Estado da NIS 2 na Eslováquia
O que a diretiva exige, como a Eslováquia a transpõe, e onde se situa o NBÚ no quadro.
Visão geral
A Diretiva NIS 2 é a camada da UE. Vincula cada Estado-Membro, incluindo a Eslováquia, a um único nível mínimo de cibersegurança para entidades essenciais e importantes. A Eslováquia tem de inscrever esse nível na lei eslovaca e supervisionar ao seu abrigo.
A Eslováquia transpõe a NIS 2 alterando a sua Lei de Cibersegurança de 2018 existente. O veículo é a Lei n.o 366/2024 Z.z., que altera a Lei n.o 69/2018 Z.z. sobre cibersegurança. Foi adotada pelo Conselho Nacional em 28 de novembro de 2024, publicada na Coletânea de Leis em 19 de dezembro de 2024 e entrou em vigor em 1 de janeiro de 2025. A Eslováquia falhou o prazo da UE de 17 de outubro de 2024 por cerca de dois meses e meio, o que a coloca no grupo de Estados-Membros que a Comissão interpelou por cartas de incumprimento antes de a transposição completa ser notificada.
O Národný bezpečnostný úrad (NBÚ, Autoridade Nacional de Segurança) é a autoridade competente principal e ponto de contacto único. O SK-CERT, operado dentro do NBÚ, é o CSIRT nacional. O registo, a notificação de incidentes e a maior parte das interações regulatórias correm através do JISKB, o Jednotný informačný systém kybernetickej bezpečnosti.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança de âmbito europeu. Define as obrigações que cada Estado-Membro tem de transpor, incluindo o teste de dimensão e de setor para entidades essenciais e importantes.
Execução da UE
Regulamento de Execução (UE) 2024/2690
Medidas técnicas e metodológicas para os fornecedores de infraestruturas digitais. Diretamente aplicável na Eslováquia, sem transposição nacional necessária.
Transposição eslovaca
Lei n.o 366/2024 Z.z. (alteração à Lei n.o 69/2018 Z.z. sobre cibersegurança), em vigor em 1 de janeiro de 2025
A transposição eslovaca da NIS 2. Reescreve a Lei de Cibersegurança de 2018 em vez de a substituir, substitui a antiga identificação dos operadores de serviços essenciais baseada em apêndices por uma lista legal na secção 17 número 1, e acrescenta os poderes de supervisão e os deveres de notificação exigidos pela NIS 2. Os decretos de execução do NBÚ preenchem o detalhe operacional.
Lei n.o 366/2024 Z.z.
Traz as obrigações da NIS 2 para a lei eslovaca alterando a Lei de Cibersegurança de 2018. Define o novo âmbito das entidades essenciais e importantes, os poderes de supervisão do NBÚ, o calendário de notificação de incidentes e o regime sancionatório. O detalhe operacional fica definido em decretos de execução e nas orientações do NBÚ.
NBÚ como supervisor e operador do SK-CERT
O NBÚ é a autoridade competente principal e o ponto de contacto único ao abrigo da NIS 2. Gere a supervisão, as auditorias e os procedimentos sancionatórios, opera o SK-CERT como CSIRT nacional, e gere o JISKB como portal central de registo e notificação. Os reguladores setoriais mantêm o seu papel quando se aplica a lex specialis, em particular para o setor financeiro ao abrigo da DORA.
Registo e notificação
A diretiva exige que as entidades sejam identificáveis pelos Estados-Membros a partir de 17 de abril de 2025. Na Eslováquia isto acontece através do JISKB. Os incidentes significativos seguem a diretiva: alerta precoce no prazo de 24 horas, notificação no prazo de 72 horas, relatório final no prazo de um mês.
Na Eslováquia, aplica-se a lei eslovaca
As atividades em território eslovaco seguem a transposição eslovaca. Um diretor-geral alemão com uma filial eslovaca lê a Lei 366/2024 (que altera a Lei 69/2018) para essa filial, não o BSIG. As obrigações ao nível da diretiva são idênticas. O procedimento, o portal e as sanções residem na lei eslovaca.
A Eslováquia não pode descer abaixo do nível da UE
A diretiva é de harmonização mínima. A Eslováquia pode ir mais longe, em particular para setores que identificou como críticos ao abrigo do seu quadro anterior. A Eslováquia não pode descer abaixo da diretiva, nem quanto às obrigações das entidades essenciais e importantes, nem quanto aos prazos de notificação, nem quanto à responsabilização do órgão de direção.
