Statutul NIS 2 în Slovacia
Ce cere directiva, cum o transpune Slovacia și unde se situează NBÚ în acest tablou.
Prezentare generală
Directiva NIS 2 este stratul UE. Ea obligă fiecare stat membru, inclusiv Slovacia, la un nivel minim unic de securitate cibernetică pentru entitățile esențiale și importante. Slovacia trebuie să înscrie acel nivel în dreptul slovac și să supravegheze în temeiul lui.
Slovacia transpune NIS 2 prin modificarea Legii sale existente privind securitatea cibernetică din 2018. Vehiculul este Legea nr. 366/2024 Z.z., care modifică Legea nr. 69/2018 Z.z. privind securitatea cibernetică. A fost adoptată de Consiliul Național la 28 noiembrie 2024, publicată în Colecția de legi la 19 decembrie 2024 și a intrat în vigoare la 1 ianuarie 2025. Slovacia a depășit termenul UE din 17 octombrie 2024 cu aproximativ două luni și jumătate, ceea ce o plasează în grupul statelor membre cărora Comisia li s-a adresat prin scrisori de constatare a neîndeplinirii obligațiilor înainte de notificarea transpunerii complete.
Národný bezpečnostný úrad (NBÚ, Autoritatea Națională de Securitate) este autoritatea competentă principală și punctul unic de contact. SK-CERT, operat în interiorul NBÚ, este CSIRT-ul național. Înregistrarea, raportarea incidentelor și majoritatea schimburilor de reglementare se desfășoară prin JISKB, Jednotný informačný systém kybernetickej bezpečnosti.
Directiva UE
Directiva (UE) 2022/2555 (NIS 2)
Directiva UE privind securitatea cibernetică. Definește obligațiile pe care fiecare stat membru trebuie să le transpună, inclusiv testul de mărime și de sector pentru entitățile esențiale și importante.
Punerea în aplicare la nivelul UE
Regulamentul de punere în aplicare (UE) 2024/2690
Cerințe tehnice și metodologice pentru furnizorii de DNS, registrele TLD, furnizorii de cloud, centre de date și CDN, furnizorii de servicii (de securitate) gestionate, piețele online, motoarele de căutare, rețelele sociale și furnizorii de servicii de încredere. Direct aplicabil în Slovacia, fără transpunere națională.
Transpunerea slovacă
Legea nr. 366/2024 Z.z. (modificarea Legii nr. 69/2018 Z.z. privind securitatea cibernetică), în vigoare de la 1 ianuarie 2025
Transpunerea slovacă a NIS 2. Rescrie Legea privind securitatea cibernetică din 2018, în loc să o înlocuiască. În locul vechilor criterii de prag, secțiunea 17 alineatul 1 enumeră acum cine trebuie înscris în registrul operatorilor de servicii esențiale, de exemplu orice entitate cel puțin de talie mijlocie activă într-un sector din Anexa 1 sau Anexa 2. Adaugă competențele de supraveghere și obligațiile de raportare cerute de NIS 2. Decretele NBÚ, precum 226/2025 privind raportarea și 227/2025 privind măsurile de securitate, completează detaliile operaționale.
Legea nr. 366/2024 Z.z.
Aduce obligațiile NIS 2 în dreptul slovac prin modificarea Legii privind securitatea cibernetică din 2018. Slovacia își păstrează propriii termeni: fiecare entitate reglementată este un operator de serviciu esențial (prevádzkovateľ základnej služby), iar nivelul superior este un operator de serviciu esențial critic. Legea stabilește și competențele de supraveghere ale NBÚ, calendarul de raportare a incidentelor și regimul sancțiunilor. Detaliile operaționale sunt stabilite în decretele și ghidurile NBÚ.
NBÚ ca supraveghetor și operator SK-CERT
NBÚ este autoritatea competentă principală și punctul unic de contact în temeiul NIS 2. Conduce supravegherea, auditurile și procedurile de sancționare, operează SK-CERT ca CSIRT național și administrează JISKB ca portal central de înregistrare și raportare. Autoritățile de reglementare sectoriale își păstrează rolul acolo unde se aplică lex specialis, în special pentru sectorul financiar în temeiul DORA.
Înregistrare și raportare
O entitate care intră sub incidența secțiunii 17 alineatul 1 trebuie să notifice NBÚ în termen de 60 de zile de la începerea activității și să comunice modificările în 14 zile prin JISKB. Incidentele semnificative se raportează prin JISKB: avertizare timpurie în termen de 24 de ore, notificare în termen de 72 de ore, raport final cel târziu la o lună după notificare. Doar un raport prin JISKB contează ca îndeplinind obligația legală.
În Slovacia se aplică dreptul slovac
Activitățile pe teritoriul slovac urmează transpunerea slovacă. Un director general german cu o filială slovacă citește Legea 366/2024 (de modificare a Legii 69/2018) pentru acea filială, nu BSIG-ul. Obligațiile de nivel directivă sunt identice. Procedura, portalul și sancțiunile se află în dreptul slovac.
