NIS 2 Status in der Slowakei
Was die Richtlinie fordert, wie die Slowakei sie umsetzt, und wo das NBÚ im Bild steht.
Überblick
Die NIS 2 Richtlinie ist die EU Ebene. Sie bindet jeden Mitgliedstaat, auch die Slowakei, mit einem einheitlichen Mindestniveau für wesentliche und wichtige Einrichtungen. Die Slowakei muss dieses Niveau in slowakisches Recht überführen und eine Aufsicht darunter führen.
Die Slowakei setzt NIS 2 über die Novellierung ihres bestehenden Cybersicherheitsgesetzes von 2018 um. Das Vehikel ist das Gesetz Nr. 366/2024 Z.z., das das Gesetz Nr. 69/2018 Z.z. über die Cybersicherheit ändert. Der Nationalrat hat es am 28. November 2024 verabschiedet, am 19. Dezember 2024 wurde es in der Gesetzessammlung veröffentlicht, in Kraft getreten ist es am 1. Januar 2025. Die EU Frist vom 17. Oktober 2024 wurde damit um rund zweieinhalb Monate verfehlt, was die Slowakei in die Gruppe der Mitgliedstaaten brachte, an die die Kommission vor abgeschlossener Umsetzungsmitteilung Vertragsverletzungsschreiben gerichtet hat.
Das Národný bezpečnostný úrad (NBÚ, Nationale Sicherheitsbehörde) ist federführende zuständige Behörde und zentrale Anlaufstelle. SK-CERT, betrieben innerhalb des NBÚ, ist das nationale CSIRT. Registrierung, Vorfallmeldung und der größte Teil des aufsichtlichen Schriftverkehrs laufen über JISKB, den Jednotný informačný systém kybernetickej bezpečnosti.
EU Richtlinie
Richtlinie (EU) 2022/2555 (NIS 2)
Die EU weite Cybersicherheitsrichtlinie. Sie legt die Pflichten fest, die jeder Mitgliedstaat umzusetzen hat, einschließlich der Größen und Sektorprüfung für wesentliche und wichtige Einrichtungen.
EU Durchführung
Durchführungsverordnung (EU) 2024/2690
Technische und methodische Maßnahmen für Anbieter digitaler Infrastruktur. In der Slowakei unmittelbar anwendbar, ohne nationale Umsetzung.
Slowakische Umsetzung
Gesetz Nr. 366/2024 Z.z. (Änderung des Gesetzes Nr. 69/2018 Z.z. über die Cybersicherheit), in Kraft seit 1. Januar 2025
Die slowakische NIS 2 Umsetzung. Sie schreibt das Cybersicherheitsgesetz von 2018 fort, statt es zu ersetzen, löst die alte anhangsbasierte Identifikation der Betreiber wesentlicher Dienste durch eine gesetzliche Liste in § 17 Absatz 1 ab und ergänzt die Aufsichtsbefugnisse und Meldepflichten der Richtlinie. Durchführungsdekrete des NBÚ regeln den operativen Detailrahmen.
Gesetz Nr. 366/2024 Z.z.
Bringt die NIS 2 Pflichten in slowakisches Recht, indem es das Cybersicherheitsgesetz von 2018 ändert. Definiert den neuen Anwendungsbereich für wesentliche und wichtige Einrichtungen, die Aufsichtsbefugnisse des NBÚ, den Meldetakt für Vorfälle und das Sanktionsregime. Operativer Detail liegt in Durchführungsdekreten und NBÚ Leitlinien.
NBÚ als Aufsicht und Betreiber von SK-CERT
Das NBÚ ist federführende zuständige Behörde und zentrale Anlaufstelle unter NIS 2. Es führt Aufsicht, Audits und Sanktionsverfahren, betreibt SK-CERT als nationales CSIRT und betreibt JISKB als zentrales Registrierungs und Meldeportal. Sektorale Regulatoren behalten ihre Zuständigkeit dort, wo Lex specialis gilt, vor allem im Finanzsektor unter DORA.
Registrierung und Meldung
Die Richtlinie verlangt, dass Einrichtungen ab dem 17. April 2025 für die Mitgliedstaaten identifizierbar sind. In der Slowakei passiert das über JISKB. Erhebliche Sicherheitsvorfälle folgen der Richtlinie: Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht in einem Monat.
In der Slowakei gilt slowakisches Recht
Aktivitäten auf slowakischem Staatsgebiet folgen der slowakischen Umsetzung. Ein deutscher Geschäftsführer mit slowakischer Tochter liest für diese Tochter das Gesetz 366/2024 (zur Änderung des Gesetzes 69/2018), nicht das BSIG. Die Richtlinienpflichten sind identisch. Verfahren, Portal und Sanktionen stehen aber im slowakischen Recht.
Die Slowakei darf nicht unter das EU Niveau fallen
Die Richtlinie ist eine Mindestharmonisierung. Die Slowakei darf strenger werden, vor allem für Sektoren, die sie unter ihrem älteren Rahmen bereits als kritisch eingestuft hatte. Die Slowakei darf aber nicht unter die Richtlinie fallen, weder bei den Pflichten für wesentliche und wichtige Einrichtungen, noch bei Meldefristen, noch bei der Haftung des Leitungsorgans.
