Stato di NIS 2 in Slovenia
Cosa richiede la direttiva, come la Slovenia la traspone e dove si colloca URSIV nel quadro.
Panoramica
La direttiva NIS 2 è lo strato dell'UE. Vincola ogni Stato membro, inclusa la Slovenia, con un unico livello minimo di cibersicurezza per i soggetti essenziali e importanti. La Slovenia deve inserire quel livello minimo nel diritto sloveno e gestire un regime di vigilanza in base ad esso.
La Slovenia ha mancato la scadenza di trasposizione del 17 ottobre 2024. La Commissione europea ha emesso un parere motivato il 7 maggio 2025 per la mancata notifica della trasposizione completa. La Slovenia ha poi accelerato, ha pubblicato la nuova legge sulla sicurezza delle informazioni (Zakon o informacijski varnosti, ZInfV-1) nella Gazzetta ufficiale il 4 giugno 2025 e l'ha portata in vigore il 19 giugno 2025.
URSIV (Urad Vlade Republike Slovenije za informacijsko varnost, l'Ufficio governativo per la sicurezza delle informazioni) è l'autorità nazionale competente e il punto di contatto unico. Finché il governo non designa i CSIRT, la gestione degli incidenti è ripartita: SIGOV-CERT presso URSIV per la pubblica amministrazione e SI-CERT presso l'istituto pubblico Arnes per tutti gli altri soggetti. I soggetti essenziali e importanti hanno tempo fino al 19 dicembre 2026 per attuare le misure di gestione del rischio ai sensi di ZInfV-1; gli ex operatori NIS 1, gli organi statali e gli operatori di telecomunicazioni avevano tempo fino al 19 giugno 2026.
Direttiva UE
Direttiva (UE) 2022/2555 (NIS 2)
La direttiva sulla cibersicurezza a livello UE. Fissa gli obblighi che ogni Stato membro deve trasporre, inclusi i criteri di dimensione e settore per i soggetti essenziali e importanti.
Attuazione UE
Regolamento di esecuzione (UE) 2024/2690 della Commissione
Requisiti tecnici e metodologici per i fornitori DNS, i registri TLD, i fornitori di cloud, data center e CDN, i fornitori di servizi gestiti (di sicurezza), i mercati online, i motori di ricerca, i social network e i prestatori di servizi fiduciari. Direttamente applicabile in Slovenia senza trasposizione nazionale.
Trasposizione slovena
Zakon o informacijski varnosti (ZInfV-1), Gazzetta ufficiale del 4 giugno 2025
La trasposizione slovena di NIS 2. Sostituisce la precedente ZInfV (era NIS 1). Atti attuativi e linee guida di URSIV riempiono il dettaglio operativo. Entrata in vigore il 19 giugno 2025, con una finestra di 18 mesi affinché i soggetti attuino le misure di gestione del rischio degli articoli 21 e 22.
ZInfV-1 (legge sulla sicurezza delle informazioni)
Trasferisce gli obblighi di NIS 2 nel diritto sloveno. Definisce il perimetro dei soggetti essenziali e importanti, i poteri di vigilanza di URSIV, i doveri di notifica degli incidenti e le sanzioni. La legge estende la popolazione dei soggetti regolati ben oltre l'ambito della ZInfV dell'era NIS 1, includendo sia gli enti del settore pubblico sia un insieme più ampio di operatori privati.
URSIV come autorità competente
URSIV (Urad Vlade Republike Slovenije za informacijsko varnost) è l'autorità nazionale competente e punto di contatto unico per NIS 2 in Slovenia. Gestisce la vigilanza, tiene l'elenco dei soggetti essenziali e importanti ed emana linee guida. La gestione degli incidenti è ripartita finché il governo non designa i CSIRT: SIGOV-CERT presso URSIV per la pubblica amministrazione, SI-CERT presso l'istituto pubblico Arnes per tutti gli altri soggetti. I regolatori settoriali restano competenti dove si applica la lex specialis, in particolare la finanza ai sensi di DORA.
Registrazione e finestra di attuazione
ZInfV-1 è entrata in vigore il 19 giugno 2025. La prima autoregistrazione presso URSIV era dovuta entro il 19 dicembre 2025; i soggetti che rientrano nell'ambito in seguito hanno 30 giorni, e le modifiche vanno comunicate entro 10 giorni lavorativi. La registrazione avviene tramite un modulo web su ursiv.si, con il PDF firmato e il CSV inviati a gp.uiv@gov.si. Le misure ai sensi degli articoli 21 e 22 della legge sono dovute entro il 19 dicembre 2026, o entro il 19 giugno 2026 per gli ex operatori NIS 1, gli organi statali e gli operatori di telecomunicazioni. Gli incidenti significativi seguono la cadenza della direttiva (24 ore, 72 ore, un mese) e, finché la piattaforma di notifica di URSIV non è attiva, vanno via email al CSIRT competente: cert@cert.si o, per la pubblica amministrazione, cert@gov.si.
Il diritto locale si applica all'interno della Slovenia
Le operazioni sul territorio sloveno seguono la trasposizione slovena. Una capogruppo tedesca che gestisce una controllata slovena legge ZInfV-1 per quella controllata, non il BSIG tedesco. Gli obblighi della direttiva sono gli stessi. Procedura, autorità e sanzioni risiedono nel diritto sloveno.
