Estado de NIS 2 en Eslovenia
Lo que exige la directiva, cómo la transpone Eslovenia y dónde encaja URSIV en el conjunto.
Visión general
La Directiva NIS 2 es la capa de la UE. Vincula a todos los Estados miembros, incluida Eslovenia, con un único mínimo de ciberseguridad para las entidades esenciales e importantes. Eslovenia debe incorporar ese mínimo a la legislación eslovena y aplicar un régimen de supervisión a su amparo.
Eslovenia incumplió el plazo de transposición del 17 de octubre de 2024. La Comisión Europea emitió un dictamen motivado el 7 de mayo de 2025 por no notificar la transposición completa. Eslovenia aceleró entonces, publicó la nueva Ley de Seguridad de la Información (Zakon o informacijski varnosti, ZInfV-1) en el Boletín Oficial el 4 de junio de 2025 y la puso en vigor el 19 de junio de 2025.
URSIV (Urad Vlade Republike Slovenije za informacijsko varnost, la Oficina Gubernamental de Seguridad de la Información) es la autoridad nacional competente. SI-CERT, operado dentro del instituto público Arnes, es el CSIRT nacional y el contacto para la notificación de incidentes. Las entidades esenciales e importantes disponen de 18 meses desde la entrada en vigor para implementar las medidas de gestión de riesgos en virtud de ZInfV-1.
Directiva de la UE
Directiva (UE) 2022/2555 (NIS 2)
La directiva de ciberseguridad para toda la UE. Fija las obligaciones que todo Estado miembro debe transponer, incluidos los criterios de tamaño y sector para las entidades esenciales e importantes.
Ejecución de la UE
Reglamento de Ejecución (UE) 2024/2690 de la Comisión
Medidas técnicas y metodológicas para los proveedores de infraestructura digital. Directamente aplicable en Eslovenia sin transposición nacional.
Transposición eslovena
Zakon o informacijski varnosti (ZInfV-1), Boletín Oficial de 4 de junio de 2025
La transposición eslovena de NIS 2. Sustituye a la anterior ZInfV (era de NIS 1). Los actos de desarrollo y la orientación de URSIV completan el detalle operativo. Entrada en vigor el 19 de junio de 2025, con una ventana de 18 meses para que las entidades implementen las medidas de gestión de riesgos de los artículos 21 y 22.
ZInfV-1 (Ley de Seguridad de la Información)
Traslada las obligaciones de NIS 2 a la legislación eslovena. Define el perímetro de las entidades esenciales e importantes, las potestades de supervisión de URSIV, los deberes de notificación de incidentes y las sanciones. La ley amplía la población de entidades reguladas mucho más allá del alcance de la ZInfV de NIS 1, tanto a organismos del sector público como a un conjunto más amplio de operadores privados.
URSIV como autoridad competente
URSIV (Urad Vlade Republike Slovenije za informacijsko varnost) es la autoridad nacional competente y el punto de contacto único para NIS 2 en Eslovenia. Ejerce la supervisión y la orientación. SI-CERT, dentro del instituto público Arnes, gestiona la respuesta a incidentes y es el contacto operativo de notificación. Los reguladores sectoriales siguen siendo competentes donde se aplica la lex specialis, en particular las finanzas en virtud de DORA.
Registro y ventana de implementación
ZInfV-1 entró en vigor el 19 de junio de 2025. Las entidades esenciales e importantes disponen de 18 meses desde esa fecha para implementar las medidas de gestión de riesgos de los artículos 21 y 22 de la ley. Los incidentes significativos siguen la cadencia de la directiva: alerta temprana en un plazo de 24 horas, notificación en un plazo de 72 horas, informe final en un plazo de un mes. El registro lo gestiona URSIV. La mecánica exacta del portal aún se está desplegando, así que consulte la orientación de URSIV antes de asumir una URL concreta.
La legislación local se aplica dentro de Eslovenia
Las operaciones en territorio esloveno se rigen por la transposición eslovena. Una matriz alemana que dirige una filial eslovena lee ZInfV-1 para esa filial, no el BSIG alemán. Las obligaciones de la directiva son las mismas. El procedimiento, la autoridad y las sanciones residen en la legislación eslovena.
Eslovenia no puede situarse por debajo del mínimo de la UE
La directiva es un instrumento de armonización mínima. Eslovenia puede ir más allá, y ZInfV-1 sí amplía la población regulada más allá del mínimo de la directiva. Eslovenia no puede situarse por debajo de la directiva en los deberes de las entidades esenciales e importantes, los plazos de notificación de incidentes ni la responsabilidad del órgano de dirección.
