NIS 2 status in Slovenia
What the directive requires, how Slovenia transposes it, and where URSIV sits inside the picture.
Overview
The NIS 2 directive is the EU layer. It binds every member state, including Slovenia, with one cybersecurity floor for essential and important entities. Slovenia must put that floor into Slovenian law and run a supervision regime under it.
Slovenia missed the 17 October 2024 transposition deadline. The European Commission issued a reasoned opinion on 7 May 2025 for failure to notify full transposition. Slovenia then accelerated, published the new Information Security Act (Zakon o informacijski varnosti, ZInfV-1) in the Official Gazette on 4 June 2025, and brought it into force on 19 June 2025.
URSIV (Urad Vlade Republike Slovenije za informacijsko varnost, het Government Office for Information Security) is de bevoegde nationale autoriteit en het centrale contactpunt. Totdat de regering de CSIRT's aanwijst, is de incidentafhandeling verdeeld: SIGOV-CERT bij URSIV voor het openbaar bestuur, en SI-CERT bij het openbare instituut Arnes voor alle andere entiteiten. Essentiële en belangrijke entiteiten hebben tot 19 december 2026 om de risicobeheersmaatregelen onder ZInfV-1 uit te voeren; voormalige NIS 1-exploitanten, overheidsorganen en telecomexploitanten hadden tot 19 juni 2026.
EU directive
Directive (EU) 2022/2555 (NIS 2)
The EU-wide cybersecurity directive. Sets the obligations every member state must transpose, including the size and sector tests for essential and important entities.
EU implementation
Commission Implementing Regulation (EU) 2024/2690
Technische en methodologische eisen voor DNS-aanbieders, TLD-registers, cloud-, datacenter- en CDN-aanbieders, aanbieders van beheerde (beveiligings)diensten, online marktplaatsen, zoekmachines, sociale netwerken en verleners van vertrouwensdiensten. Rechtstreeks van toepassing in Slovenië zonder nationale omzetting.
Slovenian transposition
Zakon o informacijski varnosti (ZInfV-1), Official Gazette 4 June 2025
The Slovenian NIS 2 transposition. Replaces the earlier ZInfV (NIS 1 era). Implementing acts and URSIV guidance fill in operational detail. Entry into force on 19 June 2025, with an 18-month window for entities to implement Articles 21 and 22 risk management measures.
ZInfV-1 (Information Security Act)
Carries the NIS 2 obligations into Slovenian law. Defines the perimeter of essential and important entities, the supervision powers of URSIV, incident reporting duties and sanctions. The act extends the population of regulated entities well beyond the NIS 1 ZInfV scope, into both public sector bodies and a broader set of private operators.
URSIV as competent authority
URSIV (Urad Vlade Republike Slovenije za informacijsko varnost) is de bevoegde nationale autoriteit en het centrale contactpunt voor NIS 2 in Slovenië. Het voert toezicht uit, houdt de lijst van essentiële en belangrijke entiteiten bij en geeft richtsnoeren uit. Incidentafhandeling is verdeeld totdat de regering de CSIRT's aanwijst: SIGOV-CERT bij URSIV voor het openbaar bestuur, SI-CERT bij het openbare instituut Arnes voor alle andere entiteiten. Sectorale toezichthouders blijven bevoegd waar lex specialis geldt, met name de financiële sector onder DORA.
Registration and implementation window
ZInfV-1 is op 19 juni 2025 in werking getreden. De eerste zelfregistratie bij URSIV moest uiterlijk 19 december 2025 plaatsvinden; entiteiten die later binnen de reikwijdte vallen, hebben 30 dagen, en wijzigingen moeten binnen 10 werkdagen worden doorgegeven. Registratie verloopt via een webformulier op ursiv.si, waarbij de ondertekende PDF en CSV naar gp.uiv@gov.si worden gestuurd. De maatregelen onder artikel 21 en 22 van de wet moeten uiterlijk 19 december 2026 zijn uitgevoerd, of uiterlijk 19 juni 2026 voor voormalige NIS 1-exploitanten, overheidsorganen en telecomexploitanten. Significante incidenten volgen het ritme van de richtlijn (24 uur, 72 uur, een maand) en gaan, totdat het meldplatform van URSIV live is, per e-mail naar het bevoegde CSIRT: cert@cert.si of, voor het openbaar bestuur, cert@gov.si.
