NIS 2 Status in Slowenien
Was die Richtlinie fordert, wie Slowenien sie umsetzt, und wo URSIV im Bild steht.
Überblick
Die NIS 2 Richtlinie ist die EU-Ebene. Sie bindet jeden Mitgliedstaat, auch Slowenien, mit einem einheitlichen Mindestniveau für wesentliche und wichtige Einrichtungen. Slowenien muss dieses Niveau in slowenisches Recht überführen und eine Aufsicht darunter führen.
Slowenien hat die Umsetzungsfrist 17. Oktober 2024 versäumt. Die Europäische Kommission hat am 7. Mai 2025 eine mit Gründen versehene Stellungnahme wegen ausgebliebener vollständiger Umsetzung gerichtet. Slowenien hat danach beschleunigt, das neue Informationssicherheitsgesetz (Zakon o informacijski varnosti, ZInfV-1) am 4. Juni 2025 im Gesetzblatt veröffentlicht und am 19. Juni 2025 in Kraft gesetzt.
URSIV (Urad Vlade Republike Slovenije za informacijsko varnost, das Regierungsamt für Informationssicherheit) ist zuständige nationale Behörde und einheitliche Anlaufstelle. Bis die Regierung die CSIRTs benennt, ist die Vorfallbearbeitung geteilt: SIGOV-CERT bei URSIV für die öffentliche Verwaltung, SI-CERT beim öffentlichen Institut Arnes für alle übrigen Einrichtungen. Wesentliche und wichtige Einrichtungen haben bis zum 19. Dezember 2026 Zeit, die Risikomaßnahmen nach ZInfV-1 umzusetzen; frühere NIS 1 Betreiber, staatliche Stellen und Telekommunikationsbetreiber hatten bis zum 19. Juni 2026 Zeit.
EU Richtlinie
Richtlinie (EU) 2022/2555 (NIS 2)
Die EU-weite Cybersicherheitsrichtlinie. Sie legt die Pflichten fest, die jeder Mitgliedstaat umzusetzen hat, einschließlich der Größen- und Sektorprüfung für wesentliche und wichtige Einrichtungen.
EU Durchführung
Durchführungsverordnung (EU) 2024/2690
Technische und methodische Anforderungen für DNS Anbieter, TLD Registries, Cloud, Rechenzentrums und CDN Anbieter, Managed (Security) Service Provider, Online Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter. In Slowenien unmittelbar anwendbar, ohne nationale Umsetzung.
Slowenische Umsetzung
Zakon o informacijski varnosti (ZInfV-1), Gesetzblatt vom 4. Juni 2025
Die slowenische NIS 2 Umsetzung. Sie ersetzt das frühere ZInfV aus der NIS 1 Ära. Durchführungsakte und Leitlinien der URSIV füllen den operativen Detailrahmen. Inkrafttreten am 19. Juni 2025, mit einem 18 Monate langen Fenster für die Umsetzung der Maßnahmen nach Artikel 21 und 22 des Gesetzes.
ZInfV-1 (Informationssicherheitsgesetz)
Bringt die NIS 2 Pflichten in slowenisches Recht. Definiert den Perimeter wesentlicher und wichtiger Einrichtungen, die Aufsichtsbefugnisse der URSIV, Meldepflichten und Sanktionen. Das Gesetz weitet den Kreis der regulierten Stellen deutlich über den NIS 1 ZInfV Rahmen aus, sowohl auf öffentliche Stellen als auch auf einen breiteren Kreis privater Betreiber.
URSIV als zuständige Behörde
URSIV (Urad Vlade Republike Slovenije za informacijsko varnost) ist zuständige nationale Behörde und einheitliche Anlaufstelle für NIS 2 in Slowenien. Sie führt Aufsicht, die Liste wesentlicher und wichtiger Einrichtungen und veröffentlicht Leitlinien. Die Vorfallbearbeitung ist geteilt, bis die Regierung die CSIRTs benennt: SIGOV-CERT bei URSIV für die öffentliche Verwaltung, SI-CERT beim öffentlichen Institut Arnes für alle übrigen Einrichtungen. Sektorregulatoren behalten ihre Zuständigkeit dort, wo Lex specialis gilt, insbesondere im Finanzsektor unter DORA.
