Statutul NIS 2 în Slovenia
Ce cere directiva, cum o transpune Slovenia și unde se situează URSIV în acest tablou.
Prezentare generală
Directiva NIS 2 este stratul UE. Ea obligă fiecare stat membru, inclusiv Slovenia, cu un prag minim unic de securitate cibernetică pentru entitățile esențiale și importante. Slovenia trebuie să pună acel prag în dreptul sloven și să ruleze un regim de supraveghere în temeiul lui.
Slovenia a ratat termenul de transpunere din 17 octombrie 2024. Comisia Europeană a emis un aviz motivat la 7 mai 2025 pentru nenotificarea transpunerii complete. Slovenia a accelerat apoi, a publicat noua Lege privind securitatea informației (Zakon o informacijski varnosti, ZInfV-1) în Monitorul Oficial la 4 iunie 2025 și a pus-o în vigoare la 19 iunie 2025.
URSIV (Urad Vlade Republike Slovenije za informacijsko varnost, Oficiul Guvernului pentru Securitatea Informației) este autoritatea națională competentă și punctul unic de contact. Până când guvernul desemnează CSIRT-urile, gestionarea incidentelor este împărțită: SIGOV-CERT la URSIV pentru administrația publică și SI-CERT la institutul public Arnes pentru toate celelalte entități. Entitățile esențiale și importante au termen până la 19 decembrie 2026 pentru a implementa măsurile de management al riscurilor în temeiul ZInfV-1; fostii operatori NIS 1, organele statului și operatorii de telecomunicații au avut termen până la 19 iunie 2026.
Directiva UE
Directiva (UE) 2022/2555 (NIS 2)
Directiva UE privind securitatea cibernetică. Stabilește obligațiile pe care fiecare stat membru trebuie să le transpună, inclusiv testele de mărime și de sector pentru entitățile esențiale și importante.
Punerea în aplicare la nivelul UE
Regulamentul de punere în aplicare (UE) 2024/2690 al Comisiei
Cerințe tehnice și metodologice pentru furnizorii de DNS, registrele TLD, furnizorii de cloud, centre de date și CDN, furnizorii de servicii (de securitate) gestionate, piețele online, motoarele de căutare, rețelele sociale și furnizorii de servicii de încredere. Direct aplicabil în Slovenia fără transpunere națională.
Transpunerea slovenă
Zakon o informacijski varnosti (ZInfV-1), Monitorul Oficial 4 iunie 2025
Transpunerea slovenă a NIS 2. Înlocuiește ZInfV anterioară (din era NIS 1). Actele de punere în aplicare și ghidurile URSIV completează detaliile operaționale. Intrarea în vigoare la 19 iunie 2025, cu o fereastră de 18 luni pentru ca entitățile să implementeze măsurile de management al riscurilor de la articolele 21 și 22.
ZInfV-1 (Legea privind securitatea informației)
Aduce obligațiile NIS 2 în dreptul sloven. Definește perimetrul entităților esențiale și importante, competențele de supraveghere ale URSIV, obligațiile de raportare a incidentelor și sancțiunile. Legea extinde populația de entități reglementate cu mult dincolo de domeniul de aplicare al ZInfV din era NIS 1, atât către organisme din sectorul public, cât și către un set mai larg de operatori privați.
URSIV ca autoritate competentă
URSIV (Urad Vlade Republike Slovenije za informacijsko varnost) este autoritatea națională competentă și punctul unic de contact pentru NIS 2 în Slovenia. Conduce supravegherea, ține lista entităților esențiale și importante și emite ghiduri. Gestionarea incidentelor este împărțită până când guvernul desemnează CSIRT-urile: SIGOV-CERT la URSIV pentru administrația publică, SI-CERT la institutul public Arnes pentru toate celelalte entități. Autoritățile de reglementare sectoriale rămân competente acolo unde se aplică lex specialis, în special în domeniul financiar în temeiul DORA.
Înregistrare și fereastra de implementare
ZInfV-1 a intrat în vigoare la 19 iunie 2025. Prima autoînregistrare la URSIV trebuia făcută până la 19 decembrie 2025; entitățile care intră ulterior în domeniul de aplicare au 30 de zile, iar modificările trebuie comunicate în 10 zile lucrătoare. Înregistrarea se face printr-un formular web pe ursiv.si, cu PDF-ul semnat și CSV-ul trimise la gp.uiv@gov.si. Măsurile de la articolele 21 și 22 ale legii trebuie implementate până la 19 decembrie 2026, sau până la 19 iunie 2026 pentru fostii operatori NIS 1, organele statului și operatorii de telecomunicații. Incidentele semnificative urmează cadența directivei (24 de ore, 72 de ore, o lună) și, până când platforma de raportare a URSIV devine funcțională, se transmit prin e-mail CSIRT-ului competent: cert@cert.si sau, pentru administrația publică, cert@gov.si.
Legea locală se aplică în interiorul Sloveniei
Operațiunile pe teritoriul sloven urmează transpunerea slovenă. O companie mamă germană care conduce o filială slovenă citește ZInfV-1 pentru acea filială, nu BSIG-ul german. Obligațiile directivei sunt aceleași. Procedura, autoritatea și sancțiunile se află în dreptul sloven.
