Stato di NIS 2 in Slovenia
Cosa richiede la direttiva, come la Slovenia la traspone e dove si colloca URSIV nel quadro.
Panoramica
La direttiva NIS 2 è lo strato dell'UE. Vincola ogni Stato membro, inclusa la Slovenia, con un unico livello minimo di cibersicurezza per i soggetti essenziali e importanti. La Slovenia deve inserire quel livello minimo nel diritto sloveno e gestire un regime di vigilanza in base ad esso.
La Slovenia ha mancato la scadenza di trasposizione del 17 ottobre 2024. La Commissione europea ha emesso un parere motivato il 7 maggio 2025 per la mancata notifica della trasposizione completa. La Slovenia ha poi accelerato, ha pubblicato la nuova legge sulla sicurezza delle informazioni (Zakon o informacijski varnosti, ZInfV-1) nella Gazzetta ufficiale il 4 giugno 2025 e l'ha portata in vigore il 19 giugno 2025.
URSIV (Urad Vlade Republike Slovenije za informacijsko varnost, l'Ufficio governativo per la sicurezza delle informazioni) è l'autorità nazionale competente. SI-CERT, operato all'interno dell'istituto pubblico Arnes, è il CSIRT nazionale e il contatto per la notifica degli incidenti. I soggetti essenziali e importanti hanno 18 mesi dall'entrata in vigore per attuare le misure di gestione del rischio ai sensi di ZInfV-1.
Direttiva UE
Direttiva (UE) 2022/2555 (NIS 2)
La direttiva sulla cibersicurezza a livello UE. Fissa gli obblighi che ogni Stato membro deve trasporre, inclusi i criteri di dimensione e settore per i soggetti essenziali e importanti.
Attuazione UE
Regolamento di esecuzione (UE) 2024/2690 della Commissione
Misure tecniche e metodologiche per i fornitori di infrastrutture digitali. Direttamente applicabile in Slovenia senza trasposizione nazionale.
Trasposizione slovena
Zakon o informacijski varnosti (ZInfV-1), Gazzetta ufficiale del 4 giugno 2025
La trasposizione slovena di NIS 2. Sostituisce la precedente ZInfV (era NIS 1). Atti attuativi e linee guida di URSIV riempiono il dettaglio operativo. Entrata in vigore il 19 giugno 2025, con una finestra di 18 mesi affinché i soggetti attuino le misure di gestione del rischio degli articoli 21 e 22.
ZInfV-1 (legge sulla sicurezza delle informazioni)
Trasferisce gli obblighi di NIS 2 nel diritto sloveno. Definisce il perimetro dei soggetti essenziali e importanti, i poteri di vigilanza di URSIV, i doveri di notifica degli incidenti e le sanzioni. La legge estende la popolazione dei soggetti regolati ben oltre l'ambito della ZInfV dell'era NIS 1, includendo sia gli enti del settore pubblico sia un insieme più ampio di operatori privati.
URSIV come autorità competente
URSIV (Urad Vlade Republike Slovenije za informacijsko varnost) è l'autorità nazionale competente e punto di contatto unico per NIS 2 in Slovenia. Gestisce la vigilanza e le linee guida. SI-CERT, all'interno dell'istituto pubblico Arnes, gestisce la trattazione degli incidenti ed è il contatto operativo per la notifica. I regolatori settoriali restano competenti dove si applica la lex specialis, in particolare la finanza ai sensi di DORA.
Registrazione e finestra di attuazione
ZInfV-1 è entrata in vigore il 19 giugno 2025. I soggetti essenziali e importanti hanno 18 mesi da quella data per attuare le misure di gestione del rischio ai sensi degli articoli 21 e 22 della legge. Gli incidenti significativi seguono la cadenza della direttiva: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese. La registrazione è gestita da URSIV. La meccanica esatta del portale è ancora in fase di implementazione, quindi verificate le linee guida di URSIV prima di presumere un URL specifico.
Il diritto locale si applica all'interno della Slovenia
Le operazioni sul territorio sloveno seguono la trasposizione slovena. Una capogruppo tedesca che gestisce una controllata slovena legge ZInfV-1 per quella controllata, non il BSIG tedesco. Gli obblighi della direttiva sono gli stessi. Procedura, autorità e sanzioni risiedono nel diritto sloveno.
La Slovenia non può scendere sotto il livello minimo dell'UE
La direttiva è uno strumento di armonizzazione minima. La Slovenia può andare più rigida, e ZInfV-1 estende effettivamente la popolazione regolata oltre il minimo della direttiva. La Slovenia non può scendere sotto la direttiva sui doveri dei soggetti essenziali e importanti, sui termini di notifica degli incidenti o sulla responsabilità dell'organo di gestione.
