Statut de NIS 2 en Slovénie
Ce que la directive exige, comment la Slovénie la transpose, et où URSIV se situe dans le tableau.
Vue d'ensemble
La directive NIS 2 est la couche de l'UE. Elle lie chaque État membre, y compris la Slovénie, par un socle unique de cybersécurité pour les entités essentielles et importantes. La Slovénie doit inscrire ce socle dans le droit slovène et exercer un régime de supervision au titre de celui-ci.
La Slovénie a manqué l'échéance de transposition du 17 octobre 2024. La Commission européenne a émis un avis motivé le 7 mai 2025 pour défaut de notification de la transposition complète. La Slovénie a ensuite accéléré, publié la nouvelle loi sur la sécurité de l'information (Zakon o informacijski varnosti, ZInfV-1) au Journal officiel le 4 juin 2025, et l'a mise en vigueur le 19 juin 2025.
URSIV (Urad Vlade Republike Slovenije za informacijsko varnost, le Bureau gouvernemental pour la sécurité de l'information) est l'autorité nationale compétente et le point de contact unique. Tant que le gouvernement n'a pas désigné les CSIRT, le traitement des incidents est partagé : SIGOV-CERT à l'URSIV pour l'administration publique, et SI-CERT à l'institut public Arnes pour toutes les autres entités. Les entités essentielles et importantes ont jusqu'au 19 décembre 2026 pour mettre en œuvre les mesures de gestion des risques au titre de ZInfV-1 ; les anciens exploitants NIS 1, les organismes d'État et les opérateurs de télécommunications avaient jusqu'au 19 juin 2026.
Directive de l'UE
Directive (UE) 2022/2555 (NIS 2)
La directive de cybersécurité à l'échelle de l'UE. Elle fixe les obligations que chaque État membre doit transposer, y compris les tests de taille et de secteur pour les entités essentielles et importantes.
Mise en œuvre de l'UE
Règlement d'exécution (UE) 2024/2690 de la Commission
Exigences techniques et méthodologiques pour les fournisseurs DNS, les registres TLD, les fournisseurs de cloud, de centres de données et de CDN, les fournisseurs de services gérés (de sécurité), les places de marché en ligne, les moteurs de recherche, les réseaux sociaux et les prestataires de services de confiance. Directement applicable en Slovénie sans transposition nationale.
Transposition slovène
Zakon o informacijski varnosti (ZInfV-1), Journal officiel du 4 juin 2025
La transposition slovène de NIS 2. Remplace l'ancienne ZInfV (ère NIS 1). Les actes d'exécution et les orientations d'URSIV en précisent le détail opérationnel. Entrée en vigueur le 19 juin 2025, avec une fenêtre de 18 mois pour que les entités mettent en œuvre les mesures de gestion des risques des articles 21 et 22.
ZInfV-1 (loi sur la sécurité de l'information)
Inscrit les obligations de NIS 2 dans le droit slovène. Définit le périmètre des entités essentielles et importantes, les pouvoirs de supervision d'URSIV, les obligations de notification des incidents et les sanctions. La loi étend la population des entités réglementées bien au-delà du périmètre de la ZInfV de l'ère NIS 1, vers les organismes du secteur public et un ensemble plus large d'opérateurs privés.
URSIV comme autorité compétente
URSIV (Urad Vlade Republike Slovenije za informacijsko varnost) est l'autorité nationale compétente et le point de contact unique pour NIS 2 en Slovénie. Il exerce la supervision, tient la liste des entités essentielles et importantes et publie des orientations. Le traitement des incidents est partagé tant que le gouvernement n'a pas désigné les CSIRT : SIGOV-CERT à l'URSIV pour l'administration publique, SI-CERT à l'institut public Arnes pour toutes les autres entités. Les régulateurs sectoriels restent compétents là où la lex specialis s'applique, en particulier la finance au titre de DORA.
Fenêtre d'enregistrement et de mise en œuvre
ZInfV-1 est entrée en vigueur le 19 juin 2025. La première auto-inscription auprès d'URSIV était due au 19 décembre 2025 ; les entités qui entrent dans le périmètre plus tard disposent de 30 jours, et les changements sont à signaler sous 10 jours ouvrés. L'enregistrement passe par un formulaire web sur ursiv.si, le PDF signé et le CSV étant envoyés à gp.uiv@gov.si. Les mesures des articles 21 et 22 de la loi sont dues au 19 décembre 2026, ou au 19 juin 2026 pour les anciens exploitants NIS 1, les organismes d'État et les opérateurs de télécommunications. Les incidents significatifs suivent la cadence de la directive (24 heures, 72 heures, un mois) et, tant que la plateforme de notification d'URSIV n'est pas en service, sont envoyés par courriel au CSIRT compétent : cert@cert.si ou, pour l'administration publique, cert@gov.si.
Le droit local s'applique à l'intérieur de la Slovénie
Les opérations sur le territoire slovène suivent la transposition slovène. Une société mère allemande exploitant une filiale slovène lit ZInfV-1 pour cette filiale, et non le BSIG allemand. Les obligations de la directive sont les mêmes. La procédure, l'autorité et les sanctions résident dans le droit slovène.
