Estado de NIS 2 en Eslovenia
Lo que exige la directiva, cómo la transpone Eslovenia y dónde encaja URSIV en el conjunto.
Visión general
La Directiva NIS 2 es la capa de la UE. Vincula a todos los Estados miembros, incluida Eslovenia, con un único mínimo de ciberseguridad para las entidades esenciales e importantes. Eslovenia debe incorporar ese mínimo a la legislación eslovena y aplicar un régimen de supervisión a su amparo.
Eslovenia incumplió el plazo de transposición del 17 de octubre de 2024. La Comisión Europea emitió un dictamen motivado el 7 de mayo de 2025 por no notificar la transposición completa. Eslovenia aceleró entonces, publicó la nueva Ley de Seguridad de la Información (Zakon o informacijski varnosti, ZInfV-1) en el Boletín Oficial el 4 de junio de 2025 y la puso en vigor el 19 de junio de 2025.
URSIV (Urad Vlade Republike Slovenije za informacijsko varnost, la Oficina Gubernamental de Seguridad de la Información) es la autoridad nacional competente y el punto de contacto único. Hasta que el Gobierno designe los CSIRT, la gestión de incidentes está dividida: SIGOV-CERT en URSIV para la administración pública, y SI-CERT en el instituto público Arnes para todas las demás entidades. Las entidades esenciales e importantes tienen hasta el 19 de diciembre de 2026 para implementar las medidas de gestión de riesgos en virtud de ZInfV-1; los antiguos operadores de NIS 1, los organismos estatales y los operadores de telecomunicaciones tenían hasta el 19 de junio de 2026.
Directiva de la UE
Directiva (UE) 2022/2555 (NIS 2)
La directiva de ciberseguridad para toda la UE. Fija las obligaciones que todo Estado miembro debe transponer, incluidos los criterios de tamaño y sector para las entidades esenciales e importantes.
Ejecución de la UE
Reglamento de Ejecución (UE) 2024/2690 de la Comisión
Requisitos técnicos y metodológicos para los proveedores de DNS, los registros de TLD, los proveedores de nube, centros de datos y CDN, los proveedores de servicios (de seguridad) gestionados, los mercados en línea, los motores de búsqueda, las redes sociales y los prestadores de servicios de confianza. Directamente aplicable en Eslovenia sin transposición nacional.
Transposición eslovena
Zakon o informacijski varnosti (ZInfV-1), Boletín Oficial de 4 de junio de 2025
La transposición eslovena de NIS 2. Sustituye a la anterior ZInfV (era de NIS 1). Los actos de desarrollo y la orientación de URSIV completan el detalle operativo. Entrada en vigor el 19 de junio de 2025, con una ventana de 18 meses para que las entidades implementen las medidas de gestión de riesgos de los artículos 21 y 22.
ZInfV-1 (Ley de Seguridad de la Información)
Traslada las obligaciones de NIS 2 a la legislación eslovena. Define el perímetro de las entidades esenciales e importantes, las potestades de supervisión de URSIV, los deberes de notificación de incidentes y las sanciones. La ley amplía la población de entidades reguladas mucho más allá del alcance de la ZInfV de NIS 1, tanto a organismos del sector público como a un conjunto más amplio de operadores privados.
URSIV como autoridad competente
URSIV (Urad Vlade Republike Slovenije za informacijsko varnost) es la autoridad nacional competente y el punto de contacto único para NIS 2 en Eslovenia. Ejerce la supervisión, mantiene la lista de entidades esenciales e importantes y publica orientaciones. La gestión de incidentes está dividida hasta que el Gobierno designe los CSIRT: SIGOV-CERT en URSIV para la administración pública, SI-CERT en el instituto público Arnes para todas las demás entidades. Los reguladores sectoriales siguen siendo competentes donde se aplica la lex specialis, en particular las finanzas en virtud de DORA.
Registro y ventana de implementación
ZInfV-1 entró en vigor el 19 de junio de 2025. El primer autorregistro ante URSIV vencía el 19 de diciembre de 2025; las entidades que entren en el ámbito más tarde disponen de 30 días, y los cambios deben comunicarse en un plazo de 10 días hábiles. El registro se hace mediante un formulario web en ursiv.si, y el PDF firmado y el CSV se envían a gp.uiv@gov.si. Las medidas de los artículos 21 y 22 de la ley deben estar implantadas el 19 de diciembre de 2026, o el 19 de junio de 2026 para los antiguos operadores de NIS 1, los organismos estatales y los operadores de telecomunicaciones. Los incidentes significativos siguen la cadencia de la directiva (24 horas, 72 horas, un mes) y, hasta que la plataforma de notificación de URSIV esté operativa, se envían por correo electrónico al CSIRT competente: cert@cert.si o, para la administración pública, cert@gov.si.
