Stato di NIS 2 in Slovacchia
Cosa richiede la direttiva, come la Slovacchia la traspone e dove si colloca NBÚ nel quadro.
Panoramica
La direttiva NIS 2 è lo strato dell'UE. Vincola ogni Stato membro, inclusa la Slovacchia, a un unico livello minimo di cibersicurezza per i soggetti essenziali e importanti. La Slovacchia deve scrivere quel livello nel diritto slovacco e vigilare in base ad esso.
La Slovacchia traspone NIS 2 modificando la sua esistente legge sulla cibersicurezza del 2018. Lo strumento è la Legge n. 366/2024 Z.z., che modifica la Legge n. 69/2018 Z.z. sulla cibersicurezza. È stata adottata dal Consiglio nazionale il 28 novembre 2024, pubblicata nella Raccolta delle leggi il 19 dicembre 2024 ed è entrata in vigore il 1° gennaio 2025. La Slovacchia ha mancato la scadenza dell'UE del 17 ottobre 2024 di circa due mesi e mezzo, il che la colloca nel gruppo di Stati membri a cui la Commissione si è rivolta con lettere di costituzione in mora prima che la trasposizione completa fosse notificata.
Il Národný bezpečnostný úrad (NBÚ, Autorità nazionale per la sicurezza) è l'autorità competente capofila e punto di contatto unico. SK-CERT, operato all'interno di NBÚ, è il CSIRT nazionale. La registrazione, la notifica degli incidenti e la maggior parte degli scambi regolatori passano attraverso JISKB, il Jednotný informačný systém kybernetickej bezpečnosti.
Direttiva UE
Direttiva (UE) 2022/2555 (NIS 2)
La direttiva sulla cibersicurezza a livello UE. Definisce gli obblighi che ogni Stato membro deve trasporre, inclusi i criteri di dimensione e settore per i soggetti essenziali e importanti.
Attuazione UE
Regolamento di esecuzione (UE) 2024/2690
Requisiti tecnici e metodologici per i fornitori DNS, i registri TLD, i fornitori di cloud, data center e CDN, i fornitori di servizi gestiti (di sicurezza), i mercati online, i motori di ricerca, i social network e i prestatori di servizi fiduciari. Direttamente applicabile in Slovacchia, senza necessità di trasposizione nazionale.
Trasposizione slovacca
Legge n. 366/2024 Z.z. (modifica alla Legge n. 69/2018 Z.z. sulla cibersicurezza), in vigore dal 1° gennaio 2025
La trasposizione slovacca di NIS 2. Riscrive la legge sulla cibersicurezza del 2018 anziché sostituirla. Al posto dei vecchi criteri di soglia, la sezione 17 paragrafo 1 elenca ora chi deve essere iscritto nel registro degli operatori di servizi essenziali, per esempio ogni soggetto almeno di medie dimensioni attivo in un settore dell'Allegato 1 o dell'Allegato 2. Aggiunge i poteri di vigilanza e i doveri di notifica richiesti da NIS 2. I decreti di NBÚ, come il 226/2025 sulla segnalazione e il 227/2025 sulle misure di sicurezza, riempiono il dettaglio operativo.
Legge n. 366/2024 Z.z.
Porta gli obblighi di NIS 2 nel diritto slovacco modificando la legge sulla cibersicurezza del 2018. La Slovacchia mantiene i propri termini: ogni soggetto regolato è un gestore di un servizio essenziale (prevádzkovateľ základnej služby), e il livello superiore è un gestore di un servizio essenziale critico. La legge fissa inoltre i poteri di vigilanza di NBÚ, il calendario di notifica degli incidenti e il regime sanzionatorio. Il dettaglio operativo è fissato nei decreti e nelle linee guida di NBÚ.
NBÚ come autorità di vigilanza e operatore di SK-CERT
NBÚ è l'autorità competente capofila e punto di contatto unico ai sensi di NIS 2. Gestisce la vigilanza, gli audit e le procedure sanzionatorie, opera SK-CERT come CSIRT nazionale e gestisce JISKB come portale centrale di registrazione e notifica. I regolatori settoriali mantengono il loro ruolo dove si applica la lex specialis, in particolare per il settore finanziario ai sensi di DORA.
Registrazione e notifica
Un soggetto che rientra nella sezione 17 paragrafo 1 deve notificare a NBÚ entro 60 giorni dall'inizio dell'attività e comunicare le modifiche entro 14 giorni tramite JISKB. Gli incidenti significativi si segnalano tramite JISKB: preallarme entro 24 ore, notifica entro 72 ore, relazione finale al più tardi un mese dopo la notifica. Solo una segnalazione tramite JISKB vale come adempimento dell'obbligo di legge.
In Slovacchia si applica il diritto slovacco
Le attività sul territorio slovacco seguono la trasposizione slovacca. Un amministratore delegato tedesco con una controllata slovacca legge la Legge 366/2024 (che modifica la Legge 69/2018) per quella controllata, non il BSIG. Gli obblighi di livello direttiva sono identici. La procedura, il portale e le sanzioni risiedono nel diritto slovacco.
