NIS 2 Status in Slovakia
What the directive requires, how Slovakia transposes it, and where NBÚ sits in the picture.
Overview
The NIS 2 Directive is the EU layer. It binds every Member State, including Slovakia, to a single minimum level of cybersecurity for essential and important entities. Slovakia has to write that level into Slovak law and supervise under it.
Slovakia transposes NIS 2 by amending its existing 2018 Cybersecurity Act. The vehicle is Act No. 366/2024 Z.z., which amends Act No. 69/2018 Z.z. on cybersecurity. It was adopted by the National Council on 28 November 2024, published in the Collection of Laws on 19 December 2024 and entered into force on 1 January 2025. Slovakia missed the 17 October 2024 EU deadline by about two and a half months, which puts it in the group of Member States the Commission addressed via infringement letters before full transposition was notified.
The Národný bezpečnostný úrad (NBÚ, National Security Authority) is the lead competent authority and single point of contact. SK-CERT, operated inside NBÚ, is the national CSIRT. Registration, incident reporting and most regulatory exchanges run through JISKB, the Jednotný informačný systém kybernetickej bezpečnosti.
EU Directive
Directive (EU) 2022/2555 (NIS 2)
The EU-wide cybersecurity directive. It defines the obligations every Member State has to transpose, including the size and sector test for essential and important entities.
EU Implementation
Implementing Regulation (EU) 2024/2690
Technische en methodologische eisen voor DNS-aanbieders, TLD-registers, cloud-, datacenter- en CDN-aanbieders, aanbieders van beheerde (beveiligings)diensten, online marktplaatsen, zoekmachines, sociale netwerken en verleners van vertrouwensdiensten. Rechtstreeks van toepassing in Slowakije, geen nationale omzetting nodig.
Slovak transposition
Act No. 366/2024 Z.z. (amendment to Act No. 69/2018 Z.z. on cybersecurity), in force 1 January 2025
De Slowaakse NIS 2-omzetting. Zij herschrijft de Cybersecurity Act van 2018 in plaats van die te vervangen. In plaats van de oude drempelcriteria somt § 17(1) nu op wie moet worden opgenomen in het register van exploitanten van essentiële diensten, bijvoorbeeld elke minstens middelgrote entiteit die actief is in een sector van Bijlage 1 of Bijlage 2. Zij voegt de toezichtsbevoegdheden en meldplichten toe die NIS 2 vereist. NBÚ-besluiten, zoals 226/2025 over melding en 227/2025 over beveiligingsmaatregelen, vullen de operationele details in.
Act No. 366/2024 Z.z.
Brengt de NIS 2-verplichtingen in het Slowaakse recht door de Cybersecurity Act van 2018 te wijzigen. Slowakije houdt eigen termen aan: elke gereguleerde entiteit is een exploitant van een essentiële dienst (prevádzkovateľ základnej služby), en de hogere categorie is een exploitant van een kritieke essentiële dienst. De wet regelt ook de toezichtsbevoegdheden van het NBÚ, het tijdschema voor incidentmelding en het sanctieregime. Operationele details staan in NBÚ-besluiten en richtsnoeren.
NBÚ as supervisor and SK-CERT operator
NBÚ is the lead competent authority and single point of contact under NIS 2. It runs supervision, audits and sanction procedures, operates SK-CERT as the national CSIRT, and runs JISKB as the central registration and reporting portal. Sector regulators keep their role where lex specialis applies, in particular for the financial sector under DORA.
Registration and reporting
Een entiteit die onder § 17(1) valt, moet dit binnen 60 dagen na aanvang van de activiteit aan het NBÚ melden en wijzigingen binnen 14 dagen doorgeven via JISKB. Significante incidenten worden gemeld via JISKB: vroege waarschuwing binnen 24 uur, melding binnen 72 uur, eindrapport uiterlijk een maand na de melding. Alleen een melding via JISKB voldoet aan de wettelijke plicht.
In Slovakia, Slovak law applies
Activities on Slovak territory follow the Slovak transposition. A German managing director with a Slovak subsidiary reads Act 366/2024 (amending Act 69/2018) for that subsidiary, not the BSIG. The directive-level obligations are identical. The procedure, the portal and the sanctions live in Slovak law.
Slovakia cannot fall below the EU level
The directive is minimum harmonisation. Slovakia may go stricter, in particular for sectors it identified as critical under its older framework. Slovakia may not fall below the directive, neither on the obligations for essential and important entities, nor on reporting deadlines, nor on management body accountability.
