NIS 2 Status in Slowenien
Was die Richtlinie fordert, wie Slowenien sie umsetzt, und wo URSIV im Bild steht.
Überblick
Die NIS 2 Richtlinie ist die EU-Ebene. Sie bindet jeden Mitgliedstaat, auch Slowenien, mit einem einheitlichen Mindestniveau für wesentliche und wichtige Einrichtungen. Slowenien muss dieses Niveau in slowenisches Recht überführen und eine Aufsicht darunter führen.
Slowenien hat die Umsetzungsfrist 17. Oktober 2024 versäumt. Die Europäische Kommission hat am 7. Mai 2025 eine mit Gründen versehene Stellungnahme wegen ausgebliebener vollständiger Umsetzung gerichtet. Slowenien hat danach beschleunigt, das neue Informationssicherheitsgesetz (Zakon o informacijski varnosti, ZInfV-1) am 4. Juni 2025 im Gesetzblatt veröffentlicht und am 19. Juni 2025 in Kraft gesetzt.
URSIV (Urad Vlade Republike Slovenije za informacijsko varnost, das Regierungsamt für Informationssicherheit) ist die zuständige nationale Behörde. SI-CERT, betrieben innerhalb des öffentlichen Instituts Arnes, ist das nationale CSIRT und die Anlaufstelle für Vorfallmeldungen. Wesentliche und wichtige Einrichtungen haben 18 Monate ab Inkrafttreten Zeit, die Risikomaßnahmen nach ZInfV-1 umzusetzen.
EU Richtlinie
Richtlinie (EU) 2022/2555 (NIS 2)
Die EU-weite Cybersicherheitsrichtlinie. Sie legt die Pflichten fest, die jeder Mitgliedstaat umzusetzen hat, einschließlich der Größen- und Sektorprüfung für wesentliche und wichtige Einrichtungen.
EU Durchführung
Durchführungsverordnung (EU) 2024/2690
Technische und methodische Maßnahmen für Anbieter digitaler Infrastruktur. In Slowenien unmittelbar anwendbar, ohne nationale Umsetzung.
Slowenische Umsetzung
Zakon o informacijski varnosti (ZInfV-1), Gesetzblatt vom 4. Juni 2025
Die slowenische NIS 2 Umsetzung. Sie ersetzt das frühere ZInfV aus der NIS 1 Ära. Durchführungsakte und Leitlinien der URSIV füllen den operativen Detailrahmen. Inkrafttreten am 19. Juni 2025, mit einem 18 Monate langen Fenster für die Umsetzung der Maßnahmen nach Artikel 21 und 22 des Gesetzes.
ZInfV-1 (Informationssicherheitsgesetz)
Bringt die NIS 2 Pflichten in slowenisches Recht. Definiert den Perimeter wesentlicher und wichtiger Einrichtungen, die Aufsichtsbefugnisse der URSIV, Meldepflichten und Sanktionen. Das Gesetz weitet den Kreis der regulierten Stellen deutlich über den NIS 1 ZInfV Rahmen aus, sowohl auf öffentliche Stellen als auch auf einen breiteren Kreis privater Betreiber.
URSIV als zuständige Behörde
URSIV (Urad Vlade Republike Slovenije za informacijsko varnost) ist die zuständige nationale Behörde und einheitliche Anlaufstelle für NIS 2 in Slowenien. Sie führt Aufsicht und veröffentlicht Leitlinien. SI-CERT, innerhalb des öffentlichen Instituts Arnes, betreibt das Vorfallmanagement und ist operative Meldestelle. Sektorregulatoren behalten ihre Zuständigkeit dort, wo Lex specialis gilt, insbesondere im Finanzsektor unter DORA.
Registrierung und Umsetzungsfenster
ZInfV-1 ist am 19. Juni 2025 in Kraft getreten. Wesentliche und wichtige Einrichtungen haben 18 Monate ab diesem Datum, um die Maßnahmen nach Artikel 21 und 22 des Gesetzes umzusetzen. Erhebliche Sicherheitsvorfälle folgen der Richtlinie: Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht in einem Monat. Die Registrierung führt URSIV. Die genaue Portalmechanik wird noch ausgerollt, daher die aktuelle URSIV Leitlinie prüfen, bevor man eine bestimmte URL annimmt.
In Slowenien gilt slowenisches Recht
Aktivitäten auf slowenischem Staatsgebiet folgen der slowenischen Umsetzung. Ein deutscher Geschäftsführer mit slowenischer Tochter liest für diese Tochter ZInfV-1, nicht das BSIG. Die Richtlinienpflichten sind identisch. Verfahren, Behörde und Sanktionen stehen aber im slowenischen Recht.
Slowenien darf nicht unter das EU Niveau fallen
Die Richtlinie ist eine Mindestharmonisierung. Slowenien darf strenger werden, und ZInfV-1 weitet den regulierten Kreis tatsächlich über das Richtlinienminimum hinaus aus. Slowenien darf aber nicht unter die Richtlinie fallen, weder bei den Pflichten für wesentliche und wichtige Einrichtungen, noch bei Meldefristen, noch bei der Verantwortung des Leitungsorgans.
