Estado da NIS 2 na Eslovénia
O que a diretiva exige, como a Eslovénia a transpõe, e onde se situa o URSIV no quadro.
Visão geral
A diretiva NIS 2 é a camada da UE. Vincula todos os Estados-Membros, incluindo a Eslovénia, a um piso único de cibersegurança para entidades essenciais e importantes. A Eslovénia tem de transpor esse piso para a lei eslovena e operar um regime de supervisão ao seu abrigo.
A Eslovénia falhou o prazo de transposição de 17 de outubro de 2024. A Comissão Europeia emitiu um parecer fundamentado em 7 de maio de 2025 por não notificação da transposição completa. A Eslovénia acelerou então, publicou a nova Lei de Segurança da Informação (Zakon o informacijski varnosti, ZInfV-1) no Jornal Oficial em 4 de junho de 2025, e pô-la em vigor em 19 de junho de 2025.
O URSIV (Urad Vlade Republike Slovenije za informacijsko varnost, o Gabinete Governamental para a Segurança da Informação) é a autoridade nacional competente e o ponto de contacto único. Até o governo designar os CSIRT, o tratamento de incidentes está repartido: o SIGOV-CERT no URSIV para a administração pública, e o SI-CERT no instituto público Arnes para todas as outras entidades. As entidades essenciais e importantes têm até 19 de dezembro de 2026 para implementar as medidas de gestão de riscos ao abrigo da ZInfV-1; os antigos operadores NIS 1, os organismos do Estado e os operadores de telecomunicações tinham até 19 de junho de 2026.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança de âmbito europeu. Fixa as obrigações que cada Estado-Membro tem de transpor, incluindo os testes de dimensão e de setor para entidades essenciais e importantes.
Execução da UE
Regulamento de Execução (UE) 2024/2690 da Comissão
Requisitos técnicos e metodológicos para os prestadores de DNS, os registos de TLD, os prestadores de serviços de cloud, de centros de dados e de CDN, os prestadores de serviços (de segurança) geridos, os mercados em linha, os motores de pesquisa, as redes sociais e os prestadores de serviços de confiança. Diretamente aplicável na Eslovénia sem transposição nacional.
Transposição eslovena
Zakon o informacijski varnosti (ZInfV-1), Jornal Oficial de 4 de junho de 2025
A transposição eslovena da NIS 2. Substitui a anterior ZInfV (era da NIS 1). Os atos de execução e as orientações do URSIV preenchem o detalhe operacional. Entrada em vigor em 19 de junho de 2025, com uma janela de 18 meses para as entidades implementarem as medidas de gestão de riscos dos Artigos 21 e 22.
ZInfV-1 (Lei de Segurança da Informação)
Leva as obrigações da NIS 2 para a lei eslovena. Define o perímetro das entidades essenciais e importantes, os poderes de supervisão do URSIV, os deveres de notificação de incidentes e as sanções. A lei estende a população de entidades reguladas bem para além do âmbito da ZInfV da NIS 1, abrangendo tanto organismos do setor público como um conjunto mais alargado de operadores privados.
URSIV como autoridade competente
O URSIV (Urad Vlade Republike Slovenije za informacijsko varnost) é a autoridade nacional competente e o ponto de contacto único para a NIS 2 na Eslovénia. Gere a supervisão, mantém a lista das entidades essenciais e importantes e emite orientação. O tratamento de incidentes está repartido até o governo designar os CSIRT: o SIGOV-CERT no URSIV para a administração pública, o SI-CERT no instituto público Arnes para todas as outras entidades. Os reguladores setoriais mantêm-se competentes quando se aplica a lex specialis, em particular as finanças ao abrigo da DORA.
Registo e janela de implementação
A ZInfV-1 entrou em vigor em 19 de junho de 2025. O primeiro autorregisto junto do URSIV era devido até 19 de dezembro de 2025; as entidades que passem a estar abrangidas mais tarde dispõem de 30 dias, e as alterações têm de ser comunicadas no prazo de 10 dias úteis. O registo faz-se através de um formulário web em ursiv.si, com o PDF assinado e o CSV enviados para gp.uiv@gov.si. As medidas previstas nos artigos 21 e 22 da lei são devidas até 19 de dezembro de 2026, ou até 19 de junho de 2026 para os antigos operadores NIS 1, os organismos do Estado e os operadores de telecomunicações. Os incidentes significativos seguem a cadência da diretiva (24 horas, 72 horas, um mês) e, enquanto a plataforma de notificação do URSIV não estiver ativa, seguem por correio eletrónico para o CSIRT competente: cert@cert.si ou, para a administração pública, cert@gov.si.
