Estado da NIS 2 na Croácia
O que a diretiva exige, como a Croácia a transpõe, e onde se situam a SOA, o NCSC-HR e o CERT.hr no quadro.
Visão geral
A Diretiva NIS 2 é a camada da UE. Vincula cada Estado-Membro, a Croácia incluída, a um único nível mínimo para entidades essenciais e importantes. A Croácia tem de trazer esse nível para a lei croata e operar a supervisão ao seu abrigo.
A Croácia transpõe a NIS 2 através da Lei de Cibersegurança (Zakon o kibernetičkoj sigurnosti, NN 14/2024), adotada pelo Parlamento croata em janeiro de 2024 e em vigor desde 15 de fevereiro de 2024. O regulamento de execução detalhado (Uredba o kibernetičkoj sigurnosti, NN 135/2024) seguiu-se em novembro de 2024. A Croácia foi um dos poucos Estados-Membros que cumpriu o prazo de transposição de 17 de outubro de 2024 com bastante antecedência.
A supervisão está dividida. A Agência de Segurança e Informações (SOA, Sigurnosno-obavještajna agencija) acolhe o Centro Nacional de Cibersegurança (NCSC-HR) e é a autoridade competente central para a maioria dos setores. O Gabinete do Conselho de Segurança Nacional (UVNS) atua como ponto de contacto único perante a UE. O CERT.hr, operado dentro da CARNet, é o CSIRT nacional operacional e gere a plataforma de notificação de incidentes PiXi.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança de âmbito europeu. Fixa as obrigações que cada Estado-Membro tem de transpor, incluindo o teste de dimensão e de setor para entidades essenciais e importantes.
Ato de execução da UE
Regulamento de Execução (UE) 2024/2690
Medidas técnicas e metodológicas para os fornecedores de infraestruturas digitais. Diretamente aplicável na Croácia, sem transposição nacional.
Transposição croata
Zakon o kibernetičkoj sigurnosti, NN 14/2024 (em vigor a 15 de fevereiro de 2024)
A transposição croata da NIS 2. O regulamento de execução Uredba o kibernetičkoj sigurnosti (NN 135/2024) acrescenta o detalhe operacional, incluindo as modalidades de supervisão e os deveres de autoavaliação das entidades.
Lei de Cibersegurança NN 14/2024
Traz as obrigações da NIS 2 para a lei croata. Define as entidades essenciais e importantes, os poderes de supervisão, os deveres de notificação de incidentes, e as sanções. O regulamento que a acompanha, NN 135/2024, especifica as medidas de cibersegurança e a supervisão com mais detalhe operacional do que a própria diretiva.
SOA, NCSC-HR e UVNS
A Agência de Segurança e Informações (SOA) acolhe o Centro Nacional de Cibersegurança (NCSC-HR), que atua como autoridade competente central para a maioria dos setores. O Gabinete do Conselho de Segurança Nacional (UVNS) é o ponto de contacto único da UE. Os reguladores setoriais mantêm os seus papéis quando se aplica a lex specialis, por exemplo no setor financeiro ao abrigo da DORA.
Registo e notificação
A Croácia cumpriu o prazo de transposição de 17 de outubro de 2024 com bastante antecedência. As entidades essenciais e importantes autoidentificam-se e registam-se através dos canais previstos na NN 14/2024 e na NN 135/2024. Os incidentes significativos seguem o calendário da diretiva: alerta precoce no prazo de 24 horas, notificação no prazo de 72 horas, relatório final no prazo de um mês. A notificação flui através da plataforma PiXi operada pela CARNet, acedida via e-Ovlaštenja.
A atividade croata segue a lei croata
A atividade em território croata segue a transposição croata. Um diretor-geral alemão com uma filial croata lê a NN 14/2024 para essa filial, não o BSIG. As obrigações da diretiva são idênticas. O procedimento, o portal e as sanções residem na lei croata.
A Croácia não pode descer abaixo do nível da UE
A diretiva é uma harmonização mínima. A Croácia pode ir mais longe, e em pontos como o regime de autoavaliação argumentavelmente foi. A Croácia não pode descer abaixo da diretiva, nem quanto às obrigações das entidades essenciais e importantes, nem quanto aos prazos de notificação, nem quanto à responsabilidade do órgão de direção.
SOA / NCSC-HR
A Agência de Segurança e Informações (SOA) acolhe o Centro Nacional de Cibersegurança (NCSC-HR), a autoridade competente central para a supervisão da cibersegurança ao abrigo da NN 14/2024. O NCSC-HR coordena a ação de supervisão e publica orientações. O UVNS situa-se ao lado como ponto de contacto único da UE.