URSIV
Regierungsamt für Informationssicherheit. Zuständige nationale Behörde und einheitliche Anlaufstelle unter NIS 2. Führt Aufsicht, veröffentlicht Leitlinien und ist Eigentümerin der Policy zu ZInfV-1. Hält das Register wesentlicher und wichtiger Einrichtungen.
SI-CERT (Arnes)
Nationales CSIRT, betrieben innerhalb des öffentlichen Instituts Arnes (akademisches und Forschungsnetz Sloweniens). Operative Meldestelle für Vorfälle, Frühwarnung, Alerts und Informationsverteilung. Stimmt sich mit URSIV bei der NIS 2 Vorfallbehandlung ab.
ENISA
Die EU Cybersicherheitsagentur. Veröffentlicht Leitlinien, betreibt die europäische Schwachstellendatenbank und koordiniert grenzüberschreitend. Keine Aufsicht für slowenische Einrichtungen. Die liegt bei URSIV.
Wenn wir dem deutschen BSIG folgen, sind wir in Slowenien abgedeckt.
Die inhaltlichen Pflichten stammen aus derselben Richtlinie. Verfahren, zuständige Behörde, Meldekanal und Sanktionen sitzen aber im slowenischen Recht. Eine slowenische Tochter registriert sich bei URSIV, meldet an SI-CERT und wird unter ZInfV-1 beaufsichtigt. Wer das deutsche Gesetz liest, kennt die Richtliniensubstanz, nicht das lokale Verfahren.
Slowenien hat die Frist verpasst, also greift noch nichts.
ZInfV-1 ist am 19. Juni 2025 in Kraft getreten. Das 18 Monate lange Umsetzungsfenster für die Maßnahmen nach Artikel 21 und 22 läuft ab diesem Datum, nicht ab der EU Frist. Die mit Gründen versehene Stellungnahme der Kommission vom 7. Mai 2025 betraf die verspätete Notifikation der Umsetzung. Sie unterbricht keine Pflichten für Einrichtungen, sobald das nationale Gesetz in Kraft ist.
Wir sind nicht in einem kritischen Sektor, also betrifft uns ZInfV-1 nicht.
ZInfV-1 erfasst den vollen Richtlinienperimeter wesentlicher und wichtiger Einrichtungen und ergänzt öffentliche Stellen. Der Größentest deckelt standardmäßig bei mittleren und großen Unternehmen, die Richtlinie fängt aber auch kleinere Einrichtungen, wenn sie einziger Anbieter sind, grenzüberschreitend wirken oder das slowenische Recht sie zusätzlich nennt. Die Anwendbarkeitsprüfung muss Fall für Fall passieren, nicht über die Selbsteinstufung als kritisch.
Die meisten slowenischen Betreiber, die uns begegnen, behandeln NIS 2 als Fortsetzung des alten ZInfV Regimes. Das stimmt teilweise: URSIV bleibt Policy Owner und SI-CERT betreibt weiter die Vorfallbehandlung. Der Scope ist aber breiter, die Verantwortung des Leitungsorgans schwerer, und das 18 Monate lange Umsetzungsfenster ab dem 19. Juni 2025 ist eine echte Uhr. Geschäftsführung beziehungsweise Vorstand haftet persönlich für die Freigabe des Risikomanagements und die eigene Schulung.
Der praktische Schritt ist der gleiche wie überall in der EU: Anwendbarkeit gegen die Richtlinie prüfen, bei URSIV registrieren, die vier Dauerpflichten aufsetzen (Registrierungsdaten pflegen, Vorfallmeldung, Lieferkettenrisiko, Aufsicht durch das Leitungsorgan) und das Minimum dokumentieren. Die alten ZInfV Unterlagen helfen, ersetzen aber das ZInfV-1 Pflichtenregister nicht.
Wir bauen das NIS 2 Pflichtenregister auf der EU Ebene, nicht auf einer einzelnen nationalen Umsetzung. Die gleiche Checkliste passt für eine slowenische Einrichtung unter ZInfV-1, eine deutsche Mutter unter BSIG und eine französische Schwester unter Ordonnance n° 2024-1093. Die Artikelverweise wechseln pro Land, die Pflichten in der Sache nicht.
Für den slowenischen Scope startet man mit der Anwendbarkeitsprüfung, dann Meldetakt an SI-CERT, Lieferkettenklauseln und Freigabe durch das Leitungsorgan. Wo URSIV Sektorleitlinien veröffentlicht, verlinken wir sie. Wir kopieren sie nicht.
- Richtlinie (EU) 2022/2555 (NIS 2), EUR-Lex
- Durchführungsverordnung (EU) 2024/2690
- Zakon o informacijski varnosti (ZInfV-1), Gesetzblatt der Republik Slowenien vom 4. Juni 2025
- URSIV, Urad Vlade Republike Slovenije za informacijsko varnost, gov.si
- SI-CERT, nationales CSIRT innerhalb des öffentlichen Instituts Arnes, cert.si
- Europäische Kommission, NIS 2 Umsetzungsübersicht Slowenien, mit Gründen versehene Stellungnahme vom 7. Mai 2025