Estado da NIS 2 na Eslovénia
O que a diretiva exige, como a Eslovénia a transpõe, e onde se situa o URSIV no quadro.
Visão geral
A diretiva NIS 2 é a camada da UE. Vincula todos os Estados-Membros, incluindo a Eslovénia, a um piso único de cibersegurança para entidades essenciais e importantes. A Eslovénia tem de transpor esse piso para a lei eslovena e operar um regime de supervisão ao seu abrigo.
A Eslovénia falhou o prazo de transposição de 17 de outubro de 2024. A Comissão Europeia emitiu um parecer fundamentado em 7 de maio de 2025 por não notificação da transposição completa. A Eslovénia acelerou então, publicou a nova Lei de Segurança da Informação (Zakon o informacijski varnosti, ZInfV-1) no Jornal Oficial em 4 de junho de 2025, e pô-la em vigor em 19 de junho de 2025.
O URSIV (Urad Vlade Republike Slovenije za informacijsko varnost, o Gabinete Governamental para a Segurança da Informação) é a autoridade nacional competente. O SI-CERT, operado dentro do instituto público Arnes, é o CSIRT nacional e o contacto para a notificação de incidentes. As entidades essenciais e importantes têm 18 meses a contar da entrada em vigor para implementar as medidas de gestão de riscos ao abrigo da ZInfV-1.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança de âmbito europeu. Fixa as obrigações que cada Estado-Membro tem de transpor, incluindo os testes de dimensão e de setor para entidades essenciais e importantes.
Execução da UE
Regulamento de Execução (UE) 2024/2690 da Comissão
Medidas técnicas e metodológicas para os fornecedores de infraestruturas digitais. Diretamente aplicável na Eslovénia sem transposição nacional.
Transposição eslovena
Zakon o informacijski varnosti (ZInfV-1), Jornal Oficial de 4 de junho de 2025
A transposição eslovena da NIS 2. Substitui a anterior ZInfV (era da NIS 1). Os atos de execução e as orientações do URSIV preenchem o detalhe operacional. Entrada em vigor em 19 de junho de 2025, com uma janela de 18 meses para as entidades implementarem as medidas de gestão de riscos dos Artigos 21 e 22.
ZInfV-1 (Lei de Segurança da Informação)
Leva as obrigações da NIS 2 para a lei eslovena. Define o perímetro das entidades essenciais e importantes, os poderes de supervisão do URSIV, os deveres de notificação de incidentes e as sanções. A lei estende a população de entidades reguladas bem para além do âmbito da ZInfV da NIS 1, abrangendo tanto organismos do setor público como um conjunto mais alargado de operadores privados.
URSIV como autoridade competente
O URSIV (Urad Vlade Republike Slovenije za informacijsko varnost) é a autoridade nacional competente e o ponto de contacto único para a NIS 2 na Eslovénia. Gere a supervisão e a orientação. O SI-CERT, dentro do instituto público Arnes, gere o tratamento de incidentes e é o contacto operacional de notificação. Os reguladores setoriais mantêm-se competentes quando se aplica a lex specialis, em particular as finanças ao abrigo da DORA.
Registo e janela de implementação
A ZInfV-1 entrou em vigor em 19 de junho de 2025. As entidades essenciais e importantes têm 18 meses a contar dessa data para implementar as medidas de gestão de riscos ao abrigo dos Artigos 21 e 22 da lei. Os incidentes significativos seguem a cadência da diretiva: alerta precoce no prazo de 24 horas, notificação no prazo de 72 horas, relatório final no prazo de um mês. O registo é gerido pelo URSIV. A mecânica exata do portal ainda está a ser implementada, por isso consulte a orientação do URSIV antes de assumir um URL específico.
A lei local aplica-se dentro da Eslovénia
As operações em território esloveno seguem a transposição eslovena. Uma empresa-mãe alemã que gere uma filial eslovena lê a ZInfV-1 para essa filial, não o BSIG alemão. As obrigações da diretiva são as mesmas. O procedimento, a autoridade e as sanções residem na lei eslovena.
A Eslovénia não pode descer abaixo do piso da UE
A diretiva é um instrumento de harmonização mínima. A Eslovénia pode ir mais longe, e a ZInfV-1 estende de facto a população regulada para além do mínimo da diretiva. A Eslovénia não pode descer abaixo da diretiva quanto aos deveres das entidades essenciais e importantes, aos prazos de notificação de incidentes ou à responsabilização do órgão de direção.
