Stav NIS 2 ve Slovinsku
Co směrnice vyžaduje, jak ji Slovinsko transponuje a kde v obrazu sedí URSIV.
Přehled
Směrnice NIS 2 je vrstva EU. Zavazuje každý členský stát, včetně Slovinska, jedním minimem kybernetické bezpečnosti pro základní a důležité subjekty. Slovinsko musí toto minimum vtělit do slovinského práva a provozovat pod ním dozorový režim.
Slovinsko zmeškalo transpoziční lhůtu 17. října 2024. Evropská komise vydala 7. května 2025 odůvodněné stanovisko pro neoznámení úplné transpozice. Slovinsko poté zrychlilo, vyhlásilo nový zákon o informační bezpečnosti (Zakon o informacijski varnosti, ZInfV-1) v Úředním věstníku 4. června 2025 a uvedlo ho v účinnost 19. června 2025.
URSIV (Urad Vlade Republike Slovenije za informacijsko varnost, Vládní úřad pro informační bezpečnost) je příslušný národní orgán a jednotné kontaktní místo. Dokud vláda CSIRT neurčí, je zpracování incidentů rozděleno: SIGOV-CERT u URSIV pro veřejnou správu a SI-CERT u veřejného ústavu Arnes pro všechny ostatní subjekty. Základní a důležité subjekty mají do 19. prosince 2026 na zavedení opatření řízení rizik podle ZInfV-1; bývalí provozovatelé NIS 1, státní orgány a telekomunikační operátoři měli čas do 19. června 2026.
Směrnice EU
Směrnice (EU) 2022/2555 (NIS 2)
Celounijní směrnice o kybernetické bezpečnosti. Stanoví povinnosti, které musí každý členský stát transponovat, včetně testů velikosti a sektoru pro základní a důležité subjekty.
Provádění EU
Prováděcí nařízení Komise (EU) 2024/2690
Technické a metodické požadavky pro poskytovatele DNS, registry TLD, poskytovatele cloudu, datových center a CDN, poskytovatele řízených (bezpečnostních) služeb, online tržiště, vyhledávače, sociální sítě a poskytovatele služeb vytvářejících důvěru. Ve Slovinsku přímo použitelné bez národní transpozice.
Slovinská transpozice
Zakon o informacijski varnosti (ZInfV-1), Úřední věstník 4. června 2025
Slovinská transpozice NIS 2. Nahrazuje dřívější ZInfV (éra NIS 1). Prováděcí akty a pokyny URSIV doplňují provozní detail. Nabytí účinnosti 19. června 2025, s 18měsíčním oknem pro subjekty na zavedení opatření řízení rizik podle článků 21 a 22.
ZInfV-1 (zákon o informační bezpečnosti)
Přenáší povinnosti NIS 2 do slovinského práva. Vymezuje okruh základních a důležitých subjektů, dozorové pravomoci URSIV, povinnosti hlášení incidentů a sankce. Zákon rozšiřuje populaci regulovaných subjektů daleko za rozsah ZInfV z éry NIS 1, jak do orgánů veřejného sektoru, tak do širšího okruhu soukromých operátorů.
URSIV jako příslušný orgán
URSIV (Urad Vlade Republike Slovenije za informacijsko varnost) je příslušný národní orgán a jednotné kontaktní místo pro NIS 2 ve Slovinsku. Provádí dozor, vede seznam základních a důležitých subjektů a vydává pokyny. Zpracování incidentů je rozděleno, dokud vláda CSIRT neurčí: SIGOV-CERT u URSIV pro veřejnou správu, SI-CERT u veřejného ústavu Arnes pro všechny ostatní subjekty. Odvětvoví regulátoři zůstávají příslušní tam, kde platí lex specialis, zejména finance podle DORA.
Registrace a okno pro zavedení
ZInfV-1 nabyl účinnosti 19. června 2025. První samoregistrace u URSIV byla splatná do 19. prosince 2025; subjekty, které se do působnosti dostanou později, mají 30 dnů a změny se hlásí do 10 pracovních dnů. Registrace probíhá přes webový formulář na ursiv.si, podepsané PDF a soubor CSV se posílají na gp.uiv@gov.si. Opatření podle článků 21 a 22 zákona jsou splatná do 19. prosince 2026, u bývalých provozovatelů NIS 1, státních orgánů a telekomunikačních operátorů do 19. června 2026. Významné incidenty se řídí rytmem směrnice (24 hodin, 72 hodin, jeden měsíc) a dokud není spuštěna oznamovací platforma URSIV, posílají se e-mailem příslušnému CSIRT: cert@cert.si nebo, pro veřejnou správu, cert@gov.si.
Uvnitř Slovinska platí místní právo
Provoz na slovinském území se řídí slovinskou transpozicí. Česká mateřská společnost se slovinskou dceřinou společností čte pro tuto dceru ZInfV-1, ne český zákon č. 264/2025 Sb. Povinnosti směrnice jsou stejné. Postup, orgán a sankce upravuje slovinské právo.
