Estado de NIS 2 en Eslovaquia
Lo que exige la directiva, cómo la transpone Eslovaquia y dónde encaja NBÚ en el conjunto.
Visión general
La Directiva NIS 2 es la capa de la UE. Vincula a todos los Estados miembros, incluida Eslovaquia, a un único nivel mínimo de ciberseguridad para las entidades esenciales e importantes. Eslovaquia debe trasladar ese nivel a la legislación eslovaca y supervisar a su amparo.
Eslovaquia transpone NIS 2 modificando su Ley de Ciberseguridad de 2018 existente. El instrumento es la Ley n.º 366/2024 Z.z., que modifica la Ley n.º 69/2018 Z.z. sobre ciberseguridad. Fue adoptada por el Consejo Nacional el 28 de noviembre de 2024, publicada en la Colección de Leyes el 19 de diciembre de 2024 y entró en vigor el 1 de enero de 2025. Eslovaquia incumplió el plazo de la UE del 17 de octubre de 2024 por unos dos meses y medio, lo que la sitúa en el grupo de Estados miembros a los que la Comisión dirigió cartas de infracción antes de notificarse la transposición completa.
El Národný bezpečnostný úrad (NBÚ, Autoridad Nacional de Seguridad) es la autoridad competente principal y el punto de contacto único. SK-CERT, operado dentro del NBÚ, es el CSIRT nacional. El registro, la notificación de incidentes y la mayoría de los intercambios regulatorios se canalizan a través de JISKB, el Jednotný informačný systém kybernetickej bezpečnosti.
Directiva de la UE
Directiva (UE) 2022/2555 (NIS 2)
La directiva de ciberseguridad para toda la UE. Define las obligaciones que todo Estado miembro debe transponer, incluido el criterio de tamaño y sector para las entidades esenciales e importantes.
Ejecución de la UE
Reglamento de Ejecución (UE) 2024/2690
Requisitos técnicos y metodológicos para los proveedores de DNS, los registros de TLD, los proveedores de nube, centros de datos y CDN, los proveedores de servicios (de seguridad) gestionados, los mercados en línea, los motores de búsqueda, las redes sociales y los prestadores de servicios de confianza. Directamente aplicable en Eslovaquia, sin necesidad de transposición nacional.
Transposición eslovaca
Ley n.º 366/2024 Z.z. (modificación de la Ley n.º 69/2018 Z.z. sobre ciberseguridad), en vigor el 1 de enero de 2025
La transposición eslovaca de NIS 2. Reescribe la Ley de Ciberseguridad de 2018 en lugar de sustituirla. En lugar de los antiguos criterios de umbral, el artículo 17, apartado 1, enumera ahora quién debe inscribirse en el registro de operadores de servicios esenciales, por ejemplo toda entidad de tamaño al menos mediano que opere en un sector del anexo 1 o del anexo 2. Añade las potestades de supervisión y los deberes de notificación que exige NIS 2. Los decretos del NBÚ, como el 226/2025 sobre notificación y el 227/2025 sobre medidas de seguridad, completan el detalle operativo.
Ley n.º 366/2024 Z.z.
Traslada las obligaciones de NIS 2 a la legislación eslovaca modificando la Ley de Ciberseguridad de 2018. Eslovaquia conserva sus propios términos: toda entidad regulada es operador de un servicio esencial (prevádzkovateľ základnej služby), y el nivel superior es operador de un servicio esencial crítico. La ley fija también las potestades de supervisión del NBÚ, el calendario de notificación de incidentes y el régimen sancionador. El detalle operativo se fija en decretos y en la orientación del NBÚ.
NBÚ como supervisor y operador de SK-CERT
El NBÚ es la autoridad competente principal y el punto de contacto único en virtud de NIS 2. Ejerce la supervisión, las auditorías y los procedimientos sancionadores, opera SK-CERT como el CSIRT nacional y gestiona JISKB como el portal central de registro y notificación. Los reguladores sectoriales conservan su papel donde se aplica la lex specialis, en particular para el sector financiero en virtud de DORA.
Registro y notificación
Una entidad que entra en el artículo 17, apartado 1, debe notificarlo al NBÚ en un plazo de 60 días desde el inicio de la actividad y comunicar los cambios en un plazo de 14 días a través de JISKB. Los incidentes significativos se notifican a través de JISKB: alerta temprana en un plazo de 24 horas, notificación en un plazo de 72 horas, informe final a más tardar un mes después de la notificación. Solo una notificación a través de JISKB cumple el deber legal.
En Eslovaquia se aplica la legislación eslovaca
Las actividades en territorio eslovaco se rigen por la transposición eslovaca. Un director gerente alemán con una filial eslovaca lee la Ley 366/2024 (que modifica la Ley 69/2018) para esa filial, no el BSIG. Las obligaciones de nivel de la directiva son idénticas. El procedimiento, el portal y las sanciones residen en la legislación eslovaca.
