 de enero de 2025. Eslovaquia incumplió el plazo de la UE del 17 de octubre de 2024 por unos dos meses y medio, lo que la sitúa en el grupo de Estados miembros a los que la Comisión dirigió cartas de infracción antes de notificarse la transposición completa.
El Národný bezpečnostný úrad (NBÚ, Autoridad Nacional de Seguridad) es la autoridad competente principal y el punto de contacto único. SK-CERT, operado dentro del NBÚ, es el CSIRT nacional. El registro, la notificación de incidentes y la mayoría de los intercambios regulatorios se canalizan a través de JISKB, el Jednotný informačný systém kybernetickej bezpečnosti.
Directiva de la UE
Directiva (UE) 2022/2555 (NIS 2)
La directiva de ciberseguridad para toda la UE. Define las obligaciones que todo Estado miembro debe transponer, incluido el criterio de tamaño y sector para las entidades esenciales e importantes.
Ejecución de la UE
Reglamento de Ejecución (UE) 2024/2690
Medidas técnicas y metodológicas para los proveedores de infraestructura digital. Directamente aplicable en Eslovaquia, sin necesidad de transposición nacional.
Transposición eslovaca
Ley n.º 366/2024 Z.z. (modificación de la Ley n.º 69/2018 Z.z. sobre ciberseguridad), en vigor el 1 de enero de 2025
La transposición eslovaca de NIS 2. Reescribe la Ley de Ciberseguridad de 2018 en lugar de sustituirla, reemplaza la antigua identificación basada en anexo de los operadores de servicios esenciales por una lista legal en el artículo 17, apartado 1, y añade las potestades de supervisión y los deberes de notificación que exige NIS 2. Los decretos de desarrollo del NBÚ completan el detalle operativo.
Ley n.º 366/2024 Z.z.
Traslada las obligaciones de NIS 2 a la legislación eslovaca modificando la Ley de Ciberseguridad de 2018. Define el nuevo alcance de las entidades esenciales e importantes, las potestades de supervisión del NBÚ, el calendario de notificación de incidentes y el régimen sancionador. El detalle operativo se fija en decretos de desarrollo y en la orientación del NBÚ.
NBÚ como supervisor y operador de SK-CERT
El NBÚ es la autoridad competente principal y el punto de contacto único en virtud de NIS 2. Ejerce la supervisión, las auditorías y los procedimientos sancionadores, opera SK-CERT como el CSIRT nacional y gestiona JISKB como el portal central de registro y notificación. Los reguladores sectoriales conservan su papel donde se aplica la lex specialis, en particular para el sector financiero en virtud de DORA.
Registro y notificación
La directiva exige que las entidades sean identificables por los Estados miembros a partir del 17 de abril de 2025. En Eslovaquia esto ocurre a través de JISKB. Los incidentes significativos siguen la directiva: alerta temprana en un plazo de 24 horas, notificación en un plazo de 72 horas, informe final en un plazo de un mes.
En Eslovaquia se aplica la legislación eslovaca
Las actividades en territorio eslovaco se rigen por la transposición eslovaca. Un director gerente alemán con una filial eslovaca lee la Ley 366/2024 (que modifica la Ley 69/2018) para esa filial, no el BSIG. Las obligaciones de nivel de la directiva son idénticas. El procedimiento, el portal y las sanciones residen en la legislación eslovaca.
Eslovaquia no puede situarse por debajo del nivel de la UE
La directiva es de armonización mínima. Eslovaquia puede ir más allá, en particular para los sectores que identificó como críticos en su marco anterior. Eslovaquia no puede situarse por debajo de la directiva, ni en las obligaciones para las entidades esenciales e importantes, ni en los plazos de notificación, ni en la responsabilidad del órgano de dirección.
NBÚ
Národný bezpečnostný úrad. Autoridad competente principal y punto de contacto único en virtud de NIS 2. Ejerce la supervisión, emite decretos de desarrollo y orientación, mantiene los registros de entidades esenciales e importantes y opera JISKB. El punto de contacto para cualquier caso transfronterizo de NIS 2 que implique a Eslovaquia.
