Status NIS 2 na Słowacji
Czego wymaga dyrektywa, jak Słowacja ją transponuje i gdzie w tym obrazie sytuuje się NBÚ.
Przegląd
Dyrektywa NIS 2 to warstwa UE. Wiąże każde państwo członkowskie, w tym Słowację, jednym minimalnym poziomem cyberbezpieczeństwa dla podmiotów kluczowych i ważnych. Słowacja musi wpisać ten poziom do prawa słowackiego i sprawować pod nim nadzór.
Słowacja transponuje NIS 2 poprzez zmianę istniejącej Ustawy o cyberbezpieczeństwie z 2018 roku. Instrumentem jest Ustawa nr 366/2024 Z.z., która zmienia Ustawę nr 69/2018 Z.z. o cyberbezpieczeństwie. Została przyjęta przez Radę Narodową 28 listopada 2024, opublikowana w Zbiorze Ustaw 19 grudnia 2024 i weszła w życie 1 stycznia 2025. Słowacja przekroczyła unijny termin 17 października 2024 o około dwa i pół miesiąca, co umieszcza ją w grupie państw członkowskich, do których Komisja zwróciła się za pomocą pism w sprawie uchybienia zobowiązaniom, zanim notyfikowano pełną transpozycję.
Národný bezpečnostný úrad (NBÚ, Narodowy Urząd Bezpieczeństwa) jest wiodącym właściwym organem i pojedynczym punktem kontaktowym. SK-CERT, działający wewnątrz NBÚ, jest krajowym CSIRT. Rejestracja, zgłaszanie incydentów oraz większość wymian regulacyjnych przebiega przez JISKB, Jednotný informačný systém kybernetickej bezpečnosti.
Dyrektywa UE
Dyrektywa (EU) 2022/2555 (NIS 2)
Ogólnounijna dyrektywa o cyberbezpieczeństwie. Definiuje obowiązki, które każde państwo członkowskie musi transponować, w tym test wielkości i sektora dla podmiotów kluczowych i ważnych.
Wdrożenie UE
Rozporządzenie wykonawcze (EU) 2024/2690
Wymogi techniczne i metodyczne dla dostawców DNS, rejestrów TLD, dostawców chmury, centrów danych i CDN, dostawców usług zarządzanych (bezpieczeństwa), internetowych platform handlowych, wyszukiwarek, sieci społecznościowych i dostawców usług zaufania. Bezpośrednio stosowane na Słowacji, bez potrzeby transpozycji krajowej.
Słowacka transpozycja
Ustawa nr 366/2024 Z.z. (zmiana Ustawy nr 69/2018 Z.z. o cyberbezpieczeństwie), obowiązująca od 1 stycznia 2025
Słowacka transpozycja NIS 2. Przepisuje Ustawę o cyberbezpieczeństwie z 2018 roku, zamiast ją zastępować. Zamiast dawnych kryteriów progowych sekcja 17 ustęp 1 wymienia teraz, kto musi zostać wpisany do rejestru operatorów usług kluczowych, na przykład każdy co najmniej średni podmiot działający w sektorze z Załącznika 1 lub Załącznika 2. Dodaje uprawnienia nadzorcze i obowiązki zgłaszania wymagane przez NIS 2. Dekrety NBÚ, takie jak 226/2025 o zgłaszaniu i 227/2025 o środkach bezpieczeństwa, uzupełniają szczegóły operacyjne.
Ustawa nr 366/2024 Z.z.
Wprowadza obowiązki NIS 2 do prawa słowackiego poprzez zmianę Ustawy o cyberbezpieczeństwie z 2018 roku. Słowacja zachowuje własne terminy: każdy podmiot regulowany jest operatorem usługi kluczowej (prevádzkovateľ základnej služby), a wyższy poziom to operator krytycznej usługi kluczowej. Ustawa określa też uprawnienia nadzorcze NBÚ, harmonogram zgłaszania incydentów i reżim sankcji. Szczegóły operacyjne są ustalone w dekretach i wytycznych NBÚ.
NBÚ jako organ nadzoru i operator SK-CERT
NBÚ jest wiodącym właściwym organem i pojedynczym punktem kontaktowym na podstawie NIS 2. Prowadzi nadzór, audyty i postępowania sankcyjne, obsługuje SK-CERT jako krajowy CSIRT oraz prowadzi JISKB jako centralny portal rejestracji i zgłaszania. Regulatorzy sektorowi zachowują swoją rolę tam, gdzie obowiązuje lex specialis, w szczególności dla sektora finansowego na podstawie DORA.
Rejestracja i zgłaszanie
Podmiot objęty sekcją 17 ustęp 1 musi zgłosić się do NBÚ w ciągu 60 dni od rozpoczęcia działalności, a zmiany zgłaszać w ciągu 14 dni przez JISKB. Poważne incydenty zgłasza się przez JISKB: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin, sprawozdanie końcowe nie później niż miesiąc po zgłoszeniu. Tylko zgłoszenie przez JISKB spełnia obowiązek prawny.
Na Słowacji obowiązuje prawo słowackie
Działalność na terytorium słowackim podlega słowackiej transpozycji. Niemiecki dyrektor zarządzający ze słowacką spółką zależną czyta Ustawę 366/2024 (zmieniającą Ustawę 69/2018) dla tej spółki, a nie BSIG. Obowiązki na poziomie dyrektywy są identyczne. Procedura, portal i sankcje żyją w prawie słowackim.
