Estado da NIS 2 na Eslováquia
O que a diretiva exige, como a Eslováquia a transpõe, e onde se situa o NBÚ no quadro.
Visão geral
A Diretiva NIS 2 é a camada da UE. Vincula cada Estado-Membro, incluindo a Eslováquia, a um único nível mínimo de cibersegurança para entidades essenciais e importantes. A Eslováquia tem de inscrever esse nível na lei eslovaca e supervisionar ao seu abrigo.
A Eslováquia transpõe a NIS 2 alterando a sua Lei de Cibersegurança de 2018 existente. O veículo é a Lei n.o 366/2024 Z.z., que altera a Lei n.o 69/2018 Z.z. sobre cibersegurança. Foi adotada pelo Conselho Nacional em 28 de novembro de 2024, publicada na Coletânea de Leis em 19 de dezembro de 2024 e entrou em vigor em 1 de janeiro de 2025. A Eslováquia falhou o prazo da UE de 17 de outubro de 2024 por cerca de dois meses e meio, o que a coloca no grupo de Estados-Membros que a Comissão interpelou por cartas de incumprimento antes de a transposição completa ser notificada.
O Národný bezpečnostný úrad (NBÚ, Autoridade Nacional de Segurança) é a autoridade competente principal e ponto de contacto único. O SK-CERT, operado dentro do NBÚ, é o CSIRT nacional. O registo, a notificação de incidentes e a maior parte das interações regulatórias correm através do JISKB, o Jednotný informačný systém kybernetickej bezpečnosti.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança de âmbito europeu. Define as obrigações que cada Estado-Membro tem de transpor, incluindo o teste de dimensão e de setor para entidades essenciais e importantes.
Execução da UE
Regulamento de Execução (UE) 2024/2690
Requisitos técnicos e metodológicos para os prestadores de DNS, os registos de TLD, os prestadores de serviços de cloud, de centros de dados e de CDN, os prestadores de serviços (de segurança) geridos, os mercados em linha, os motores de pesquisa, as redes sociais e os prestadores de serviços de confiança. Diretamente aplicável na Eslováquia, sem transposição nacional necessária.
Transposição eslovaca
Lei n.o 366/2024 Z.z. (alteração à Lei n.o 69/2018 Z.z. sobre cibersegurança), em vigor em 1 de janeiro de 2025
A transposição eslovaca da NIS 2. Reescreve a Lei de Cibersegurança de 2018 em vez de a substituir. Em vez dos antigos critérios de limiar, a secção 17(1) enumera agora quem tem de constar do registo de operadores de serviços essenciais, por exemplo qualquer entidade de dimensão pelo menos média ativa num setor do Anexo 1 ou do Anexo 2. Acrescenta os poderes de supervisão e os deveres de notificação exigidos pela NIS 2. Os decretos do NBÚ, como o 226/2025 sobre a notificação e o 227/2025 sobre as medidas de segurança, preenchem o detalhe operacional.
Lei n.o 366/2024 Z.z.
Traz as obrigações da NIS 2 para a lei eslovaca alterando a Lei de Cibersegurança de 2018. A Eslováquia mantém os seus próprios termos: cada entidade regulada é um operador de um serviço essencial (prevádzkovateľ základnej služby), e o nível superior é um operador de um serviço essencial crítico. A lei fixa também os poderes de supervisão do NBÚ, o calendário de notificação de incidentes e o regime sancionatório. O detalhe operacional é fixado em decretos e orientações do NBÚ.
NBÚ como supervisor e operador do SK-CERT
O NBÚ é a autoridade competente principal e o ponto de contacto único ao abrigo da NIS 2. Gere a supervisão, as auditorias e os procedimentos sancionatórios, opera o SK-CERT como CSIRT nacional, e gere o JISKB como portal central de registo e notificação. Os reguladores setoriais mantêm o seu papel quando se aplica a lex specialis, em particular para o setor financeiro ao abrigo da DORA.
Registo e notificação
Uma entidade abrangida pela secção 17(1) tem de notificar o NBÚ no prazo de 60 dias após o início da atividade, e comunicar as alterações no prazo de 14 dias através do JISKB. Os incidentes significativos são comunicados através do JISKB: alerta precoce no prazo de 24 horas, notificação no prazo de 72 horas, relatório final o mais tardar um mês após a notificação. Só uma comunicação através do JISKB conta como cumprimento do dever legal.
Na Eslováquia, aplica-se a lei eslovaca
As atividades em território eslovaco seguem a transposição eslovaca. Um diretor-geral alemão com uma filial eslovaca lê a Lei 366/2024 (que altera a Lei 69/2018) para essa filial, não o BSIG. As obrigações ao nível da diretiva são idênticas. O procedimento, o portal e as sanções residem na lei eslovaca.