URSIV
Oficina Gubernamental de Seguridad de la Información. Autoridad nacional competente y punto de contacto único en virtud de NIS 2. Ejerce la supervisión, emite orientación y es el titular de la política de ZInfV-1. Mantiene el registro de entidades esenciales e importantes.
SI-CERT (Arnes)
CSIRT nacional, operado dentro del instituto público Arnes (Red Académica y de Investigación de Eslovenia). Contacto operativo para la notificación de incidentes, gestiona la alerta temprana, las alertas y la difusión de información. Coordina con URSIV la gestión de incidentes de NIS 2.
ENISA
La agencia de ciberseguridad de la UE. Publica orientación, gestiona la base de datos europea de vulnerabilidades y apoya la coordinación transfronteriza. No es supervisor de las entidades eslovenas. Lo es URSIV.
Si seguimos el BSIG alemán estamos cubiertos en Eslovenia.
Las obligaciones sustantivas proceden de la misma directiva, pero el procedimiento, la autoridad competente, el canal de notificación y las sanciones residen en la legislación eslovena. Una filial eslovena se registra ante URSIV, notifica a SI-CERT y es supervisada en virtud de ZInfV-1. Leer la ley alemana le da la forma de la directiva pero no el procedimiento local.
Eslovenia incumplió el plazo, así que aún no hay nada en vigor.
ZInfV-1 entró en vigor el 19 de junio de 2025. La ventana de implementación de 18 meses para las medidas de gestión de riesgos de los artículos 21 y 22 corre desde esa fecha, no desde el plazo de la UE. El dictamen motivado de la Comisión del 7 de mayo de 2025 versaba sobre la notificación tardía de la transposición; no suspende las obligaciones de las entidades una vez que la ley nacional está en vigor.
No estamos en un sector crítico, así que ZInfV-1 no nos afecta.
ZInfV-1 cubre todo el perímetro de entidades esenciales e importantes de la directiva y añade organismos del sector público. El criterio de tamaño se limita por defecto a las medianas y grandes empresas, pero la directiva alcanza a entidades más pequeñas cuando son el único proveedor, cuando una interrupción tiene impacto transfronterizo o cuando la legislación eslovena las designa. La comprobación de aplicabilidad debe hacerse caso por caso, no por autopercepción de criticidad.
La mayoría de los operadores eslovenos que vemos tratan NIS 2 como una continuación del antiguo régimen ZInfV. Eso es en parte cierto: URSIV sigue siendo el titular de la política y SI-CERT sigue gestionando la respuesta a incidentes. El alcance es más amplio, la firma del órgano de dirección es más pesada, y la ventana de implementación de 18 meses desde el 19 de junio de 2025 es un reloj real. El director o el consejo de administración responde personalmente de la aprobación de la gestión de riesgos y de completar la formación exigida.
La medida práctica es la misma que en cualquier otro lugar de la UE: confirmar el ámbito en virtud de la directiva, registrarse ante URSIV, establecer las cuatro obligaciones continuas (mantenimiento del registro, notificación de incidentes, riesgo de la cadena de suministro, supervisión del órgano de dirección) y documentar el mínimo. La documentación de la antigua ZInfV ayuda, pero no sustituye al registro de obligaciones de ZInfV-1.
Construimos el registro de obligaciones de NIS 2 sobre la capa de la UE, no sobre ninguna transposición nacional concreta. La misma lista de comprobación sirve para una entidad eslovena en virtud de ZInfV-1, una matriz alemana en virtud del BSIG y una hermana francesa en virtud de la Ordonnance n° 2024-1093. Las referencias a los artículos cambian por configuración regional. Las obligaciones sustantivas no.
Para el ámbito esloveno empieza con la comprobación de aplicabilidad, luego pasa a la cadencia de notificación de incidentes hacia SI-CERT, las cláusulas de cadena de suministro y la firma del órgano de dirección. Donde URSIV publica orientación sectorial, la referenciamos. No la duplicamos.
- Directiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Reglamento de Ejecución (UE) 2024/2690 de la Comisión
- Zakon o informacijski varnosti (ZInfV-1), Boletín Oficial de la República de Eslovenia, 4 de junio de 2025
- URSIV, Urad Vlade Republike Slovenije za informacijsko varnost, gov.si
- SI-CERT, CSIRT nacional dentro del instituto público Arnes, cert.si
- Comisión Europea, panorama de implementación de NIS 2 para Eslovenia, dictamen motivado de 7 de mayo de 2025