Słowacja nie może zejść poniżej poziomu UE
Dyrektywa to minimalna harmonizacja. Słowacja może być bardziej rygorystyczna, w szczególności dla sektorów, które uznała za krytyczne na podstawie wcześniejszych ram. Słowacja nie może zejść poniżej dyrektywy, ani w zakresie obowiązków podmiotów kluczowych i ważnych, ani terminów zgłaszania, ani odpowiedzialności organu zarządzającego.
NBÚ
Národný bezpečnostný úrad. Wiodący właściwy organ i pojedynczy punkt kontaktowy na podstawie NIS 2. Prowadzi nadzór, wydaje dekrety wykonawcze i wytyczne, prowadzi rejestr operatorów usług kluczowych oraz obsługuje JISKB. Punkt kontaktowy dla każdej transgranicznej sprawy NIS 2 z udziałem Słowacji.
SK-CERT
Krajowy CSIRT, działający wewnątrz NBÚ. Przyjmuje zgłoszenia incydentów, koordynuje z sektorowymi i rządowymi CSIRT oraz wymienia się z siecią CSIRT na poziomie UE. Dostępny 24/7. Techniczny odpowiednik regulacyjnej roli NBÚ.
ENISA
Agencja UE ds. cyberbezpieczeństwa. Publikuje wytyczne, prowadzi europejską bazę danych podatności i koordynuje transgranicznie. Nie jest organem nadzoru dla podmiotów słowackich. Ta rola należy do NBÚ.
Słowackie obowiązki NIS 2 to ten sam tekst co niemiecki BSIG, więc niemieckie wytyczne wystarczą.
Obowiązki na poziomie dyrektywy są identyczne, ale warstwa proceduralna nie. Słowacja zachowuje strukturę swojej Ustawy o cyberbezpieczeństwie z 2018 roku, z NBÚ zamiast BSI, SK-CERT zamiast CERT-Bund, JISKB zamiast niemieckiego portalu rejestracyjnego oraz słowackimi terminami i kwotami sankcji. Słowacki podmiot, który czyta tylko wytyczne BSIG, złoży dokumenty w niewłaściwym miejscu i przytoczy niewłaściwe artykuły.
Nie ma jeszcze portalu rejestracyjnego, więc możemy poczekać.
Słowacja prowadzi JISKB (Jednotný informačný systém kybernetickej bezpečnosti) do rejestracji, powiadomień i zgłaszania incydentów. Jest obsługiwany przez NBÚ i jest kanałem, którego operatorzy regulowani używają do zidentyfikowania się wobec organu. Czekanie na osobny portal, który nie istnieje, to najczęstszy powód, dla którego słowackie podmioty przegapiają okno rejestracji.
Tylko operatorzy zidentyfikowani na podstawie dawnych kryteriów progowych są w zakresie.
Ustawa 366/2024 zastąpiła dawne kryteria progowe ustawową listą w sekcji 17 ustęp 1 zmienionej Ustawy o cyberbezpieczeństwie. Lista ta opiera się na załącznikach sektorowych: objęty jest każdy co najmniej średni podmiot w sektorze z Załącznika 1 lub Załącznika 2, a ponadto organy państwowe, podmioty krytyczne i kilka kategorii niezależnych od wielkości. Wynikiem jest znacznie większa populacja podmiotów regulowanych. Sprawdzenie stosowalności trzeba przeprowadzić od nowa przypadek po przypadku.
Większość słowackich operatorów średniego rynku, których spotykamy, nadal traktuje NIS 2 jako drobną aktualizację Ustawy o cyberbezpieczeństwie z 2018 roku. Zmiana jest czymś więcej. Zakres podmiotów regulowanych jest szerszy, organ zarządzający ponosi teraz osobistą odpowiedzialność za zatwierdzanie postępowania z ryzykiem i za własne szkolenie, a harmonogram zgłaszania jest trudniejszy niż wymagał dawny reżim.
Praktyczny krok jest taki sam jak wszędzie w UE: przeprowadź sprawdzenie stosowalności względem dyrektywy, zarejestruj się za pośrednictwem portalu krajowego (tu JISKB), ustaw cztery ciągłe obowiązki (utrzymywanie aktualności danych rejestracyjnych, zgłaszanie incydentów, ryzyko łańcucha dostaw, nadzór organu zarządzającego) i udokumentuj minimum. Istniejący proces Ustawy o cyberbezpieczeństwie z 2018 roku pomaga, ale nie zastępuje dokumentowania samych środków NIS 2.
- Dyrektywa (EU) 2022/2555 (NIS 2), EUR-Lex
- Rozporządzenie wykonawcze (EU) 2024/2690
- Ustawa nr 366/2024 Z.z. zmieniająca Ustawę nr 69/2018 Z.z. o cyberbezpieczeństwie, Slov-Lex
- Ustawa nr 69/2018 Z.z. o cyberbezpieczeństwie (tekst skonsolidowany), Slov-Lex
- Národný bezpečnostný úrad (NBÚ), oficjalna strona
- SK-CERT, krajowy Computer Security Incident Response Team
- JISKB, Jednotný informačný systém kybernetickej bezpečnosti, obsługiwany przez NBÚ
- Komisja Europejska, strona wdrożenia NIS 2 dla Słowacji
W praktyce
Co zmienia prawo krajowe, a czego nie
Prawo krajowe określa między innymi, gdzie się rejestrujesz i komu zgłaszasz incydenty. Same środki wychodzą w każdym państwie członkowskim z tej samej minimalnej listy (art. 21 NIS 2). Przewodnik prowadzi przez nie krok po kroku:
Sam przewodnik jest po niemiecku i po angielsku.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Masz zająć się NIS2?
Prowadzimy Cię krok po kroku. Ty wypełniasz, my wyjaśniamy każdy punkt prostymi słowami, a na końcu podpisuje kierownictwo.