A Eslováquia não pode descer abaixo do nível da UE
A diretiva é de harmonização mínima. A Eslováquia pode ir mais longe, em particular para setores que identificou como críticos ao abrigo do seu quadro anterior. A Eslováquia não pode descer abaixo da diretiva, nem quanto às obrigações das entidades essenciais e importantes, nem quanto aos prazos de notificação, nem quanto à responsabilização do órgão de direção.
NBÚ
Národný bezpečnostný úrad. Autoridade competente principal e ponto de contacto único ao abrigo da NIS 2. Gere a supervisão, emite decretos de execução e orientações, mantém o registo dos operadores de serviços essenciais, e opera o JISKB. O ponto de contacto para qualquer caso transfronteiriço da NIS 2 que envolva a Eslováquia.
SK-CERT
O CSIRT nacional, operado dentro do NBÚ. Recebe as notificações de incidentes, coordena-se com os CSIRT setoriais e governamentais, e troca informação com a rede de CSIRT ao nível da UE. Contactável 24 horas por dia, 7 dias por semana. A contraparte técnica do papel regulatório do NBÚ.
ENISA
A agência de cibersegurança da UE. Publica orientações, gere a base de dados europeia de vulnerabilidades e coordena ao nível transfronteiriço. Não é um supervisor das entidades eslovacas. Esse papel cabe ao NBÚ.
As obrigações eslovacas da NIS 2 têm o mesmo texto que o BSIG alemão, por isso a orientação alemã chega.
As obrigações ao nível da diretiva são idênticas, mas a camada processual não é. A Eslováquia mantém a estrutura da sua Lei de Cibersegurança de 2018, com o NBÚ em vez do BSI, o SK-CERT em vez do CERT-Bund, o JISKB em vez do portal de registo alemão, e prazos e valores de sanção eslovacos. Uma entidade eslovaca que leia apenas a orientação do BSIG vai apresentar no sítio errado e citar os artigos errados.
Ainda não há portal de registo, por isso podemos esperar.
A Eslováquia opera o JISKB (Jednotný informačný systém kybernetickej bezpečnosti) para registo, notificações e comunicação de incidentes. É operado pelo NBÚ e é o canal que os operadores regulados usam para se identificarem à autoridade. Esperar por um portal separado que não existe é a razão mais comum para as entidades eslovacas falharem a janela de registo.
Só os operadores identificados segundo os antigos critérios de limiar estão no âmbito.
A Lei 366/2024 substituiu os antigos critérios de limiar por uma lista legal na secção 17(1) da Lei de Cibersegurança alterada. Essa lista assenta nos anexos setoriais: qualquer entidade de dimensão pelo menos média num setor do Anexo 1 ou do Anexo 2 está abrangida, além dos organismos do Estado, das entidades críticas e de várias categorias independentes da dimensão. O resultado é uma população substancialmente maior de entidades reguladas. A verificação de aplicabilidade tem de ser refeita caso a caso.
A maioria dos operadores eslovacos do mercado médio que encontramos ainda trata a NIS 2 como uma pequena atualização da Lei de Cibersegurança de 2018. A alteração é mais do que isso. O âmbito das entidades reguladas é mais amplo, o órgão de direção passa a ter responsabilidade pessoal pela aprovação do tratamento de riscos e pela sua própria formação, e o calendário de notificação é mais exigente do que o que o antigo regime pedia.
O passo prático é o mesmo que em toda a UE: fazer a verificação de aplicabilidade face à diretiva, registar-se através do portal nacional (aqui o JISKB), instituir as quatro obrigações contínuas (manter os dados de registo atualizados, notificação de incidentes, risco da cadeia de fornecimento, supervisão pelo órgão de direção), e documentar o mínimo. O processo existente da Lei de Cibersegurança de 2018 ajuda, mas não substitui a documentação das próprias medidas da NIS 2.
- Diretiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regulamento de Execução (UE) 2024/2690
- Lei n.o 366/2024 Z.z. que altera a Lei n.o 69/2018 Z.z. sobre cibersegurança, Slov-Lex
- Lei n.o 69/2018 Z.z. sobre cibersegurança (texto consolidado), Slov-Lex
- Národný bezpečnostný úrad (NBÚ), sítio oficial
- SK-CERT, equipa nacional de resposta a incidentes de segurança informática
- JISKB, Jednotný informačný systém kybernetickej bezpečnosti, operado pelo NBÚ
- Comissão Europeia, página de implementação da NIS 2 para a Eslováquia
Na prática
O que a lei nacional muda, e o que não muda
A lei nacional determina, entre outras coisas, onde se regista e a quem notifica os incidentes. As medidas partem da mesma lista mínima em todos os Estados-Membros (art. 21.º NIS 2). O percurso guiado leva-o por elas passo a passo:
O percurso em si está em alemão e em inglês.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
