Statutul NIS 2 în Slovenia
Ce cere directiva, cum o transpune Slovenia și unde se situează URSIV în acest tablou.
Prezentare generală
Directiva NIS 2 este stratul UE. Ea obligă fiecare stat membru, inclusiv Slovenia, cu un prag minim unic de securitate cibernetică pentru entitățile esențiale și importante. Slovenia trebuie să pună acel prag în dreptul sloven și să ruleze un regim de supraveghere în temeiul lui.
Slovenia a ratat termenul de transpunere din 17 octombrie 2024. Comisia Europeană a emis un aviz motivat la 7 mai 2025 pentru nenotificarea transpunerii complete. Slovenia a accelerat apoi, a publicat noua Lege privind securitatea informației (Zakon o informacijski varnosti, ZInfV-1) în Monitorul Oficial la 4 iunie 2025 și a pus-o în vigoare la 19 iunie 2025.
URSIV (Urad Vlade Republike Slovenije za informacijsko varnost, Oficiul Guvernului pentru Securitatea Informației) este autoritatea națională competentă. SI-CERT, operat în interiorul institutului public Arnes, este CSIRT-ul național și punctul de contact pentru raportarea incidentelor. Entitățile esențiale și importante au 18 luni de la intrarea în vigoare pentru a implementa măsurile de management al riscurilor în temeiul ZInfV-1.
Directiva UE
Directiva (UE) 2022/2555 (NIS 2)
Directiva UE privind securitatea cibernetică. Stabilește obligațiile pe care fiecare stat membru trebuie să le transpună, inclusiv testele de mărime și de sector pentru entitățile esențiale și importante.
Punerea în aplicare la nivelul UE
Regulamentul de punere în aplicare (UE) 2024/2690 al Comisiei
Măsuri tehnice și metodologice pentru furnizorii de infrastructură digitală. Direct aplicabil în Slovenia fără transpunere națională.
Transpunerea slovenă
Zakon o informacijski varnosti (ZInfV-1), Monitorul Oficial 4 iunie 2025
Transpunerea slovenă a NIS 2. Înlocuiește ZInfV anterioară (din era NIS 1). Actele de punere în aplicare și ghidurile URSIV completează detaliile operaționale. Intrarea în vigoare la 19 iunie 2025, cu o fereastră de 18 luni pentru ca entitățile să implementeze măsurile de management al riscurilor de la articolele 21 și 22.
ZInfV-1 (Legea privind securitatea informației)
Aduce obligațiile NIS 2 în dreptul sloven. Definește perimetrul entităților esențiale și importante, competențele de supraveghere ale URSIV, obligațiile de raportare a incidentelor și sancțiunile. Legea extinde populația de entități reglementate cu mult dincolo de domeniul de aplicare al ZInfV din era NIS 1, atât către organisme din sectorul public, cât și către un set mai larg de operatori privați.
URSIV ca autoritate competentă
URSIV (Urad Vlade Republike Slovenije za informacijsko varnost) este autoritatea națională competentă și punctul unic de contact pentru NIS 2 în Slovenia. Conduce supravegherea și ghidurile. SI-CERT, în interiorul institutului public Arnes, gestionează incidentele și este punctul de contact operațional pentru raportare. Autoritățile de reglementare sectoriale rămân competente acolo unde se aplică lex specialis, în special în domeniul financiar în temeiul DORA.
Înregistrare și fereastra de implementare
ZInfV-1 a intrat în vigoare la 19 iunie 2025. Entitățile esențiale și importante au 18 luni de la acea dată pentru a implementa măsurile de management al riscurilor de la articolele 21 și 22 ale legii. Incidentele semnificative urmează cadența directivei: avertizare timpurie în termen de 24 de ore, notificare în termen de 72 de ore, raport final în termen de o lună. Înregistrarea este administrată de URSIV. Mecanica exactă a portalului este încă în curs de implementare, așa că verificați ghidurile URSIV înainte de a presupune o anumită adresă URL.
Legea locală se aplică în interiorul Sloveniei
Operațiunile pe teritoriul sloven urmează transpunerea slovenă. O companie mamă germană care conduce o filială slovenă citește ZInfV-1 pentru acea filială, nu BSIG-ul german. Obligațiile directivei sunt aceleași. Procedura, autoritatea și sancțiunile se află în dreptul sloven.
Slovenia nu poate coborî sub pragul UE
Directiva este un instrument de armonizare minimă. Slovenia poate fi mai strictă, iar ZInfV-1 extinde efectiv populația reglementată dincolo de minimul directivei. Slovenia nu poate coborî sub directivă în ceea ce privește obligațiile entităților esențiale și importante, termenele de raportare a incidentelor sau responsabilizarea organului de conducere.