Registrierung und Umsetzungsfenster
ZInfV-1 ist am 19. Juni 2025 in Kraft getreten. Die erste Selbstregistrierung bei URSIV war bis zum 19. Dezember 2025 fällig, wer später erfasst wird, hat 30 Tage, Änderungen sind binnen 10 Arbeitstagen zu melden. Die Registrierung läuft über ein Webformular auf ursiv.si, das signierte PDF und die CSV Datei gehen an gp.uiv@gov.si. Die Maßnahmen nach Artikel 21 und 22 des Gesetzes sind bis zum 19. Dezember 2026 umzusetzen, für frühere NIS 1 Betreiber, staatliche Stellen und Telekommunikationsbetreiber galt der 19. Juni 2026. Erhebliche Sicherheitsvorfälle folgen dem Takt der Richtlinie (24 Stunden, 72 Stunden, ein Monat) und gehen, bis die Meldeplattform von URSIV läuft, per E-Mail an das zuständige CSIRT: cert@cert.si oder, für die öffentliche Verwaltung, cert@gov.si.
In Slowenien gilt slowenisches Recht
Aktivitäten auf slowenischem Staatsgebiet folgen der slowenischen Umsetzung. Ein deutscher Geschäftsführer mit slowenischer Tochter liest für diese Tochter ZInfV-1, nicht das BSIG. Die Richtlinienpflichten sind identisch. Verfahren, Behörde und Sanktionen stehen aber im slowenischen Recht.
Slowenien darf nicht unter das EU Niveau fallen
Die Richtlinie ist eine Mindestharmonisierung. Slowenien darf strenger werden, und ZInfV-1 weitet den regulierten Kreis tatsächlich über das Richtlinienminimum hinaus aus. Slowenien darf aber nicht unter die Richtlinie fallen, weder bei den Pflichten für wesentliche und wichtige Einrichtungen, noch bei Meldefristen, noch bei der Verantwortung des Leitungsorgans.
URSIV
Regierungsamt für Informationssicherheit. Zuständige nationale Behörde und einheitliche Anlaufstelle unter NIS 2. Führt Aufsicht, veröffentlicht Leitlinien und ist Eigentümerin der Policy zu ZInfV-1. Hält das Register wesentlicher und wichtiger Einrichtungen.
SI-CERT (Arnes)
CSIRT innerhalb des öffentlichen Instituts Arnes (akademisches und Forschungsnetz Sloweniens). Bis die Regierung die CSIRTs benennt, nimmt es Vorfallmeldungen aller Einrichtungen außerhalb der öffentlichen Verwaltung an, die öffentliche Verwaltung meldet an SIGOV-CERT bei URSIV. Betreibt Frühwarnung, Alerts und Informationsverteilung und stimmt sich mit URSIV ab.
ENISA
Die EU Cybersicherheitsagentur. Veröffentlicht Leitlinien, betreibt die europäische Schwachstellendatenbank und koordiniert grenzüberschreitend. Keine Aufsicht für slowenische Einrichtungen. Die liegt bei URSIV.
Wenn wir dem deutschen BSIG folgen, sind wir in Slowenien abgedeckt.
Die inhaltlichen Pflichten stammen aus derselben Richtlinie. Verfahren, zuständige Behörde, Meldekanal und Sanktionen sitzen aber im slowenischen Recht. Eine slowenische Tochter registriert sich bei URSIV, meldet an SI-CERT (öffentliche Verwaltung an SIGOV-CERT) und wird unter ZInfV-1 beaufsichtigt. Wer das deutsche Gesetz liest, kennt die Richtliniensubstanz, nicht das lokale Verfahren.