CERT.hr (CARNet)
O CSIRT nacional, operado dentro da CARNet (Rede Académica e de Investigação Croata). Gere a plataforma de notificação PiXi que as entidades essenciais e importantes usam para a notificação obrigatória de incidentes. Trata diretamente dos setores bancário, da infraestrutura dos mercados financeiros, da infraestrutura digital, e da investigação e educação. Os outros setores fluem através das respetivas autoridades de supervisão.
ENISA
A agência de cibersegurança da UE. Publica orientações, opera a base de dados europeia de vulnerabilidades e coordena ao nível transfronteiriço. Não é um regulador das entidades croatas. Esse papel cabe à SOA / NCSC-HR.
A Croácia é apenas uma cópia traduzida do BSIG alemão.
Ambas transpõem a mesma diretiva, mas o procedimento difere. A Croácia encaminha a supervisão através da SOA / NCSC-HR, não de uma agência civil comparável ao BSI. A notificação flui através da plataforma PiXi e do e-Ovlaštenja, não do portal do BSI. A lei croata também formaliza um regime de autoavaliação que o projeto alemão não espelha. O nível da diretiva é idêntico, a camada operacional não.
A Croácia falhou o prazo e não tem canal de registo funcional.
A Croácia adotou a NN 14/2024 em janeiro de 2024 e pô-la em vigor em 15 de fevereiro de 2024, bem antes do prazo da UE de 17 de outubro de 2024. O regulamento de execução NN 135/2024 seguiu-se em novembro de 2024. As entidades essenciais e importantes autoidentificam-se e registam-se ao abrigo da lei, e notificam através da plataforma PiXi via e-Ovlaštenja. Um grupo estrangeiro bloqueado por um suposto processo croata em falta está a ler informação desatualizada.
Só os setores do Anexo I estão no âmbito.
Aplica-se o teste de dimensão e de setor da diretiva, mas a lei e o regulamento também alcançam as entidades importantes nos setores do Anexo II e certas entidades independentemente da dimensão, como a administração pública e fornecedores digitais específicos. A aplicabilidade tem de ser verificada entidade a entidade, face ao texto croata e à diretiva, não face a uma lista setorial isolada.
A maioria dos operadores croatas que encontramos ainda lê a NIS 2 como uma continuação do antigo quadro das infraestruturas críticas. Isto é apenas parcialmente verdade. A supervisão corre agora através da SOA / NCSC-HR com o UVNS como contacto da UE, o âmbito é mais amplo do que sob o antigo regime, e o órgão de direção tem responsabilidade pessoal pela aprovação da gestão de riscos e pela conclusão da sua própria formação.
O passo prático é o mesmo que em qualquer parte da UE: verificar a aplicabilidade face à diretiva, registar-se através dos canais ao abrigo da NN 14/2024 e da NN 135/2024, instituir as quatro obrigações contínuas (manter os dados de registo atualizados, notificação de incidentes, risco da cadeia de fornecimento, supervisão pelo órgão de direção) e documentar o mínimo. A plataforma PiXi e o e-Ovlaštenja são a interface operacional, não a obrigação em si.
Construímos o registo de obrigações da NIS 2 sobre a camada da UE, não sobre uma transposição nacional isolada. A mesma lista de verificação serve uma filial croata ao abrigo da NN 14/2024, uma empresa-mãe alemã ao abrigo do BSIG e uma empresa irmã francesa ao abrigo da Ordonnance n.o 2024-1093. As referências de artigos deslocam-se por país, as obrigações subjacentes não.
Para o âmbito croata começa pela verificação de aplicabilidade, depois a cadência de notificação de incidentes, as cláusulas da cadeia de fornecimento e a aprovação pelo órgão de direção. Onde a SOA / NCSC-HR ou o CERT.hr publica orientações setoriais, ligamos a elas. Não as copiamos.
- Diretiva (UE) 2022/2555 (NIS 2). EUR-Lex
- Regulamento de Execução (UE) 2024/2690
- Zakon o kibernetičkoj sigurnosti, NN 14/2024. Narodne novine
- Uredba o kibernetičkoj sigurnosti, NN 135/2024. Narodne novine
- SOA. Sigurnosno-obavještajna agencija, sítio oficial
- NCSC-HR. Centro Nacional de Cibersegurança, acolhido pela SOA
- UVNS. Gabinete do Conselho de Segurança Nacional, ponto de contacto único da UE
- CERT.hr. Operado dentro da CARNet, CSIRT nacional
- PiXi. Plataforma croata de notificação de incidentes NIS 2 (CARNet)