Slovacia nu poate coborî sub nivelul UE
Directiva este o armonizare minimă. Slovacia poate fi mai strictă, în special pentru sectoarele pe care le-a identificat ca fiind critice în cadrul vechiului său regim. Slovacia nu poate coborî sub directivă, nici în ceea ce privește obligațiile pentru entitățile esențiale și importante, nici termenele de raportare, nici responsabilizarea organului de conducere.
NBÚ
Národný bezpečnostný úrad. Autoritate competentă principală și punct unic de contact în temeiul NIS 2. Conduce supravegherea, emite decrete de punere în aplicare și ghiduri, menține registrul operatorilor de servicii esențiale și operează JISKB. Punctul de contact pentru orice caz NIS 2 transfrontalier care implică Slovacia.
SK-CERT
CSIRT-ul național, operat în interiorul NBÚ. Primește notificările de incidente, se coordonează cu CSIRT-urile sectoriale și guvernamentale și face schimburi cu rețeaua CSIRT la nivelul UE. Disponibil 24/7. Omologul tehnic al rolului de reglementare al NBÚ.
ENISA
Agenția UE pentru securitate cibernetică. Publică ghiduri, administrează baza de date europeană a vulnerabilităților și coordonează la nivel transfrontalier. Nu este un supraveghetor pentru entitățile slovace. Acel rol revine NBÚ.
Obligațiile NIS 2 slovace au același text ca BSIG-ul german, deci ghidul german este suficient.
Obligațiile de nivel directivă sunt identice, dar stratul procedural nu este. Slovacia își păstrează structura Legii privind securitatea cibernetică din 2018, cu NBÚ în loc de BSI, SK-CERT în loc de CERT-Bund, JISKB în loc de portalul german de înregistrare și cu termene și cuantumuri ale sancțiunilor slovace. O entitate slovacă ce citește doar ghidul BSIG va depune în locul greșit și va cita articolele greșite.
Nu există încă un portal de înregistrare, deci putem aștepta.
Slovacia operează JISKB (Jednotný informačný systém kybernetickej bezpečnosti) pentru înregistrare, notificări și raportarea incidentelor. Este operat de NBÚ și este canalul pe care operatorii reglementați îl folosesc pentru a se identifica față de autoritate. Așteptarea unui portal separat care nu există este cel mai frecvent motiv pentru care entitățile slovace ratează fereastra de înregistrare.
Doar operatorii identificați conform vechilor criterii de prag intră în domeniul de aplicare.
Legea 366/2024 a înlocuit vechile criterii de prag cu o listă statutară la secțiunea 17 alineatul 1 din Legea modificată privind securitatea cibernetică. Lista se sprijină pe anexele sectoriale: orice entitate cel puțin de talie mijlocie dintr-un sector din Anexa 1 sau Anexa 2 este inclusă, plus organele statului, entitățile critice și mai multe categorii independente de dimensiune. Rezultatul este o populație substanțial mai mare de entități reglementate. Verificarea aplicabilității trebuie refăcută caz cu caz.
Majoritatea operatorilor slovaci din segmentul mediu pe care îi întâlnim încă tratează NIS 2 ca pe o mică actualizare a Legii privind securitatea cibernetică din 2018. Modificarea este mai mult de atât. Domeniul de aplicare al entităților reglementate este mai larg, organul de conducere poartă acum răspundere personală pentru aprobarea tratării riscurilor și pentru propria formare, iar calendarul de raportare este mai dur decât cerea vechiul regim.
Pasul practic este același ca peste tot în UE: rulați verificarea aplicabilității în raport cu directiva, înregistrați-vă prin portalul național (aici JISKB), instituiți cele patru obligații continue (menținerea actualizată a datelor de înregistrare, raportarea incidentelor, riscul lanțului de aprovizionare, supravegherea de către organul de conducere) și documentați minimul. Procesul existent al Legii privind securitatea cibernetică din 2018 ajută, dar nu înlocuiește documentarea măsurilor NIS 2 în sine.
- Directiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regulamentul de punere în aplicare (UE) 2024/2690
- Legea nr. 366/2024 Z.z. de modificare a Legii nr. 69/2018 Z.z. privind securitatea cibernetică, Slov-Lex
- Legea nr. 69/2018 Z.z. privind securitatea cibernetică (text consolidat), Slov-Lex
- Národný bezpečnostný úrad (NBÚ), site oficial
- SK-CERT, echipa națională de răspuns la incidente de securitate informatică
- JISKB, Jednotný informačný systém kybernetickej bezpečnosti, operat de NBÚ
- Comisia Europeană, pagina de implementare NIS 2 pentru Slovacia
În practică
Ce schimbă legea națională și ce nu
Legea națională stabilește, printre altele, unde vă înregistrați și cui raportați incidentele. Măsurile pornesc, în fiecare stat membru, de la aceeași listă minimă (art. 21 NIS 2). Parcursul ghidat vă conduce prin ele pas cu pas:
Parcursul în sine este în germană și engleză.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Vi s-a cerut să vă ocupați de NIS2?
Vă ghidăm pas cu pas. Dumneavoastră completați, noi explicăm fiecare punct pe înțelesul tuturor, iar la final semnează conducerea.
