NIS 2 Status in der Slowakei
Was die Richtlinie fordert, wie die Slowakei sie umsetzt, und wo das NBÚ im Bild steht.
Überblick
Die NIS 2 Richtlinie ist die EU Ebene. Sie bindet jeden Mitgliedstaat, auch die Slowakei, mit einem einheitlichen Mindestniveau für wesentliche und wichtige Einrichtungen. Die Slowakei muss dieses Niveau in slowakisches Recht überführen und eine Aufsicht darunter führen.
Die Slowakei setzt NIS 2 über die Novellierung ihres bestehenden Cybersicherheitsgesetzes von 2018 um. Das Vehikel ist das Gesetz Nr. 366/2024 Z.z., das das Gesetz Nr. 69/2018 Z.z. über die Cybersicherheit ändert. Der Nationalrat hat es am 28. November 2024 verabschiedet, am 19. Dezember 2024 wurde es in der Gesetzessammlung veröffentlicht, in Kraft getreten ist es am 1. Januar 2025. Die EU Frist vom 17. Oktober 2024 wurde damit um rund zweieinhalb Monate verfehlt, was die Slowakei in die Gruppe der Mitgliedstaaten brachte, an die die Kommission vor abgeschlossener Umsetzungsmitteilung Vertragsverletzungsschreiben gerichtet hat.
Das Národný bezpečnostný úrad (NBÚ, Nationale Sicherheitsbehörde) ist federführende zuständige Behörde und zentrale Anlaufstelle. SK-CERT, betrieben innerhalb des NBÚ, ist das nationale CSIRT. Registrierung, Vorfallmeldung und der größte Teil des aufsichtlichen Schriftverkehrs laufen über JISKB, den Jednotný informačný systém kybernetickej bezpečnosti.
EU Richtlinie
Richtlinie (EU) 2022/2555 (NIS 2)
Die EU weite Cybersicherheitsrichtlinie. Sie legt die Pflichten fest, die jeder Mitgliedstaat umzusetzen hat, einschließlich der Größen und Sektorprüfung für wesentliche und wichtige Einrichtungen.
EU Durchführung
Durchführungsverordnung (EU) 2024/2690
Technische und methodische Anforderungen für DNS Anbieter, TLD Registries, Cloud, Rechenzentrums und CDN Anbieter, Managed (Security) Service Provider, Online Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter. In der Slowakei unmittelbar anwendbar, ohne nationale Umsetzung.
Slowakische Umsetzung
Gesetz Nr. 366/2024 Z.z. (Änderung des Gesetzes Nr. 69/2018 Z.z. über die Cybersicherheit), in Kraft seit 1. Januar 2025
Die slowakische NIS 2 Umsetzung. Sie schreibt das Cybersicherheitsgesetz von 2018 fort, statt es zu ersetzen. Statt der alten Schwellenkriterien legt § 17 Absatz 1 jetzt fest, wer in das Register der Betreiber wesentlicher Dienste gehört, etwa jede mindestens mittelgroße Einrichtung in einem Sektor aus Anhang 1 oder Anhang 2. Sie ergänzt die Aufsichtsbefugnisse und Meldepflichten der Richtlinie. Verordnungen des NBÚ, etwa 226/2025 zu Meldungen und 227/2025 zu Sicherheitsmaßnahmen, regeln den operativen Detailrahmen.
Gesetz Nr. 366/2024 Z.z.
Bringt die NIS 2 Pflichten in slowakisches Recht, indem es das Cybersicherheitsgesetz von 2018 ändert. Die Slowakei behält eigene Begriffe: Jede regulierte Einrichtung ist Betreiber eines wesentlichen Dienstes (prevádzkovateľ základnej služby), die höhere Stufe ist Betreiber eines kritischen wesentlichen Dienstes. Das Gesetz regelt auch die Aufsichtsbefugnisse des NBÚ, den Meldetakt für Vorfälle und das Sanktionsregime. Operativer Detail liegt in Verordnungen und Leitlinien des NBÚ.
NBÚ als Aufsicht und Betreiber von SK-CERT
Das NBÚ ist federführende zuständige Behörde und zentrale Anlaufstelle unter NIS 2. Es führt Aufsicht, Audits und Sanktionsverfahren, betreibt SK-CERT als nationales CSIRT und betreibt JISKB als zentrales Registrierungs und Meldeportal. Sektorale Regulatoren behalten ihre Zuständigkeit dort, wo Lex specialis gilt, vor allem im Finanzsektor unter DORA.
Registrierung und Meldung
Wer unter § 17 Absatz 1 fällt, muss das dem NBÚ binnen 60 Tagen ab Aufnahme der Tätigkeit melden und Änderungen binnen 14 Tagen über JISKB mitteilen. Erhebliche Sicherheitsvorfälle werden über JISKB gemeldet: Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht spätestens einen Monat nach der Meldung. Nur eine Meldung über JISKB erfüllt die gesetzliche Pflicht.
In der Slowakei gilt slowakisches Recht
Aktivitäten auf slowakischem Staatsgebiet folgen der slowakischen Umsetzung. Ein deutscher Geschäftsführer mit slowakischer Tochter liest für diese Tochter das Gesetz 366/2024 (zur Änderung des Gesetzes 69/2018), nicht das BSIG. Die Richtlinienpflichten sind identisch. Verfahren, Portal und Sanktionen stehen aber im slowakischen Recht.
Die Slowakei darf nicht unter das EU Niveau fallen
Die Richtlinie ist eine Mindestharmonisierung. Die Slowakei darf strenger werden, vor allem für Sektoren, die sie unter ihrem älteren Rahmen bereits als kritisch eingestuft hatte. Die Slowakei darf aber nicht unter die Richtlinie fallen, weder bei den Pflichten für wesentliche und wichtige Einrichtungen, noch bei Meldefristen, noch bei der Haftung des Leitungsorgans.