NBÚ
Národný bezpečnostný úrad. Leidende bevoegde autoriteit en centraal contactpunt onder NIS 2. Voert toezicht uit, vaardigt uitvoeringsbesluiten en richtsnoeren uit, houdt het register van exploitanten van essentiële diensten bij en beheert JISKB. Het aanspreekpunt voor elk grensoverschrijdend NIS 2-geval met betrekking tot Slowakije.
SK-CERT
The national CSIRT, operated inside NBÚ. Receives incident notifications, coordinates with sectoral and governmental CSIRTs, and exchanges with the CSIRTs network at EU level. Reachable 24/7. The technical counterpart to NBÚ's regulatory role.
ENISA
The EU cybersecurity agency. Publishes guidance, runs the European vulnerability database and coordinates cross-border. Not a supervisor for Slovak entities. That role sits with NBÚ.
Slovak NIS 2 obligations are the same text as the German BSIG, so the German guidance is enough.
The directive-level obligations are identical, but the procedural layer is not. Slovakia keeps its 2018 Cybersecurity Act structure, with NBÚ instead of BSI, SK-CERT instead of CERT-Bund, JISKB instead of the German registration portal, and Slovak deadlines and sanction figures. A Slovak entity that reads only BSIG guidance will file in the wrong place and quote the wrong articles.
There is no registration portal yet, so we can wait.
Slowakije beheert JISKB (Jednotný informačný systém kybernetickej bezpečnosti) voor registratie, meldingen en incidentmelding. Het wordt beheerd door het NBÚ en is het kanaal waarlangs gereguleerde exploitanten zich bij de autoriteit identificeren. Wachten op een apart portaal dat niet bestaat is de meest voorkomende reden dat Slowaakse entiteiten het registratievenster missen.
Alleen exploitanten die volgens de oude drempelcriteria zijn geïdentificeerd, vallen binnen de reikwijdte.
Wet 366/2024 heeft de oude drempelcriteria vervangen door een wettelijke lijst in § 17(1) van de gewijzigde Cybersecurity Act. Die lijst bouwt voort op de sectorbijlagen: elke entiteit van minstens middelgrote omvang in een sector van Bijlage 1 of Bijlage 2 valt erbinnen, plus overheidsorganen, kritieke entiteiten en enkele categorieën die niet van de omvang afhangen. Het resultaat is een aanzienlijk grotere groep gereguleerde entiteiten. De toepasbaarheidstoets moet per geval opnieuw worden uitgevoerd.
De meeste Slowaakse middelgrote exploitanten die wij tegenkomen behandelen NIS 2 nog als een kleine update van de Cybersecurity Act van 2018. De wijziging is meer dan dat. De kring van gereguleerde entiteiten is breder, het leidinggevend orgaan draagt nu persoonlijke verantwoordelijkheid voor het goedkeuren van risicobehandeling en voor de eigen training, en het meldschema is strenger dan het oude regime vroeg.
De praktische stap is dezelfde als overal in de EU: voer de toepasbaarheidstoets uit aan de hand van de richtlijn, registreer u via het nationale portaal (hier JISKB), zet de vier doorlopende verplichtingen op (registratiegegevens actueel houden, incidentmelding, toeleveringsketenrisico, toezicht door het leidinggevend orgaan) en documenteer het minimum. Het bestaande proces uit de Cybersecurity Act van 2018 helpt, maar vervangt niet het documenteren van de NIS 2-maatregelen zelf.
- Directive (EU) 2022/2555 (NIS 2), EUR-Lex
- Implementing Regulation (EU) 2024/2690
- Act No. 366/2024 Z.z. amending Act No. 69/2018 Z.z. on cybersecurity, Slov-Lex
- Act No. 69/2018 Z.z. on cybersecurity (consolidated text), Slov-Lex
- Národný bezpečnostný úrad (NBÚ), official site
- SK-CERT, national Computer Security Incident Response Team
- JISKB, Jednotný informačný systém kybernetickej bezpečnosti, operated by NBÚ
- European Commission, NIS 2 implementation page for Slovakia
In de praktijk
Wat de nationale wet verandert, en wat niet
De nationale wet bepaalt onder meer waar u zich registreert en aan wie u incidenten meldt. De maatregelen zelf gaan in elke lidstaat uit van dezelfde minimumlijst (art. 21 NIS 2). De begeleide doorloop neemt u er stap voor stap doorheen:
De doorloop zelf is in het Duits en het Engels.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