Slowenien hat die Frist verpasst, also greift noch nichts.
ZInfV-1 ist am 19. Juni 2025 in Kraft getreten. Das 18 Monate lange Umsetzungsfenster für die Maßnahmen nach Artikel 21 und 22 läuft ab diesem Datum, nicht ab der EU Frist. Die mit Gründen versehene Stellungnahme der Kommission vom 7. Mai 2025 betraf die verspätete Notifikation der Umsetzung. Sie unterbricht keine Pflichten für Einrichtungen, sobald das nationale Gesetz in Kraft ist.
Wir sind nicht in einem kritischen Sektor, also betrifft uns ZInfV-1 nicht.
ZInfV-1 erfasst den vollen Richtlinienperimeter wesentlicher und wichtiger Einrichtungen und ergänzt die Stadtgemeinden sowie Dienste aus den Schutz und Rettungsplänen. Der Größentest deckelt standardmäßig bei mittleren und großen Unternehmen, die Richtlinie fängt aber auch kleinere Einrichtungen, wenn sie einziger Anbieter sind, grenzüberschreitend wirken oder das slowenische Recht sie zusätzlich nennt. Die Anwendbarkeitsprüfung muss Fall für Fall passieren, nicht über die Selbsteinstufung als kritisch.
Die meisten slowenischen Betreiber, die uns begegnen, behandeln NIS 2 als Fortsetzung des alten ZInfV Regimes. Das stimmt teilweise: URSIV bleibt Policy Owner und SI-CERT betreibt weiter die Vorfallbehandlung. Der Scope ist aber breiter, die Verantwortung des Leitungsorgans schwerer, und das 18 Monate lange Umsetzungsfenster ab dem 19. Juni 2025 ist eine echte Uhr. Geschäftsführung beziehungsweise Vorstand haftet persönlich für die Freigabe des Risikomanagements und die eigene Schulung.
Der praktische Schritt ist der gleiche wie überall in der EU: Anwendbarkeit gegen die Richtlinie prüfen, bei URSIV registrieren, die vier Dauerpflichten aufsetzen (Registrierungsdaten pflegen, Vorfallmeldung, Lieferkettenrisiko, Aufsicht durch das Leitungsorgan) und das Minimum dokumentieren. Die alten ZInfV Unterlagen helfen, ersetzen aber nicht die Dokumentation der ZInfV-1 Maßnahmen.
- Richtlinie (EU) 2022/2555 (NIS 2), EUR-Lex
- Durchführungsverordnung (EU) 2024/2690
- Zakon o informacijski varnosti (ZInfV-1), Gesetzblatt der Republik Slowenien vom 4. Juni 2025
- URSIV, Urad Vlade Republike Slovenije za informacijsko varnost, gov.si
- SI-CERT, nationales CSIRT innerhalb des öffentlichen Instituts Arnes, cert.si
- Europäische Kommission, NIS 2 Umsetzungsübersicht Slowenien, mit Gründen versehene Stellungnahme vom 7. Mai 2025
In der Praxis
Was das nationale Gesetz ändert und was nicht
Das nationale Gesetz regelt unter anderem, wo Sie sich registrieren und wem Sie Vorfälle melden. Die Maßnahmen selbst gehen in jedem Mitgliedstaat von derselben Mindestliste aus (Art. 21 NIS 2). Der Durchgang führt Sie Schritt für Schritt hindurch:
Risikomanagement
Aufschreiben, was Ihr Unternehmen hat
Eine Liste der Abläufe, Programme und Geräte, mit denen Sie arbeiten.
Vorfallbehandlung
Planen, was bei einem Vorfall passiert
Wer entscheidet, wen Sie anrufen, wie Sie sich erreichen.
Wirksamkeitsbewertung
Die Managementbewertung festhalten
Die Geschäftsführung prüft, ob die Maßnahmen wirken, und gibt Ihre Dokumente frei.
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