La Slovenia non può scendere sotto il livello minimo dell'UE
La direttiva è uno strumento di armonizzazione minima. La Slovenia può andare più rigida, e ZInfV-1 estende effettivamente la popolazione regolata oltre il minimo della direttiva. La Slovenia non può scendere sotto la direttiva sui doveri dei soggetti essenziali e importanti, sui termini di notifica degli incidenti o sulla responsabilità dell'organo di gestione.
URSIV
Ufficio governativo per la sicurezza delle informazioni. Autorità nazionale competente e punto di contatto unico ai sensi di NIS 2. Gestisce la vigilanza, emana linee guida ed è il titolare della politica per ZInfV-1. Mantiene la registrazione dei soggetti essenziali e importanti.
SI-CERT (Arnes)
CSIRT operato all'interno dell'istituto pubblico Arnes (Rete accademica e di ricerca della Slovenia). Finché il governo non designa i CSIRT, gestisce le segnalazioni di incidenti di tutti i soggetti al di fuori della pubblica amministrazione; la pubblica amministrazione segnala a SIGOV-CERT presso URSIV. Gestisce preallarmi, allarmi e diffusione delle informazioni, e coordina con URSIV.
ENISA
L'agenzia dell'UE per la cibersicurezza. Pubblica linee guida, gestisce la banca dati europea delle vulnerabilità e supporta il coordinamento transfrontaliero. Non è un'autorità di vigilanza per i soggetti sloveni. Lo è URSIV.
Se seguiamo il BSIG tedesco siamo coperti in Slovenia.
Gli obblighi sostanziali derivano dalla stessa direttiva, ma la procedura, l'autorità competente, il canale di notifica e le sanzioni risiedono nel diritto sloveno. Una controllata slovena si registra presso URSIV, notifica a SI-CERT (o a SIGOV-CERT per la pubblica amministrazione) ed è vigilata ai sensi di ZInfV-1. Leggere la legge tedesca vi dà la forma della direttiva ma non la procedura locale.
La Slovenia ha mancato la scadenza, quindi nulla è ancora in vigore.
ZInfV-1 è entrata in vigore il 19 giugno 2025. La finestra di attuazione di 18 mesi per le misure di gestione del rischio degli articoli 21 e 22 decorre da quella data, non dalla scadenza dell'UE. Il parere motivato della Commissione del 7 maggio 2025 riguardava la notifica tardiva della trasposizione; non sospende gli obblighi sui soggetti una volta che la legge nazionale è in vigore.
Non siamo in un settore critico, quindi ZInfV-1 non ci tocca.
ZInfV-1 copre l'intero perimetro dei soggetti essenziali e importanti della direttiva e aggiunge i comuni urbani e i servizi indicati nei piani di protezione e soccorso. Il criterio di dimensione si limita per impostazione predefinita alle imprese di medie e grandi dimensioni, ma la direttiva cattura i soggetti più piccoli quando sono l'unico fornitore, quando l'interruzione ha impatto transfrontaliero, o quando il diritto sloveno li nomina. La verifica di applicabilità va fatta caso per caso, non in base alla percezione di criticità.
La maggior parte degli operatori sloveni che incontriamo tratta NIS 2 come una continuazione del vecchio regime ZInfV. È in parte vero: URSIV è ancora il titolare della politica e SI-CERT gestisce ancora la risposta agli incidenti. L'ambito è più ampio, l'approvazione dell'organo di gestione è più gravosa, e la finestra di attuazione di 18 mesi dal 19 giugno 2025 è un orologio reale. Il direttore o il consiglio di gestione è personalmente responsabile per l'approvazione della gestione del rischio e per il completamento della formazione richiesta.
La mossa pratica è la stessa di ovunque altro nell'UE: confermare l'ambito ai sensi della direttiva, registrarsi presso URSIV, impostare i quattro obblighi continui (mantenimento della registrazione, notifica degli incidenti, rischio della catena di fornitura, vigilanza dell'organo di gestione) e documentare il minimo. La vecchia documentazione ZInfV aiuta, ma non sostituisce la documentazione delle misure ZInfV-1.
- Direttiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regolamento di esecuzione (UE) 2024/2690 della Commissione
- Zakon o informacijski varnosti (ZInfV-1), Gazzetta ufficiale della Repubblica di Slovenia, 4 giugno 2025
- URSIV, Urad Vlade Republike Slovenije za informacijsko varnost, gov.si
- SI-CERT, CSIRT nazionale all'interno dell'istituto pubblico Arnes, cert.si
- Commissione europea, panoramica dell'attuazione di NIS 2 per la Slovenia, parere motivato del 7 maggio 2025
In pratica
Cosa cambia la legge nazionale, e cosa no
La legge nazionale stabilisce, tra l'altro, dove ti registri e a chi notifichi gli incidenti. Le misure partono dallo stesso elenco minimo in ogni Stato membro (art. 21 NIS 2). Il percorso guidato te le fa affrontare un passo alla volta:
Il percorso è in tedesco e in inglese.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