Local law applies inside Slovenia
Operations on Slovenian territory follow the Slovenian transposition. A German parent running a Slovenian subsidiary reads ZInfV-1 for that subsidiary, not the German BSIG. The directive obligations are the same. Procedure, authority and sanctions live in Slovenian law.
Slovenia cannot go below the EU floor
The directive is a minimum harmonisation instrument. Slovenia can go stricter, and ZInfV-1 does extend the regulated population beyond the directive minimum. Slovenia cannot drop below the directive on essential and important entity duties, incident reporting deadlines or management body accountability.
URSIV
Government Office for Information Security. Competent national authority and single point of contact under NIS 2. Runs supervision, issues guidance, and is the policy owner for ZInfV-1. Maintains registration of essential and important entities.
SI-CERT (Arnes)
CSIRT binnen het openbare instituut Arnes (Academic and Research Network of Slovenia). Totdat de regering de CSIRT's aanwijst, behandelt het incidentmeldingen van alle entiteiten buiten het openbaar bestuur; het openbaar bestuur meldt aan SIGOV-CERT bij URSIV. Voert vroege waarschuwing, alerts en informatieverspreiding uit en stemt af met URSIV.
ENISA
The EU cybersecurity agency. Publishes guidance, manages the European vulnerability database and supports cross-border coordination. Not a supervisor for Slovenian entities. URSIV is.
If we follow the German BSIG we are covered in Slovenia.
De inhoudelijke verplichtingen komen uit dezelfde richtlijn, maar de procedure, de bevoegde autoriteit, het meldkanaal en de sancties staan in het Sloveense recht. Een Sloveense dochter registreert zich bij URSIV, meldt aan SI-CERT (of SIGOV-CERT voor het openbaar bestuur) en staat onder toezicht op grond van ZInfV-1. Wie de Duitse wet leest, kent de vorm van de richtlijn maar niet de lokale procedure.
Slovenia missed the deadline, so nothing is in force yet.
ZInfV-1 entered into force on 19 June 2025. The 18-month implementation window for Articles 21 and 22 risk management measures runs from that date, not from the EU deadline. The Commission's reasoned opinion of 7 May 2025 was about late notification of transposition; it does not pause obligations on entities once the national law is in force.
We are not in a critical sector, so ZInfV-1 does not touch us.
ZInfV-1 dekt de volledige kring van essentiële en belangrijke entiteiten van de richtlijn en voegt stadsgemeenten en diensten uit beschermings- en reddingsplannen toe. De grootte-toets begrenst standaard tot middelgrote en grote ondernemingen, maar de richtlijn vangt ook kleinere entiteiten waar zij de enige aanbieder zijn, waar verstoring grensoverschrijdende gevolgen heeft, of waar het Sloveense recht ze noemt. De toepasbaarheidstoets moet per geval worden uitgevoerd, niet op basis van de eigen inschatting van kritiekheid.
Most Slovenian operators we see treat NIS 2 as a continuation of the old ZInfV regime. That is partly right: URSIV is still the policy owner and SI-CERT still runs incident response. The scope is wider, the management body sign-off is heavier, and the 18-month implementation window from 19 June 2025 is a real clock. The director or management board is personally on the hook for risk management approval and for completing the required training.
De praktische stap is dezelfde als overal in de EU: bevestig de reikwijdte onder de richtlijn, registreer u bij URSIV, zet de vier doorlopende verplichtingen op (registratie bijhouden, incidentmelding, toeleveringsketenrisico, toezicht door het leidinggevend orgaan) en documenteer het minimum. De oude ZInfV-documentatie helpt, maar vervangt niet het documenteren van de ZInfV-1-maatregelen.
- Directive (EU) 2022/2555 (NIS 2), EUR-Lex
- Commission Implementing Regulation (EU) 2024/2690
- Zakon o informacijski varnosti (ZInfV-1), Official Gazette of the Republic of Slovenia, 4 June 2025
- URSIV, Urad Vlade Republike Slovenije za informacijsko varnost, gov.si
- SI-CERT, national CSIRT inside the Arnes public institute, cert.si
- European Commission, NIS 2 implementation overview for Slovenia, reasoned opinion of 7 May 2025
In de praktijk
Wat de nationale wet verandert, en wat niet
De nationale wet bepaalt onder meer waar u zich registreert en aan wie u incidenten meldt. De maatregelen zelf gaan in elke lidstaat uit van dezelfde minimumlijst (art. 21 NIS 2). De begeleide doorloop neemt u er stap voor stap doorheen:
De doorloop zelf is in het Duits en het Engels.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