Eslovaquia no puede situarse por debajo del nivel de la UE
La directiva es de armonización mínima. Eslovaquia puede ir más allá, en particular para los sectores que identificó como críticos en su marco anterior. Eslovaquia no puede situarse por debajo de la directiva, ni en las obligaciones para las entidades esenciales e importantes, ni en los plazos de notificación, ni en la responsabilidad del órgano de dirección.
NBÚ
Národný bezpečnostný úrad. Autoridad competente principal y punto de contacto único en virtud de NIS 2. Ejerce la supervisión, emite decretos de desarrollo y orientación, mantiene el registro de operadores de servicios esenciales y opera JISKB. El punto de contacto para cualquier caso transfronterizo de NIS 2 que implique a Eslovaquia.
SK-CERT
El CSIRT nacional, operado dentro del NBÚ. Recibe las notificaciones de incidentes, coordina con los CSIRT sectoriales y gubernamentales e intercambia con la red de CSIRT a nivel de la UE. Accesible 24/7. La contraparte técnica del papel regulatorio del NBÚ.
ENISA
La agencia de ciberseguridad de la UE. Publica orientación, gestiona la base de datos europea de vulnerabilidades y coordina a nivel transfronterizo. No es supervisor de las entidades eslovacas. Ese papel corresponde al NBÚ.
Las obligaciones eslovacas de NIS 2 son el mismo texto que el BSIG alemán, así que la orientación alemana es suficiente.
Las obligaciones de nivel de la directiva son idénticas, pero la capa procedimental no lo es. Eslovaquia mantiene la estructura de su Ley de Ciberseguridad de 2018, con el NBÚ en lugar del BSI, SK-CERT en lugar de CERT-Bund, JISKB en lugar del portal de registro alemán, y plazos y cifras sancionadoras eslovacos. Una entidad eslovaca que lea solo la orientación del BSIG presentará en el lugar equivocado y citará los artículos equivocados.
Todavía no hay portal de registro, así que podemos esperar.
Eslovaquia opera JISKB (Jednotný informačný systém kybernetickej bezpečnosti) para el registro, las notificaciones y la comunicación de incidentes. Lo opera el NBÚ y es el canal que los operadores regulados utilizan para identificarse ante la autoridad. Esperar a un portal separado que no existe es la razón más común por la que las entidades eslovacas pierden la ventana de registro.
Solo los operadores identificados con los antiguos criterios de umbral entran en el ámbito.
La Ley 366/2024 sustituyó los antiguos criterios de umbral por una lista legal en el artículo 17, apartado 1, de la Ley de Ciberseguridad modificada. Esa lista se apoya en los anexos sectoriales: toda entidad de tamaño al menos mediano en un sector del anexo 1 o del anexo 2 está incluida, además de los organismos estatales, las entidades críticas y varias categorías independientes del tamaño. El resultado es una población sustancialmente mayor de entidades reguladas. La comprobación de aplicabilidad debe rehacerse caso por caso.
La mayoría de los operadores eslovacos del mercado medio que encontramos siguen tratando NIS 2 como una pequeña actualización de la Ley de Ciberseguridad de 2018. La modificación es más que eso. El alcance de las entidades reguladas es más amplio, el órgano de dirección asume ahora una responsabilidad personal por la aprobación del tratamiento de riesgos y por su propia formación, y el calendario de notificación es más exigente que lo que pedía el antiguo régimen.
El paso práctico es el mismo que en toda la UE: ejecutar la comprobación de aplicabilidad frente a la directiva, registrarse a través del portal nacional (aquí JISKB), establecer las cuatro obligaciones continuas (mantener actualizados los datos de registro, notificación de incidentes, riesgo de la cadena de suministro, supervisión por el órgano de dirección) y documentar el mínimo. El proceso existente de la Ley de Ciberseguridad de 2018 ayuda, pero no sustituye a la documentación de las propias medidas de NIS 2.
- Directiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Reglamento de Ejecución (UE) 2024/2690
- Ley n.º 366/2024 Z.z. que modifica la Ley n.º 69/2018 Z.z. sobre ciberseguridad, Slov-Lex
- Ley n.º 69/2018 Z.z. sobre ciberseguridad (texto consolidado), Slov-Lex
- Národný bezpečnostný úrad (NBÚ), sitio oficial
- SK-CERT, equipo nacional de respuesta a incidentes de seguridad informática
- JISKB, Jednotný informačný systém kybernetickej bezpečnosti, operado por el NBÚ
- Comisión Europea, página de implementación de NIS 2 para Eslovaquia
En la práctica
Qué cambia la ley nacional y qué no
La ley nacional determina, entre otras cosas, dónde se registra y a quién notifica los incidentes. Las medidas parten de la misma lista mínima en todos los Estados miembros (art. 21 NIS 2). El recorrido guiado le lleva por ellas paso a paso:
El recorrido está en alemán y en inglés.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