URSIV
Gabinete Governamental para a Segurança da Informação. Autoridade nacional competente e ponto de contacto único ao abrigo da NIS 2. Gere a supervisão, emite orientações, e é o titular da política da ZInfV-1. Mantém o registo das entidades essenciais e importantes.
SI-CERT (Arnes)
CSIRT nacional, operado dentro do instituto público Arnes (Rede Académica e de Investigação da Eslovénia). Contacto operacional para notificação de incidentes, gere o alerta precoce, os alertas e a divulgação de informação. Coordena-se com o URSIV no tratamento de incidentes da NIS 2.
ENISA
A agência de cibersegurança da UE. Publica orientações, gere a base de dados europeia de vulnerabilidades e apoia a coordenação transfronteiriça. Não é um supervisor das entidades eslovenas. O URSIV é.
Se seguirmos o BSIG alemão estamos cobertos na Eslovénia.
As obrigações substantivas vêm da mesma diretiva, mas o procedimento, a autoridade competente, o canal de notificação e as sanções residem na lei eslovena. Uma filial eslovena regista-se junto do URSIV, notifica o SI-CERT, e é supervisionada ao abrigo da ZInfV-1. Ler a lei alemã dá-lhe a forma da diretiva, mas não o procedimento local.
A Eslovénia falhou o prazo, por isso ainda nada está em vigor.
A ZInfV-1 entrou em vigor em 19 de junho de 2025. A janela de implementação de 18 meses para as medidas de gestão de riscos dos Artigos 21 e 22 corre a partir dessa data, não a partir do prazo da UE. O parecer fundamentado da Comissão de 7 de maio de 2025 dizia respeito à notificação tardia da transposição; não suspende as obrigações das entidades uma vez que a lei nacional está em vigor.
Não estamos num setor crítico, por isso a ZInfV-1 não nos toca.
A ZInfV-1 cobre todo o perímetro de entidades essenciais e importantes da diretiva e acrescenta organismos do setor público. O teste de dimensão limita-se por defeito às médias e grandes empresas, mas a diretiva capta entidades mais pequenas quando são o único fornecedor, quando a perturbação tem impacto transfronteiriço, ou quando a lei eslovena as nomeia. A verificação de aplicabilidade tem de ser feita caso a caso, não pela autoperceção de criticidade.
A maioria dos operadores eslovenos que vemos trata a NIS 2 como uma continuação do antigo regime ZInfV. Isto é parcialmente correto: o URSIV continua a ser o titular da política e o SI-CERT continua a gerir a resposta a incidentes. O âmbito é mais amplo, a aprovação pelo órgão de direção é mais pesada, e a janela de implementação de 18 meses a partir de 19 de junho de 2025 é um relógio real. O diretor ou o conselho de administração responde pessoalmente pela aprovação da gestão de riscos e pela conclusão da formação exigida.
O passo prático é o mesmo que em qualquer outro lugar da UE: confirmar o âmbito ao abrigo da diretiva, registar-se junto do URSIV, instituir as quatro obrigações contínuas (manutenção do registo, notificação de incidentes, risco da cadeia de fornecimento, supervisão pelo órgão de direção) e documentar o mínimo. A antiga documentação ZInfV ajuda, mas não substitui o registo de obrigações da ZInfV-1.
Construímos o registo de obrigações da NIS 2 sobre a camada da UE, não sobre uma transposição nacional isolada. A mesma lista de verificação serve uma entidade eslovena ao abrigo da ZInfV-1, uma empresa-mãe alemã ao abrigo do BSIG e uma empresa irmã francesa ao abrigo da Ordonnance n.o 2024-1093. As referências de artigos mudam por localidade. As obrigações substantivas não.
Para o âmbito esloveno começa pela verificação de aplicabilidade, depois passa à cadência de notificação de incidentes para o SI-CERT, às cláusulas da cadeia de fornecimento e à aprovação pelo órgão de direção. Onde o URSIV publica orientações setoriais, fazemos a referência. Não as duplicamos.
- Diretiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regulamento de Execução (UE) 2024/2690 da Comissão
- Zakon o informacijski varnosti (ZInfV-1), Jornal Oficial da República da Eslovénia, 4 de junho de 2025
- URSIV, Urad Vlade Republike Slovenije za informacijsko varnost, gov.si
- SI-CERT, CSIRT nacional dentro do instituto público Arnes, cert.si
- Comissão Europeia, panorama de implementação da NIS 2 para a Eslovénia, parecer fundamentado de 7 de maio de 2025