La Slovacchia non può scendere sotto il livello dell'UE
La direttiva è armonizzazione minima. La Slovacchia può andare più rigida, in particolare per i settori che ha identificato come critici nel suo quadro precedente. La Slovacchia non può scendere sotto la direttiva, né sugli obblighi per i soggetti essenziali e importanti, né sui termini di notifica, né sulla responsabilità dell'organo di gestione.
NBÚ
Národný bezpečnostný úrad. Autorità competente capofila e punto di contatto unico ai sensi di NIS 2. Gestisce la vigilanza, emana decreti e linee guida, tiene il registro degli operatori di servizi essenziali e gestisce JISKB. Il punto di contatto per qualsiasi caso NIS 2 transfrontaliero che coinvolge la Slovacchia.
SK-CERT
Il CSIRT nazionale, operato all'interno di NBÚ. Riceve le notifiche di incidenti, coordina con i CSIRT settoriali e governativi e scambia con la rete dei CSIRT a livello UE. Raggiungibile 24/7. La controparte tecnica del ruolo regolatore di NBÚ.
ENISA
L'agenzia dell'UE per la cibersicurezza. Pubblica linee guida, gestisce la banca dati europea delle vulnerabilità e coordina a livello transfrontaliero. Non è un'autorità di vigilanza per i soggetti slovacchi. Quel ruolo spetta a NBÚ.
Gli obblighi slovacchi di NIS 2 sono lo stesso testo del BSIG tedesco, quindi la guida tedesca è sufficiente.
Gli obblighi di livello direttiva sono identici, ma lo strato procedurale no. La Slovacchia mantiene la struttura della sua legge sulla cibersicurezza del 2018, con NBÚ al posto del BSI, SK-CERT al posto di CERT-Bund, JISKB al posto del portale di registrazione tedesco, e termini e cifre sanzionatorie slovacchi. Un soggetto slovacco che legge solo la guida del BSIG presenterà nel posto sbagliato e citerà gli articoli sbagliati.
Non c'è ancora un portale di registrazione, quindi possiamo aspettare.
La Slovacchia gestisce JISKB (Jednotný informačný systém kybernetickej bezpečnosti) per la registrazione, le notifiche e la segnalazione degli incidenti. È gestito da NBÚ ed è il canale che i gestori regolati usano per identificarsi all'autorità. Aspettare un portale separato che non esiste è il motivo più comune per cui i soggetti slovacchi mancano la finestra di registrazione.
Rientrano nell'ambito solo i gestori individuati in base ai vecchi criteri di soglia.
La Legge 366/2024 ha sostituito i vecchi criteri di soglia con un elenco di legge nella sezione 17 paragrafo 1 della legge sulla cibersicurezza modificata. Quell'elenco si basa sugli allegati settoriali: rientra ogni soggetto almeno di medie dimensioni in un settore dell'Allegato 1 o dell'Allegato 2, più gli organi statali, i soggetti critici e diverse categorie indipendenti dalle dimensioni. Il risultato è una popolazione di soggetti regolati sostanzialmente più ampia. La verifica di applicabilità va rifatta caso per caso.
La maggior parte degli operatori slovacchi del mid-market che incontriamo tratta ancora NIS 2 come un piccolo aggiornamento della legge sulla cibersicurezza del 2018. La modifica è più di questo. L'ambito dei soggetti regolati è più ampio, l'organo di gestione ora porta una responsabilità personale per l'approvazione del trattamento del rischio e per la propria formazione, e il calendario di notifica è più severo di quanto richiedeva il vecchio regime.
Il passo pratico è lo stesso di ovunque nell'UE: eseguire la verifica di applicabilità rispetto alla direttiva, registrarsi attraverso il portale nazionale (qui JISKB), impostare i quattro obblighi continui (mantenere aggiornati i dati di registrazione, notifica degli incidenti, rischio della catena di fornitura, vigilanza da parte dell'organo di gestione) e documentare il minimo. Il processo esistente della legge sulla cibersicurezza del 2018 aiuta, ma non sostituisce la documentazione delle misure NIS 2 stesse.
- Direttiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regolamento di esecuzione (UE) 2024/2690
- Legge n. 366/2024 Z.z. che modifica la Legge n. 69/2018 Z.z. sulla cibersicurezza, Slov-Lex
- Legge n. 69/2018 Z.z. sulla cibersicurezza (testo consolidato), Slov-Lex
- Národný bezpečnostný úrad (NBÚ), sito ufficiale
- SK-CERT, squadra nazionale di risposta agli incidenti di sicurezza informatica
- JISKB, Jednotný informačný systém kybernetickej bezpečnosti, gestito da NBÚ
- Commissione europea, pagina di attuazione di NIS 2 per la Slovacchia
In pratica
Cosa cambia la legge nazionale, e cosa no
La legge nazionale stabilisce, tra l'altro, dove ti registri e a chi notifichi gli incidenti. Le misure partono dallo stesso elenco minimo in ogni Stato membro (art. 21 NIS 2). Il percorso guidato te le fa affrontare un passo alla volta:
Il percorso è in tedesco e in inglese.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