URSIV
Ufficio governativo per la sicurezza delle informazioni. Autorità nazionale competente e punto di contatto unico ai sensi di NIS 2. Gestisce la vigilanza, emana linee guida ed è il titolare della politica per ZInfV-1. Mantiene la registrazione dei soggetti essenziali e importanti.
SI-CERT (Arnes)
CSIRT nazionale, operato all'interno dell'istituto pubblico Arnes (Rete accademica e di ricerca della Slovenia). Contatto operativo per la notifica degli incidenti, gestisce preallarmi, allarmi e diffusione delle informazioni. Coordina con URSIV sulla trattazione degli incidenti NIS 2.
ENISA
L'agenzia dell'UE per la cibersicurezza. Pubblica linee guida, gestisce la banca dati europea delle vulnerabilità e supporta il coordinamento transfrontaliero. Non è un'autorità di vigilanza per i soggetti sloveni. Lo è URSIV.
Se seguiamo il BSIG tedesco siamo coperti in Slovenia.
Gli obblighi sostanziali derivano dalla stessa direttiva, ma la procedura, l'autorità competente, il canale di notifica e le sanzioni risiedono nel diritto sloveno. Una controllata slovena si registra presso URSIV, notifica a SI-CERT ed è vigilata ai sensi di ZInfV-1. Leggere la legge tedesca vi dà la forma della direttiva ma non la procedura locale.
La Slovenia ha mancato la scadenza, quindi nulla è ancora in vigore.
ZInfV-1 è entrata in vigore il 19 giugno 2025. La finestra di attuazione di 18 mesi per le misure di gestione del rischio degli articoli 21 e 22 decorre da quella data, non dalla scadenza dell'UE. Il parere motivato della Commissione del 7 maggio 2025 riguardava la notifica tardiva della trasposizione; non sospende gli obblighi sui soggetti una volta che la legge nazionale è in vigore.
Non siamo in un settore critico, quindi ZInfV-1 non ci tocca.
ZInfV-1 copre l'intero perimetro dei soggetti essenziali e importanti della direttiva e aggiunge gli enti del settore pubblico. Il criterio di dimensione si limita per impostazione predefinita alle imprese di medie e grandi dimensioni, ma la direttiva cattura i soggetti più piccoli quando sono l'unico fornitore, quando l'interruzione ha impatto transfrontaliero, o quando il diritto sloveno li nomina. La verifica di applicabilità va fatta caso per caso, non in base alla percezione di criticità.
La maggior parte degli operatori sloveni che incontriamo tratta NIS 2 come una continuazione del vecchio regime ZInfV. È in parte vero: URSIV è ancora il titolare della politica e SI-CERT gestisce ancora la risposta agli incidenti. L'ambito è più ampio, l'approvazione dell'organo di gestione è più gravosa, e la finestra di attuazione di 18 mesi dal 19 giugno 2025 è un orologio reale. Il direttore o il consiglio di gestione è personalmente responsabile per l'approvazione della gestione del rischio e per il completamento della formazione richiesta.
La mossa pratica è la stessa di ovunque altro nell'UE: confermare l'ambito ai sensi della direttiva, registrarsi presso URSIV, impostare i quattro obblighi continui (mantenimento della registrazione, notifica degli incidenti, rischio della catena di fornitura, vigilanza dell'organo di gestione) e documentare il minimo. La vecchia documentazione ZInfV aiuta, ma non sostituisce il registro degli obblighi ZInfV-1.
Costruiamo il registro degli obblighi NIS 2 sullo strato dell'UE, non su una singola trasposizione nazionale. La stessa checklist funziona per un soggetto sloveno ai sensi di ZInfV-1, una capogruppo tedesca ai sensi del BSIG e una consociata francese ai sensi dell'Ordonnance n° 2024-1093. I riferimenti agli articoli cambiano per locale. Gli obblighi sostanziali no.
Per l'ambito sloveno si parte dalla verifica di applicabilità, poi si passa alla cadenza di notifica degli incidenti verso SI-CERT, alle clausole della catena di fornitura e all'approvazione dell'organo di gestione. Dove URSIV pubblica linee guida settoriali, le richiamiamo. Non le duplichiamo.
- Direttiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regolamento di esecuzione (UE) 2024/2690 della Commissione
- Zakon o informacijski varnosti (ZInfV-1), Gazzetta ufficiale della Repubblica di Slovenia, 4 giugno 2025
- URSIV, Urad Vlade Republike Slovenije za informacijsko varnost, gov.si
- SI-CERT, CSIRT nazionale all'interno dell'istituto pubblico Arnes, cert.si
- Commissione europea, panoramica dell'attuazione di NIS 2 per la Slovenia, parere motivato del 7 maggio 2025