URSIV
Oficiul Guvernului pentru Securitatea Informației. Autoritate națională competentă și punct unic de contact în temeiul NIS 2. Conduce supravegherea, emite ghiduri și este responsabilul de politici pentru ZInfV-1. Menține înregistrarea entităților esențiale și importante.
SI-CERT (Arnes)
CSIRT național, operat în interiorul institutului public Arnes (Rețeaua Academică și de Cercetare a Sloveniei). Punctul de contact operațional pentru raportarea incidentelor, administrează avertizarea timpurie, alertele și diseminarea informației. Se coordonează cu URSIV pentru gestionarea incidentelor NIS 2.
ENISA
Agenția UE pentru securitate cibernetică. Publică ghiduri, gestionează baza de date europeană a vulnerabilităților și sprijină coordonarea transfrontalieră. Nu este un supraveghetor pentru entitățile slovene. URSIV este.
Dacă urmăm BSIG-ul german, suntem acoperiți în Slovenia.
Obligațiile de fond provin din aceeași directivă, dar procedura, autoritatea competentă, canalul de raportare și sancțiunile se află în dreptul sloven. O filială slovenă se înregistrează la URSIV, raportează la SI-CERT și este supravegheată în temeiul ZInfV-1. Citirea legii germane vă dă forma directivei, dar nu și procedura locală.
Slovenia a ratat termenul, deci nimic nu este încă în vigoare.
ZInfV-1 a intrat în vigoare la 19 iunie 2025. Fereastra de implementare de 18 luni pentru măsurile de management al riscurilor de la articolele 21 și 22 curge de la acea dată, nu de la termenul UE. Avizul motivat al Comisiei din 7 mai 2025 a vizat notificarea tardivă a transpunerii; el nu suspendă obligațiile entităților odată ce legea națională este în vigoare.
Nu suntem într-un sector critic, deci ZInfV-1 nu ne atinge.
ZInfV-1 acoperă întregul perimetru al entităților esențiale și importante din directivă și adaugă organisme din sectorul public. Testul de mărime se limitează implicit la întreprinderile mijlocii și mari, dar directiva captează entități mai mici acolo unde sunt unic furnizor, unde perturbarea are impact transfrontalier sau unde legea slovenă le desemnează. Verificarea aplicabilității trebuie făcută caz cu caz, nu prin autopercepția criticității.
Majoritatea operatorilor sloveni pe care îi vedem tratează NIS 2 ca pe o continuare a vechiului regim ZInfV. Acest lucru este parțial corect: URSIV este în continuare responsabilul de politici, iar SI-CERT încă gestionează răspunsul la incidente. Domeniul de aplicare este mai larg, aprobarea de către organul de conducere este mai grea, iar fereastra de implementare de 18 luni de la 19 iunie 2025 este un ceas real. Directorul sau consiliul de administrație este personal responsabil pentru aprobarea managementului riscurilor și pentru finalizarea formării obligatorii.
Mișcarea practică este aceeași ca peste tot în UE: confirmați domeniul de aplicare în temeiul directivei, înregistrați-vă la URSIV, instituiți cele patru obligații continue (menținerea înregistrării, raportarea incidentelor, riscul lanțului de aprovizionare, supravegherea de către organul de conducere) și documentați minimul. Vechea documentație ZInfV ajută, dar nu înlocuiește registrul de obligații ZInfV-1.
Construim registrul de obligații NIS 2 pe stratul UE, nu pe o singură transpunere națională. Aceeași listă de verificare funcționează pentru o entitate slovenă în temeiul ZInfV-1, o companie mamă germană în temeiul BSIG și o companie soră franceză în temeiul Ordonnance n° 2024-1093. Referințele la articole se schimbă în funcție de locale. Obligațiile de fond nu.
Pentru domeniul de aplicare sloven începeți cu verificarea aplicabilității, apoi treceți la cadența de raportare a incidentelor către SI-CERT, la clauzele privind lanțul de aprovizionare și la aprobarea de către organul de conducere. Acolo unde URSIV publică ghiduri sectoriale, le referențiem. Nu le duplicăm.
- Directiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regulamentul de punere în aplicare (UE) 2024/2690 al Comisiei
- Zakon o informacijski varnosti (ZInfV-1), Monitorul Oficial al Republicii Slovenia, 4 iunie 2025
- URSIV, Urad Vlade Republike Slovenije za informacijsko varnost, gov.si
- SI-CERT, CSIRT național în interiorul institutului public Arnes, cert.si
- Comisia Europeană, prezentare generală a implementării NIS 2 pentru Slovenia, aviz motivat din 7 mai 2025