Estado da NIS 2 na Croácia
O que a diretiva exige, como a Croácia a transpõe, e onde se situam a SOA, o NCSC-HR e o CERT.hr no quadro.
Visão geral
A Diretiva NIS 2 é a camada da UE. Vincula cada Estado-Membro, a Croácia incluída, a um único nível mínimo para entidades essenciais e importantes. A Croácia tem de trazer esse nível para a lei croata e operar a supervisão ao seu abrigo.
A Croácia transpõe a NIS 2 através da Lei de Cibersegurança (Zakon o kibernetičkoj sigurnosti, NN 14/2024), adotada pelo Parlamento croata em janeiro de 2024 e em vigor desde 15 de fevereiro de 2024. O regulamento de execução detalhado (Uredba o kibernetičkoj sigurnosti, NN 135/2024) seguiu-se em novembro de 2024. A Croácia foi um dos poucos Estados-Membros que cumpriu o prazo de transposição de 17 de outubro de 2024 com bastante antecedência.
A supervisão está dividida. A Agência de Segurança e Informações (SOA, Sigurnosno-obavještajna agencija) acolhe o Centro Nacional de Cibersegurança (NCSC-HR) e é a autoridade competente central para a maioria dos setores. O Gabinete do Conselho de Segurança Nacional (UVNS) atua como ponto de contacto único perante a UE. O CERT.hr, operado dentro da CARNet, é o CSIRT nacional operacional e gere a plataforma de notificação de incidentes PiXi.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança de âmbito europeu. Fixa as obrigações que cada Estado-Membro tem de transpor, incluindo o teste de dimensão e de setor para entidades essenciais e importantes.
Ato de execução da UE
Regulamento de Execução (UE) 2024/2690
Medidas técnicas e metodológicas para os fornecedores de infraestruturas digitais. Diretamente aplicável na Croácia, sem transposição nacional.
Transposição croata
Zakon o kibernetičkoj sigurnosti, NN 14/2024 (em vigor a 15 de fevereiro de 2024)
A transposição croata da NIS 2. O regulamento de execução Uredba o kibernetičkoj sigurnosti (NN 135/2024) acrescenta o detalhe operacional, incluindo as modalidades de supervisão e os deveres de autoavaliação das entidades.
Lei de Cibersegurança NN 14/2024
Traz as obrigações da NIS 2 para a lei croata. Define as entidades essenciais e importantes, os poderes de supervisão, os deveres de notificação de incidentes, e as sanções. O regulamento que a acompanha, NN 135/2024, especifica as medidas de cibersegurança e a supervisão com mais detalhe operacional do que a própria diretiva.
SOA, NCSC-HR e UVNS
A Agência de Segurança e Informações (SOA) acolhe o Centro Nacional de Cibersegurança (NCSC-HR), que atua como autoridade competente central para a maioria dos setores. O Gabinete do Conselho de Segurança Nacional (UVNS) é o ponto de contacto único da UE. Os reguladores setoriais mantêm os seus papéis quando se aplica a lex specialis, por exemplo no setor financeiro ao abrigo da DORA.
Registo e notificação
A Croácia cumpriu o prazo de transposição de 17 de outubro de 2024 com bastante antecedência. As entidades essenciais e importantes autoidentificam-se e registam-se através dos canais previstos na NN 14/2024 e na NN 135/2024. Os incidentes significativos seguem o calendário da diretiva: alerta precoce no prazo de 24 horas, notificação no prazo de 72 horas, relatório final no prazo de um mês. A notificação flui através da plataforma PiXi operada pela CARNet, acedida via e-Ovlaštenja.
A atividade croata segue a lei croata
A atividade em território croata segue a transposição croata. Um diretor-geral alemão com uma filial croata lê a NN 14/2024 para essa filial, não o BSIG. As obrigações da diretiva são idênticas. O procedimento, o portal e as sanções residem na lei croata.
A Croácia não pode descer abaixo do nível da UE
A diretiva é uma harmonização mínima. A Croácia pode ir mais longe, e em pontos como o regime de autoavaliação argumentavelmente foi. A Croácia não pode descer abaixo da diretiva, nem quanto às obrigações das entidades essenciais e importantes, nem quanto aos prazos de notificação, nem quanto à responsabilidade do órgão de direção.