Slovenia nu poate coborî sub pragul UE
Directiva este un instrument de armonizare minimă. Slovenia poate fi mai strictă, iar ZInfV-1 extinde efectiv populația reglementată dincolo de minimul directivei. Slovenia nu poate coborî sub directivă în ceea ce privește obligațiile entităților esențiale și importante, termenele de raportare a incidentelor sau responsabilizarea organului de conducere.
URSIV
Oficiul Guvernului pentru Securitatea Informației. Autoritate națională competentă și punct unic de contact în temeiul NIS 2. Conduce supravegherea, emite ghiduri și este responsabilul de politici pentru ZInfV-1. Menține înregistrarea entităților esențiale și importante.
SI-CERT (Arnes)
CSIRT operat în interiorul institutului public Arnes (Rețeaua Academică și de Cercetare a Sloveniei). Până când guvernul desemnează CSIRT-urile, gestionează rapoartele de incidente ale tuturor entităților din afara administrației publice; administrația publică raportează la SIGOV-CERT de la URSIV. Administrează avertizarea timpurie, alertele și diseminarea informației și se coordonează cu URSIV.
ENISA
Agenția UE pentru securitate cibernetică. Publică ghiduri, gestionează baza de date europeană a vulnerabilităților și sprijină coordonarea transfrontalieră. Nu este un supraveghetor pentru entitățile slovene. URSIV este.
Dacă urmăm BSIG-ul german, suntem acoperiți în Slovenia.
Obligațiile de fond provin din aceeași directivă, dar procedura, autoritatea competentă, canalul de raportare și sancțiunile se află în dreptul sloven. O filială slovenă se înregistrează la URSIV, raportează la SI-CERT (sau la SIGOV-CERT pentru administrația publică) și este supravegheată în temeiul ZInfV-1. Citirea legii germane vă dă forma directivei, dar nu și procedura locală.
Slovenia a ratat termenul, deci nimic nu este încă în vigoare.
ZInfV-1 a intrat în vigoare la 19 iunie 2025. Fereastra de implementare de 18 luni pentru măsurile de management al riscurilor de la articolele 21 și 22 curge de la acea dată, nu de la termenul UE. Avizul motivat al Comisiei din 7 mai 2025 a vizat notificarea tardivă a transpunerii; el nu suspendă obligațiile entităților odată ce legea națională este în vigoare.
Nu suntem într-un sector critic, deci ZInfV-1 nu ne atinge.
ZInfV-1 acoperă întregul perimetru al entităților esențiale și importante din directivă și adaugă municipiile urbane și serviciile numite în planurile de protecție și salvare. Testul de mărime se limitează implicit la întreprinderile mijlocii și mari, dar directiva captează entități mai mici acolo unde sunt unic furnizor, unde perturbarea are impact transfrontalier sau unde legea slovenă le desemnează. Verificarea aplicabilității trebuie făcută caz cu caz, nu prin autopercepția criticității.
Majoritatea operatorilor sloveni pe care îi vedem tratează NIS 2 ca pe o continuare a vechiului regim ZInfV. Acest lucru este parțial corect: URSIV este în continuare responsabilul de politici, iar SI-CERT încă gestionează răspunsul la incidente. Domeniul de aplicare este mai larg, aprobarea de către organul de conducere este mai grea, iar fereastra de implementare de 18 luni de la 19 iunie 2025 este un ceas real. Directorul sau consiliul de administrație este personal responsabil pentru aprobarea managementului riscurilor și pentru finalizarea formării obligatorii.
Mișcarea practică este aceeași ca peste tot în UE: confirmați domeniul de aplicare în temeiul directivei, înregistrați-vă la URSIV, instituiți cele patru obligații continue (menținerea înregistrării, raportarea incidentelor, riscul lanțului de aprovizionare, supravegherea de către organul de conducere) și documentați minimul. Vechea documentație ZInfV ajută, dar nu înlocuiește documentarea măsurilor ZInfV-1.
- Directiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regulamentul de punere în aplicare (UE) 2024/2690 al Comisiei
- Zakon o informacijski varnosti (ZInfV-1), Monitorul Oficial al Republicii Slovenia, 4 iunie 2025
- URSIV, Urad Vlade Republike Slovenije za informacijsko varnost, gov.si
- SI-CERT, CSIRT național în interiorul institutului public Arnes, cert.si
- Comisia Europeană, prezentare generală a implementării NIS 2 pentru Slovenia, aviz motivat din 7 mai 2025
În practică
Ce schimbă legea națională și ce nu
Legea națională stabilește, printre altele, unde vă înregistrați și cui raportați incidentele. Măsurile pornesc, în fiecare stat membru, de la aceeași listă minimă (art. 21 NIS 2). Parcursul ghidat vă conduce prin ele pas cu pas:
Parcursul în sine este în germană și engleză.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Vi s-a cerut să vă ocupați de NIS2?
Vă ghidăm pas cu pas. Dumneavoastră completați, noi explicăm fiecare punct pe înțelesul tuturor, iar la final semnează conducerea.