SK-CERT
El CSIRT nacional, operado dentro del NBÚ. Recibe las notificaciones de incidentes, coordina con los CSIRT sectoriales y gubernamentales e intercambia con la red de CSIRT a nivel de la UE. Accesible 24/7. La contraparte técnica del papel regulatorio del NBÚ.
ENISA
La agencia de ciberseguridad de la UE. Publica orientación, gestiona la base de datos europea de vulnerabilidades y coordina a nivel transfronterizo. No es supervisor de las entidades eslovacas. Ese papel corresponde al NBÚ.
Las obligaciones eslovacas de NIS 2 son el mismo texto que el BSIG alemán, así que la orientación alemana es suficiente.
Las obligaciones de nivel de la directiva son idénticas, pero la capa procedimental no lo es. Eslovaquia mantiene la estructura de su Ley de Ciberseguridad de 2018, con el NBÚ en lugar del BSI, SK-CERT en lugar de CERT-Bund, JISKB en lugar del portal de registro alemán, y plazos y cifras sancionadoras eslovacos. Una entidad eslovaca que lea solo la orientación del BSIG presentará en el lugar equivocado y citará los artículos equivocados.
Todavía no hay portal de registro, así que podemos esperar.
Eslovaquia opera JISKB (Jednotný informačný systém kybernetickej bezpečnosti) para el registro, las notificaciones y la comunicación de incidentes. Lo opera el NBÚ y es el canal que las entidades esenciales e importantes utilizan para identificarse ante la autoridad. Esperar a un portal separado que no existe es la razón más común por la que las entidades eslovacas pierden la ventana de registro.
Solo las entidades de la antigua lista del anexo entran en el ámbito.
La Ley 366/2024 sustituyó la antigua identificación basada en anexo por una lista legal en el artículo 17, apartado 1, de la Ley de Ciberseguridad modificada. El criterio de tamaño y sector de la directiva se aplica además. El resultado es una población sustancialmente mayor de entidades reguladas, estimada en el comentario eslovaco publicado en el orden de varios miles. La comprobación de aplicabilidad debe rehacerse caso por caso.
La mayoría de los operadores eslovacos del mercado medio que encontramos siguen tratando NIS 2 como una pequeña actualización de la Ley de Ciberseguridad de 2018. La modificación es más que eso. El alcance de las entidades reguladas es más amplio, el órgano de dirección asume ahora una responsabilidad personal por la aprobación del tratamiento de riesgos y por su propia formación, y el calendario de notificación es más exigente que lo que pedía el antiguo régimen basado en anexo.
El paso práctico es el mismo que en toda la UE: ejecutar la comprobación de aplicabilidad frente a la directiva, registrarse a través del portal nacional (aquí JISKB), establecer las cuatro obligaciones continuas (mantener actualizados los datos de registro, notificación de incidentes, riesgo de la cadena de suministro, supervisión por el órgano de dirección) y documentar el mínimo. El proceso existente de la Ley de Ciberseguridad de 2018 ayuda, pero no sustituye al registro de obligaciones de NIS 2.
Construimos el registro de obligaciones de NIS 2 a nivel de la UE, no sobre una única transposición nacional. La misma lista de comprobación encaja con una entidad eslovaca en virtud de la Ley 366/2024, una matriz alemana en virtud del BSIG y una hermana francesa en virtud de la Ordonnance n° 2024-1093. Las referencias a los artículos cambian por país, las obligaciones en sustancia no.
Para el ámbito eslovaco, empiece con la comprobación de aplicabilidad, luego la cadencia de notificación, las cláusulas de cadena de suministro y la firma del órgano de dirección. Donde el NBÚ publica decretos u orientación sectoriales, los enlazamos. No los copiamos.
- Directiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Reglamento de Ejecución (UE) 2024/2690
- Ley n.º 366/2024 Z.z. que modifica la Ley n.º 69/2018 Z.z. sobre ciberseguridad, Slov-Lex
- Ley n.º 69/2018 Z.z. sobre ciberseguridad (texto consolidado), Slov-Lex
- Národný bezpečnostný úrad (NBÚ), sitio oficial
- SK-CERT, equipo nacional de respuesta a incidentes de seguridad informática
- JISKB, Jednotný informačný systém kybernetickej bezpečnosti, operado por el NBÚ
- Comisión Europea, página de implementación de NIS 2 para Eslovaquia