Slovinsko nemůže jít pod minimum EU
Směrnice je nástroj minimální harmonizace. Slovinsko může jít přísněji a ZInfV-1 skutečně rozšiřuje regulovanou populaci nad minimum směrnice. Slovinsko nemůže klesnout pod směrnici v povinnostech základních a důležitých subjektů, lhůtách pro hlášení incidentů ani v odpovědnosti řídícího orgánu.
URSIV
Vládní úřad pro informační bezpečnost. Příslušný národní orgán a jednotné kontaktní místo podle NIS 2. Provádí dozor, vydává pokyny a je gestorem politiky pro ZInfV-1. Vede registraci základních a důležitých subjektů.
SI-CERT (Arnes)
CSIRT provozovaný uvnitř veřejného ústavu Arnes (Akademická a výzkumná síť Slovinska). Dokud vláda CSIRT neurčí, zpracovává hlášení incidentů od všech subjektů mimo veřejnou správu; veřejná správa hlásí SIGOV-CERT u URSIV. Provozuje včasné varování, výstrahy a šíření informací a koordinuje s URSIV.
ENISA
Agentura EU pro kybernetickou bezpečnost. Vydává pokyny, spravuje evropskou databázi zranitelností a podporuje přeshraniční koordinaci. Není dozorovým orgánem pro slovinské subjekty. Tím je URSIV.
Pokud se řídíme českým zákonem č. 264/2025 Sb., jsme krytí i ve Slovinsku.
Věcné povinnosti pocházejí ze stejné směrnice, ale postup, příslušný orgán, kanál hlášení a sankce upravuje slovinské právo. Slovinská dceřiná společnost se registruje u URSIV, hlásí SI-CERT (nebo SIGOV-CERT pro veřejnou správu) a podléhá dozoru podle ZInfV-1. Český zákon vám dá tvar směrnice, ale ne místní postup.
Slovinsko zmeškalo lhůtu, takže zatím nic neplatí.
ZInfV-1 nabyl účinnosti 19. června 2025. 18měsíční okno pro zavedení opatření řízení rizik podle článků 21 a 22 běží od tohoto data, ne od unijní lhůty. Odůvodněné stanovisko Komise ze 7. května 2025 se týkalo pozdního oznámení transpozice. Nezastavuje povinnosti subjektů, jakmile je národní zákon účinný.
Nejsme v kritickém sektoru, takže se nás ZInfV-1 netýká.
ZInfV-1 pokrývá celý okruh základních a důležitých subjektů podle směrnice a přidává městské obce a služby uvedené v plánech ochrany a záchrany. Test velikosti se ve výchozím stavu omezuje na střední a velké podniky, ale směrnice zachycuje menší subjekty tam, kde jsou jediným poskytovatelem, kde má narušení přeshraniční dopad nebo kde je slovinské právo jmenuje. Kontrolu použitelnosti je třeba provést případ od případu, ne podle vlastního vnímání kritičnosti.
Většina slovinských operátorů, které vidíme, bere NIS 2 jako pokračování starého režimu ZInfV. To je zčásti pravda: URSIV je stále gestorem politiky a SI-CERT stále provozuje reakci na incidenty. Rozsah je ale širší, schválení řídícím orgánem je náročnější a 18měsíční lhůta pro zavedení od 19. června 2025 skutečně běží. Ředitel nebo představenstvo nese osobní odpovědnost za schválení řízení rizik a za absolvování požadovaného školení.
Praktický krok je stejný jako všude jinde v EU: potvrdit rozsah podle směrnice, zaregistrovat se u URSIV, zavést čtyři průběžné povinnosti (udržování registrace, hlášení incidentů, riziko dodavatelského řetězce, dohled řídícího orgánu) a zdokumentovat minimum. Stará dokumentace ZInfV pomáhá, ale nenahrazuje dokumentaci opatření ZInfV-1.
- Směrnice (EU) 2022/2555 (NIS 2), EUR-Lex
- Prováděcí nařízení Komise (EU) 2024/2690
- Zakon o informacijski varnosti (ZInfV-1), Úřední věstník Republiky Slovinsko, 4. června 2025
- URSIV, Urad Vlade Republike Slovenije za informacijsko varnost, gov.si
- SI-CERT, národní CSIRT uvnitř veřejného ústavu Arnes, cert.si
- Evropská komise, přehled provádění NIS 2 pro Slovinsko, odůvodněné stanovisko ze 7. května 2025
V praxi
Co mění národní zákon a co ne
Národní zákon mimo jiné určuje, kde se registrujete a komu hlásíte incidenty. Samotná opatření vycházejí ve všech členských státech ze stejného minimálního seznamu (čl. 21 NIS 2). Průvodce vás jimi provede krok za krokem:
Řízení rizik
Sepište, co vaše firma má
Seznam procesů, programů a zařízení, se kterými pracujete.
Řešení incidentů
Naplánujte, co se stane při incidentu
Kdo rozhoduje, komu voláte, jak se spojíte.
Posouzení účinnosti
Zapište přezkoumání vedením
Vedení kontroluje, zda opatření fungují, a schvaluje vaše dokumenty.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