SOA / NCSC-HR
A Agência de Segurança e Informações (SOA) acolhe o Centro Nacional de Cibersegurança (NCSC-HR), a autoridade competente central para a supervisão da cibersegurança ao abrigo da NN 14/2024. O NCSC-HR coordena a ação de supervisão e publica orientações. O UVNS situa-se ao lado como ponto de contacto único da UE.
CERT.hr (CARNet)
O CSIRT nacional, operado dentro da CARNet (Rede Académica e de Investigação Croata). Gere a plataforma de notificação PiXi que as entidades essenciais e importantes usam para a notificação obrigatória de incidentes. Trata diretamente dos setores bancário, da infraestrutura dos mercados financeiros, da infraestrutura digital, e da investigação e educação. Os outros setores fluem através das respetivas autoridades de supervisão.
ENISA
A agência de cibersegurança da UE. Publica orientações, opera a base de dados europeia de vulnerabilidades e coordena ao nível transfronteiriço. Não é um regulador das entidades croatas. Esse papel cabe à SOA / NCSC-HR.
A Croácia é apenas uma cópia traduzida do BSIG alemão.
Ambas transpõem a mesma diretiva, mas o procedimento difere. A Croácia encaminha a supervisão através da SOA / NCSC-HR, não de uma agência civil comparável ao BSI. A notificação flui através da plataforma PiXi e do e-Ovlaštenja, não do portal do BSI. A lei croata também formaliza um regime de autoavaliação que o projeto alemão não espelha. O nível da diretiva é idêntico, a camada operacional não.
A Croácia falhou o prazo e não tem canal de registo funcional.
A Croácia adotou a NN 14/2024 em janeiro de 2024 e pô-la em vigor em 15 de fevereiro de 2024, bem antes do prazo da UE de 17 de outubro de 2024. O regulamento de execução NN 135/2024 seguiu-se em novembro de 2024. As entidades essenciais e importantes autoidentificam-se e registam-se ao abrigo da lei, e notificam através da plataforma PiXi via e-Ovlaštenja. Um grupo estrangeiro bloqueado por um suposto processo croata em falta está a ler informação desatualizada.
Só os setores do Anexo I estão no âmbito.
Aplica-se o teste de dimensão e de setor da diretiva, mas a lei e o regulamento também alcançam as entidades importantes nos setores do Anexo II e certas entidades independentemente da dimensão, como a administração pública e fornecedores digitais específicos. A aplicabilidade tem de ser verificada entidade a entidade, face ao texto croata e à diretiva, não face a uma lista setorial isolada.
A maioria dos operadores croatas que encontramos ainda lê a NIS 2 como uma continuação do antigo quadro das infraestruturas críticas. Isto é apenas parcialmente verdade. A supervisão corre agora através da SOA / NCSC-HR com o UVNS como contacto da UE, o âmbito é mais amplo do que sob o antigo regime, e o órgão de direção tem responsabilidade pessoal pela aprovação da gestão de riscos e pela conclusão da sua própria formação.
O passo prático é o mesmo que em qualquer parte da UE: verificar a aplicabilidade face à diretiva, registar-se através dos canais ao abrigo da NN 14/2024 e da NN 135/2024, instituir as quatro obrigações contínuas (manter os dados de registo atualizados, notificação de incidentes, risco da cadeia de fornecimento, supervisão pelo órgão de direção) e documentar o mínimo. A plataforma PiXi e o e-Ovlaštenja são a interface operacional, não a obrigação em si.
- Diretiva (UE) 2022/2555 (NIS 2). EUR-Lex
- Regulamento de Execução (UE) 2024/2690
- Zakon o kibernetičkoj sigurnosti, NN 14/2024. Narodne novine
- Uredba o kibernetičkoj sigurnosti, NN 135/2024. Narodne novine
- SOA. Sigurnosno-obavještajna agencija, sítio oficial
- NCSC-HR. Centro Nacional de Cibersegurança, acolhido pela SOA
- UVNS. Gabinete do Conselho de Segurança Nacional, ponto de contacto único da UE
- CERT.hr. Operado dentro da CARNet, CSIRT nacional
- PiXi. Plataforma croata de notificação de incidentes NIS 2 (CARNet)
Na prática
O que a lei nacional muda, e o que não muda
A lei nacional determina, entre outras coisas, onde se regista e a quem notifica os incidentes. As medidas partem da mesma lista mínima em todos os Estados-Membros (art. 21.º NIS 2). O percurso guiado leva-o por elas passo a passo:
O percurso em si está em alemão e em inglês.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