La legislación local se aplica dentro de Eslovenia
Las operaciones en territorio esloveno se rigen por la transposición eslovena. Una matriz alemana que dirige una filial eslovena lee ZInfV-1 para esa filial, no el BSIG alemán. Las obligaciones de la directiva son las mismas. El procedimiento, la autoridad y las sanciones residen en la legislación eslovena.
Eslovenia no puede situarse por debajo del mínimo de la UE
La directiva es un instrumento de armonización mínima. Eslovenia puede ir más allá, y ZInfV-1 sí amplía la población regulada más allá del mínimo de la directiva. Eslovenia no puede situarse por debajo de la directiva en los deberes de las entidades esenciales e importantes, los plazos de notificación de incidentes ni la responsabilidad del órgano de dirección.
URSIV
Oficina Gubernamental de Seguridad de la Información. Autoridad nacional competente y punto de contacto único en virtud de NIS 2. Ejerce la supervisión, emite orientación y es el titular de la política de ZInfV-1. Mantiene el registro de entidades esenciales e importantes.
SI-CERT (Arnes)
CSIRT operado dentro del instituto público Arnes (Red Académica y de Investigación de Eslovenia). Hasta que el Gobierno designe los CSIRT, gestiona las notificaciones de incidentes de todas las entidades ajenas a la administración pública; la administración pública notifica a SIGOV-CERT en URSIV. Gestiona la alerta temprana, las alertas y la difusión de información, y se coordina con URSIV.
ENISA
La agencia de ciberseguridad de la UE. Publica orientación, gestiona la base de datos europea de vulnerabilidades y apoya la coordinación transfronteriza. No es supervisor de las entidades eslovenas. Lo es URSIV.
Si seguimos el BSIG alemán estamos cubiertos en Eslovenia.
Las obligaciones sustantivas proceden de la misma directiva, pero el procedimiento, la autoridad competente, el canal de notificación y las sanciones residen en la legislación eslovena. Una filial eslovena se registra ante URSIV, notifica a SI-CERT (o a SIGOV-CERT en el caso de la administración pública) y es supervisada en virtud de ZInfV-1. Leer la ley alemana le da la forma de la directiva pero no el procedimiento local.
Eslovenia incumplió el plazo, así que aún no hay nada en vigor.
ZInfV-1 entró en vigor el 19 de junio de 2025. La ventana de implementación de 18 meses para las medidas de gestión de riesgos de los artículos 21 y 22 corre desde esa fecha, no desde el plazo de la UE. El dictamen motivado de la Comisión del 7 de mayo de 2025 versaba sobre la notificación tardía de la transposición; no suspende las obligaciones de las entidades una vez que la ley nacional está en vigor.
No estamos en un sector crítico, así que ZInfV-1 no nos afecta.
ZInfV-1 cubre todo el perímetro de entidades esenciales e importantes de la directiva y añade los municipios urbanos y los servicios designados en los planes de protección y rescate. El criterio de tamaño se limita por defecto a las medianas y grandes empresas, pero la directiva alcanza a entidades más pequeñas cuando son el único proveedor, cuando una interrupción tiene impacto transfronterizo o cuando la legislación eslovena las designa. La comprobación de aplicabilidad debe hacerse caso por caso, no por autopercepción de criticidad.
La mayoría de los operadores eslovenos que vemos tratan NIS 2 como una continuación del antiguo régimen ZInfV. Eso es en parte cierto: URSIV sigue siendo el titular de la política y SI-CERT sigue gestionando la respuesta a incidentes. El alcance es más amplio, la firma del órgano de dirección es más pesada, y la ventana de implementación de 18 meses desde el 19 de junio de 2025 es un reloj real. El director o el consejo de administración responde personalmente de la aprobación de la gestión de riesgos y de completar la formación exigida.
La medida práctica es la misma que en cualquier otro lugar de la UE: confirmar el ámbito en virtud de la directiva, registrarse ante URSIV, establecer las cuatro obligaciones continuas (mantenimiento del registro, notificación de incidentes, riesgo de la cadena de suministro, supervisión del órgano de dirección) y documentar el mínimo. La documentación de la antigua ZInfV ayuda, pero no sustituye a la documentación de las medidas de ZInfV-1.
- Directiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Reglamento de Ejecución (UE) 2024/2690 de la Comisión
- Zakon o informacijski varnosti (ZInfV-1), Boletín Oficial de la República de Eslovenia, 4 de junio de 2025
- URSIV, Urad Vlade Republike Slovenije za informacijsko varnost, gov.si
- SI-CERT, CSIRT nacional dentro del instituto público Arnes, cert.si
- Comisión Europea, panorama de implementación de NIS 2 para Eslovenia, dictamen motivado de 7 de mayo de 2025
En la práctica
Qué cambia la ley nacional y qué no
La ley nacional determina, entre otras cosas, dónde se registra y a quién notifica los incidentes. Las medidas parten de la misma lista mínima en todos los Estados miembros (art. 21 NIS 2). El recorrido guiado le lleva por ellas paso a paso:
El recorrido está en alemán y en inglés.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