NBÚ
Národný bezpečnostný úrad. Federführende zuständige Behörde und zentrale Anlaufstelle unter NIS 2. Führt Aufsicht, erlässt Durchführungsdekrete und Leitlinien, führt das Register der Betreiber wesentlicher Dienste und betreibt JISKB. Der Ansprechpartner für jeden grenzüberschreitenden NIS 2 Vorgang mit Slowakeibezug.
SK-CERT
Das nationale CSIRT, betrieben innerhalb des NBÚ. Nimmt Vorfallmeldungen entgegen, koordiniert mit sektoralen und Regierungs CSIRTs und tauscht sich im CSIRTs Netzwerk auf EU Ebene aus. Erreichbar rund um die Uhr. Das technische Gegenstück zur Aufsichtsrolle des NBÚ.
ENISA
Die EU Cybersicherheitsagentur. Veröffentlicht Leitlinien, betreibt die europäische Schwachstellendatenbank und koordiniert grenzüberschreitend. Keine Aufsicht für slowakische Einrichtungen. Die liegt beim NBÚ.
Slowakische NIS 2 Pflichten sind derselbe Text wie das deutsche BSIG, also reicht die deutsche Auslegungspraxis.
Die Pflichten auf Richtlinienebene sind identisch, die Verfahrensebene ist es nicht. Die Slowakei behält die Struktur ihres Cybersicherheitsgesetzes von 2018, mit NBÚ statt BSI, SK-CERT statt CERT-Bund, JISKB statt des deutschen Registrierungsportals, und mit slowakischen Fristen und Sanktionsrahmen. Eine slowakische Einrichtung, die nur BSIG Leitlinien liest, meldet am falschen Ort und zitiert die falschen Paragraphen.
Es gibt noch kein Registrierungsportal, wir können warten.
Die Slowakei betreibt JISKB (Jednotný informačný systém kybernetickej bezpečnosti) für Registrierung, Mitteilungen und Vorfallmeldungen. Es wird vom NBÚ betrieben und ist der Kanal, über den sich regulierte Betreiber bei der Behörde identifizieren. Das Warten auf ein separates Portal, das nicht existiert, ist der häufigste Grund, warum slowakische Einrichtungen das Registrierungsfenster verpassen.
Nur die nach den alten Schwellenkriterien identifizierten Betreiber sind im Scope.
Das Gesetz 366/2024 hat die alten Schwellenkriterien durch eine gesetzliche Liste in § 17 Absatz 1 des geänderten Cybersicherheitsgesetzes ersetzt. Diese Liste baut auf den Sektoranhängen auf: Jede mindestens mittelgroße Einrichtung in einem Sektor aus Anhang 1 oder Anhang 2 ist erfasst, dazu staatliche Stellen, kritische Einrichtungen und mehrere größenunabhängige Kategorien. Das Ergebnis ist ein deutlich größerer Kreis regulierter Einrichtungen. Die Anwendbarkeitsprüfung muss fallweise neu gemacht werden.
Die meisten slowakischen Mittelstandsbetreiber, die uns begegnen, behandeln NIS 2 noch als kleines Update des Cybersicherheitsgesetzes von 2018. Die Novelle ist mehr als das. Der Kreis regulierter Einrichtungen ist breiter, das Leitungsorgan haftet jetzt persönlich für die Freigabe des Risikomanagements und die eigene Schulung, und der Meldetakt ist härter als unter dem alten Regime.
Der praktische Schritt ist der gleiche wie überall in der EU: Anwendbarkeit gegen die Richtlinie prüfen, über das nationale Portal (hier JISKB) registrieren, die vier Dauerpflichten aufsetzen (Registrierungsdaten pflegen, Vorfallmeldung, Lieferkettenrisiko, Aufsicht durch das Leitungsorgan) und das Minimum dokumentieren. Das bestehende Verfahren aus dem Cybersicherheitsgesetz 2018 hilft, ersetzt aber nicht die Dokumentation der NIS 2 Maßnahmen selbst.
- Richtlinie (EU) 2022/2555 (NIS 2), EUR-Lex
- Durchführungsverordnung (EU) 2024/2690
- Gesetz Nr. 366/2024 Z.z. zur Änderung des Gesetzes Nr. 69/2018 Z.z. über die Cybersicherheit, Slov-Lex
- Gesetz Nr. 69/2018 Z.z. über die Cybersicherheit (konsolidierte Fassung), Slov-Lex
- Národný bezpečnostný úrad (NBÚ), offizielle Seite
- SK-CERT, nationales Computer Security Incident Response Team
- JISKB, Jednotný informačný systém kybernetickej bezpečnosti, betrieben durch das NBÚ
- Europäische Kommission, NIS 2 Umsetzungsseite Slowakei
In der Praxis
Was das nationale Gesetz ändert und was nicht
Das nationale Gesetz regelt unter anderem, wo Sie sich registrieren und wem Sie Vorfälle melden. Die Maßnahmen selbst gehen in jedem Mitgliedstaat von derselben Mindestliste aus (Art. 21 NIS 2). Der Durchgang führt Sie Schritt für Schritt hindurch:
Risikomanagement
Aufschreiben, was Ihr Unternehmen hat
Eine Liste der Abläufe, Programme und Geräte, mit denen Sie arbeiten.
Vorfallbehandlung
Planen, was bei einem Vorfall passiert
Wer entscheidet, wen Sie anrufen, wie Sie sich erreichen.
Wirksamkeitsbewertung
Die Managementbewertung festhalten
Die Geschäftsführung prüft, ob die Maßnahmen wirken, und gibt Ihre Dokumente frei.
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