La Slovénie ne peut pas descendre sous le socle de l'UE
La directive est un instrument d'harmonisation minimale. La Slovénie peut aller plus loin, et ZInfV-1 étend effectivement la population réglementée au-delà du minimum de la directive. La Slovénie ne peut pas descendre sous la directive en ce qui concerne les obligations des entités essentielles et importantes, les délais de notification des incidents ou la responsabilité de l'organe de direction.
URSIV
Bureau gouvernemental pour la sécurité de l'information. Autorité nationale compétente et point de contact unique au titre de NIS 2. Exerce la supervision, émet des orientations, et est le responsable de la politique pour ZInfV-1. Tient l'enregistrement des entités essentielles et importantes.
SI-CERT (Arnes)
CSIRT exploité au sein de l'institut public Arnes (Réseau académique et de recherche de Slovénie). Tant que le gouvernement n'a pas désigné les CSIRT, il traite les notifications d'incidents de toutes les entités hors administration publique ; l'administration publique notifie à SIGOV-CERT à l'URSIV. Assure l'alerte précoce, les alertes et la diffusion de l'information, et coordonne avec URSIV.
ENISA
L'agence de cybersécurité de l'UE. Publie des orientations, gère la base de données européenne des vulnérabilités et soutient la coordination transfrontalière. N'est pas un superviseur pour les entités slovènes. URSIV l'est.
Si nous suivons le BSIG allemand, nous sommes couverts en Slovénie.
Les obligations de fond proviennent de la même directive, mais la procédure, l'autorité compétente, le canal de notification et les sanctions résident dans le droit slovène. Une filiale slovène s'enregistre auprès d'URSIV, notifie à SI-CERT (ou à SIGOV-CERT pour l'administration publique), et est supervisée au titre de ZInfV-1. Lire la loi allemande vous donne la forme de la directive mais pas la procédure locale.
La Slovénie a manqué l'échéance, donc rien n'est encore en vigueur.
ZInfV-1 est entrée en vigueur le 19 juin 2025. La fenêtre de mise en œuvre de 18 mois pour les mesures de gestion des risques des articles 21 et 22 court à compter de cette date, et non de l'échéance de l'UE. L'avis motivé de la Commission du 7 mai 2025 portait sur la notification tardive de la transposition ; il ne suspend pas les obligations des entités une fois que le droit national est en vigueur.
Nous ne sommes pas dans un secteur critique, donc ZInfV-1 ne nous touche pas.
ZInfV-1 couvre l'ensemble du périmètre des entités essentielles et importantes de la directive et y ajoute les communes urbaines et les services cités dans les plans de protection et de secours. Le test de taille se limite par défaut aux moyennes et grandes entreprises, mais la directive capture les entités plus petites lorsqu'elles sont le seul fournisseur, lorsqu'une perturbation a un impact transfrontalier, ou lorsque le droit slovène les désigne. Le test d'applicabilité doit être effectué au cas par cas, et non par auto-perception de la criticité.
La plupart des opérateurs slovènes que nous voyons traitent NIS 2 comme une continuation de l'ancien régime ZInfV. C'est en partie vrai : URSIV reste le responsable de la politique et SI-CERT assure toujours la réponse aux incidents. Le périmètre est plus large, la validation de l'organe de direction est plus lourde, et la fenêtre de mise en œuvre de 18 mois à compter du 19 juin 2025 est un véritable compte à rebours. Le directeur ou le conseil de direction est personnellement engagé pour l'approbation de la gestion des risques et pour l'accomplissement de la formation requise.
La démarche pratique est la même que partout ailleurs dans l'UE : confirmer le périmètre au titre de la directive, s'enregistrer auprès d'URSIV, mettre en place les quatre obligations continues (tenue à jour de l'enregistrement, notification des incidents, risque de la chaîne d'approvisionnement, supervision par l'organe de direction) et documenter le minimum. L'ancienne documentation ZInfV aide, mais elle ne remplace pas la documentation des mesures ZInfV-1.
- Directive (UE) 2022/2555 (NIS 2), EUR-Lex
- Règlement d'exécution (UE) 2024/2690 de la Commission
- Zakon o informacijski varnosti (ZInfV-1), Journal officiel de la République de Slovénie, 4 juin 2025
- URSIV, Urad Vlade Republike Slovenije za informacijsko varnost, gov.si
- SI-CERT, CSIRT national au sein de l'institut public Arnes, cert.si
- Commission européenne, aperçu de la mise en œuvre de NIS 2 pour la Slovénie, avis motivé du 7 mai 2025
En pratique
Ce que la loi nationale change, et ce qu'elle ne change pas
La loi nationale détermine notamment où vous vous enregistrez et à qui vous notifiez les incidents. Les mesures elles-mêmes partent de la même liste minimale dans chaque État membre (art. 21 NIS 2). Le parcours guidé vous les fait suivre étape par étape :
Le parcours lui-même est en allemand et en anglais.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
On vous a confié NIS2 ?
Nous vous guidons pas à pas. Vous remplissez, nous expliquons chaque point en termes simples, et à la fin, la direction signe.