NBÚ
Národný bezpečnostný úrad. Federführende zuständige Behörde und zentrale Anlaufstelle unter NIS 2. Führt Aufsicht, erlässt Durchführungsdekrete und Leitlinien, pflegt die Register der wesentlichen und wichtigen Einrichtungen und betreibt JISKB. Der Ansprechpartner für jeden grenzüberschreitenden NIS 2 Vorgang mit Slowakeibezug.
SK-CERT
Das nationale CSIRT, betrieben innerhalb des NBÚ. Nimmt Vorfallmeldungen entgegen, koordiniert mit sektoralen und Regierungs CSIRTs und tauscht sich im CSIRTs Netzwerk auf EU Ebene aus. Erreichbar rund um die Uhr. Das technische Gegenstück zur Aufsichtsrolle des NBÚ.
ENISA
Die EU Cybersicherheitsagentur. Veröffentlicht Leitlinien, betreibt die europäische Schwachstellendatenbank und koordiniert grenzüberschreitend. Keine Aufsicht für slowakische Einrichtungen. Die liegt beim NBÚ.
Slowakische NIS 2 Pflichten sind derselbe Text wie das deutsche BSIG, also reicht die deutsche Auslegungspraxis.
Die Pflichten auf Richtlinienebene sind identisch, die Verfahrensebene ist es nicht. Die Slowakei behält die Struktur ihres Cybersicherheitsgesetzes von 2018, mit NBÚ statt BSI, SK-CERT statt CERT-Bund, JISKB statt des deutschen Registrierungsportals, und mit slowakischen Fristen und Sanktionsrahmen. Eine slowakische Einrichtung, die nur BSIG Leitlinien liest, meldet am falschen Ort und zitiert die falschen Paragraphen.
Es gibt noch kein Registrierungsportal, wir können warten.
Die Slowakei betreibt JISKB (Jednotný informačný systém kybernetickej bezpečnosti) für Registrierung, Mitteilungen und Vorfallmeldungen. Es wird vom NBÚ betrieben und ist der Kanal, über den sich wesentliche und wichtige Einrichtungen bei der Behörde identifizieren. Das Warten auf ein separates Portal, das nicht existiert, ist der häufigste Grund, warum slowakische Einrichtungen das Registrierungsfenster verpassen.
Nur Einrichtungen aus dem alten Anhang sind im Scope.
Das Gesetz 366/2024 hat die alte anhangsbasierte Identifikation durch eine gesetzliche Liste in § 17 Absatz 1 des geänderten Cybersicherheitsgesetzes ersetzt. Die Größen und Sektorprüfung der Richtlinie kommt zusätzlich dazu. Das Ergebnis ist ein deutlich größerer Kreis regulierter Einrichtungen, in der veröffentlichten slowakischen Kommentierung in der Größenordnung mehrerer tausend Stellen geschätzt. Die Anwendbarkeitsprüfung muss fallweise neu gemacht werden.
Die meisten slowakischen Mittelstandsbetreiber, die uns begegnen, behandeln NIS 2 noch als kleines Update des Cybersicherheitsgesetzes von 2018. Die Novelle ist mehr als das. Der Kreis regulierter Einrichtungen ist breiter, das Leitungsorgan haftet jetzt persönlich für die Freigabe des Risikomanagements und die eigene Schulung, und der Meldetakt ist härter als unter dem alten anhangsbasierten Regime.
Der praktische Schritt ist der gleiche wie überall in der EU: Anwendbarkeit gegen die Richtlinie prüfen, über das nationale Portal (hier JISKB) registrieren, die vier Dauerpflichten aufsetzen (Registrierungsdaten pflegen, Vorfallmeldung, Lieferkettenrisiko, Aufsicht durch das Leitungsorgan) und das Minimum dokumentieren. Das bestehende Verfahren aus dem Cybersicherheitsgesetz 2018 hilft, ersetzt aber das NIS 2 Pflichtenregister nicht.
Wir bauen das NIS 2 Pflichtenregister auf der EU Ebene, nicht auf einer einzelnen nationalen Umsetzung. Die gleiche Checkliste passt für eine slowakische Einrichtung unter Gesetz 366/2024, eine deutsche Mutter unter BSIG und eine französische Schwester unter Ordonnance n° 2024-1093. Die Artikelverweise wechseln pro Land, die Pflichten in der Sache nicht.
Für den slowakischen Scope startet man mit der Anwendbarkeitsprüfung, dann Meldetakt, Lieferkettenklauseln und Freigabe durch das Leitungsorgan. Wo das NBÚ sektorale Dekrete oder Leitlinien veröffentlicht, verlinken wir sie. Wir kopieren sie nicht.
- Richtlinie (EU) 2022/2555 (NIS 2), EUR-Lex
- Durchführungsverordnung (EU) 2024/2690
- Gesetz Nr. 366/2024 Z.z. zur Änderung des Gesetzes Nr. 69/2018 Z.z. über die Cybersicherheit, Slov-Lex
- Gesetz Nr. 69/2018 Z.z. über die Cybersicherheit (konsolidierte Fassung), Slov-Lex
- Národný bezpečnostný úrad (NBÚ), offizielle Seite
- SK-CERT, nationales Computer Security Incident Response Team
- JISKB, Jednotný informačný systém kybernetickej bezpečnosti, betrieben durch das NBÚ
- Europäische Kommission, NIS 2 Umsetzungsseite Slowakei