NBÚ
Národný bezpečnostný úrad. Autoridade competente principal e ponto de contacto único ao abrigo da NIS 2. Gere a supervisão, emite decretos de execução e orientações, mantém os registos das entidades essenciais e importantes, e opera o JISKB. O ponto de contacto para qualquer caso transfronteiriço da NIS 2 que envolva a Eslováquia.
SK-CERT
O CSIRT nacional, operado dentro do NBÚ. Recebe as notificações de incidentes, coordena-se com os CSIRT setoriais e governamentais, e troca informação com a rede de CSIRT ao nível da UE. Contactável 24 horas por dia, 7 dias por semana. A contraparte técnica do papel regulatório do NBÚ.
ENISA
A agência de cibersegurança da UE. Publica orientações, gere a base de dados europeia de vulnerabilidades e coordena ao nível transfronteiriço. Não é um supervisor das entidades eslovacas. Esse papel cabe ao NBÚ.
As obrigações eslovacas da NIS 2 têm o mesmo texto que o BSIG alemão, por isso a orientação alemã chega.
As obrigações ao nível da diretiva são idênticas, mas a camada processual não é. A Eslováquia mantém a estrutura da sua Lei de Cibersegurança de 2018, com o NBÚ em vez do BSI, o SK-CERT em vez do CERT-Bund, o JISKB em vez do portal de registo alemão, e prazos e valores de sanção eslovacos. Uma entidade eslovaca que leia apenas a orientação do BSIG vai apresentar no sítio errado e citar os artigos errados.
Ainda não há portal de registo, por isso podemos esperar.
A Eslováquia opera o JISKB (Jednotný informačný systém kybernetickej bezpečnosti) para registo, notificações e comunicação de incidentes. É operado pelo NBÚ e é o canal que as entidades essenciais e importantes usam para se identificarem à autoridade. Esperar por um portal separado que não existe é a razão mais comum para as entidades eslovacas falharem a janela de registo.
Só as entidades na antiga lista de apêndice estão no âmbito.
A Lei 366/2024 substituiu a antiga identificação baseada em apêndices por uma lista legal na secção 17 número 1 da Lei de Cibersegurança alterada. O teste de dimensão e de setor da diretiva aplica-se adicionalmente. O resultado é uma população substancialmente maior de entidades reguladas, estimada em comentários eslovacos publicados na ordem de vários milhares. A verificação de aplicabilidade tem de ser refeita caso a caso.
A maioria dos operadores eslovacos do mercado médio que encontramos ainda trata a NIS 2 como uma pequena atualização da Lei de Cibersegurança de 2018. A alteração é mais do que isso. O âmbito das entidades reguladas é mais amplo, o órgão de direção passa a ter responsabilidade pessoal pela aprovação do tratamento de riscos e pela sua própria formação, e o calendário de notificação é mais exigente do que o que o antigo regime baseado em apêndices pedia.
O passo prático é o mesmo que em toda a UE: fazer a verificação de aplicabilidade face à diretiva, registar-se através do portal nacional (aqui o JISKB), instituir as quatro obrigações contínuas (manter os dados de registo atualizados, notificação de incidentes, risco da cadeia de fornecimento, supervisão pelo órgão de direção), e documentar o mínimo. O processo existente da Lei de Cibersegurança de 2018 ajuda, mas não substitui o registo de obrigações da NIS 2.
Construímos o registo de obrigações da NIS 2 ao nível da UE, não sobre uma transposição nacional isolada. A mesma lista de verificação serve uma entidade eslovaca ao abrigo da Lei 366/2024, uma empresa-mãe alemã ao abrigo do BSIG e uma empresa irmã francesa ao abrigo da Ordonnance n.o 2024-1093. As referências de artigos mudam por país, as obrigações em substância não.
Para o âmbito eslovaco, comece pela verificação de aplicabilidade, depois a cadência de notificação, as cláusulas da cadeia de fornecimento e a aprovação pelo órgão de direção. Onde o NBÚ publica decretos setoriais ou orientações, ligamos a eles. Não os copiamos.
- Diretiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regulamento de Execução (UE) 2024/2690
- Lei n.o 366/2024 Z.z. que altera a Lei n.o 69/2018 Z.z. sobre cibersegurança, Slov-Lex
- Lei n.o 69/2018 Z.z. sobre cibersegurança (texto consolidado), Slov-Lex
- Národný bezpečnostný úrad (NBÚ), sítio oficial
- SK-CERT, equipa nacional de resposta a incidentes de segurança informática
- JISKB, Jednotný informačný systém kybernetickej bezpečnosti, operado pelo NBÚ
- Comissão Europeia, página de implementação da NIS 2 para a Eslováquia