A lei local aplica-se dentro da Eslovénia
As operações em território esloveno seguem a transposição eslovena. Uma empresa-mãe alemã que gere uma filial eslovena lê a ZInfV-1 para essa filial, não o BSIG alemão. As obrigações da diretiva são as mesmas. O procedimento, a autoridade e as sanções residem na lei eslovena.
A Eslovénia não pode descer abaixo do piso da UE
A diretiva é um instrumento de harmonização mínima. A Eslovénia pode ir mais longe, e a ZInfV-1 estende de facto a população regulada para além do mínimo da diretiva. A Eslovénia não pode descer abaixo da diretiva quanto aos deveres das entidades essenciais e importantes, aos prazos de notificação de incidentes ou à responsabilização do órgão de direção.
URSIV
Gabinete Governamental para a Segurança da Informação. Autoridade nacional competente e ponto de contacto único ao abrigo da NIS 2. Gere a supervisão, emite orientações, e é o titular da política da ZInfV-1. Mantém o registo das entidades essenciais e importantes.
SI-CERT (Arnes)
CSIRT operado dentro do instituto público Arnes (Rede Académica e de Investigação da Eslovénia). Até o governo designar os CSIRT, trata as notificações de incidentes de todas as entidades fora da administração pública; a administração pública notifica o SIGOV-CERT no URSIV. Gere o alerta precoce, os alertas e a divulgação de informação, e coordena-se com o URSIV.
ENISA
A agência de cibersegurança da UE. Publica orientações, gere a base de dados europeia de vulnerabilidades e apoia a coordenação transfronteiriça. Não é um supervisor das entidades eslovenas. O URSIV é.
Se seguirmos o BSIG alemão estamos cobertos na Eslovénia.
As obrigações substantivas vêm da mesma diretiva, mas o procedimento, a autoridade competente, o canal de notificação e as sanções residem na lei eslovena. Uma filial eslovena regista-se junto do URSIV, notifica o SI-CERT (ou o SIGOV-CERT, na administração pública), e é supervisionada ao abrigo da ZInfV-1. Ler a lei alemã dá-lhe a forma da diretiva, mas não o procedimento local.
A Eslovénia falhou o prazo, por isso ainda nada está em vigor.
A ZInfV-1 entrou em vigor em 19 de junho de 2025. A janela de implementação de 18 meses para as medidas de gestão de riscos dos Artigos 21 e 22 corre a partir dessa data, não a partir do prazo da UE. O parecer fundamentado da Comissão de 7 de maio de 2025 dizia respeito à notificação tardia da transposição; não suspende as obrigações das entidades uma vez que a lei nacional está em vigor.
Não estamos num setor crítico, por isso a ZInfV-1 não nos toca.
A ZInfV-1 cobre todo o perímetro de entidades essenciais e importantes da diretiva e acrescenta os municípios urbanos e os serviços nomeados nos planos de proteção e salvamento. O teste de dimensão limita-se por defeito às médias e grandes empresas, mas a diretiva capta entidades mais pequenas quando são o único fornecedor, quando a perturbação tem impacto transfronteiriço, ou quando a lei eslovena as nomeia. A verificação de aplicabilidade tem de ser feita caso a caso, não pela autoperceção de criticidade.
A maioria dos operadores eslovenos que vemos trata a NIS 2 como uma continuação do antigo regime ZInfV. Isto é parcialmente correto: o URSIV continua a ser o titular da política e o SI-CERT continua a gerir a resposta a incidentes. O âmbito é mais amplo, a aprovação pelo órgão de direção é mais pesada, e a janela de implementação de 18 meses a partir de 19 de junho de 2025 é um relógio real. O diretor ou o conselho de administração responde pessoalmente pela aprovação da gestão de riscos e pela conclusão da formação exigida.
O passo prático é o mesmo que em qualquer outro lugar da UE: confirmar o âmbito ao abrigo da diretiva, registar-se junto do URSIV, instituir as quatro obrigações contínuas (manutenção do registo, notificação de incidentes, risco da cadeia de fornecimento, supervisão pelo órgão de direção) e documentar o mínimo. A antiga documentação ZInfV ajuda, mas não substitui a documentação das medidas da ZInfV-1.
- Diretiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regulamento de Execução (UE) 2024/2690 da Comissão
- Zakon o informacijski varnosti (ZInfV-1), Jornal Oficial da República da Eslovénia, 4 de junho de 2025
- URSIV, Urad Vlade Republike Slovenije za informacijsko varnost, gov.si
- SI-CERT, CSIRT nacional dentro do instituto público Arnes, cert.si
- Comissão Europeia, panorama de implementação da NIS 2 para a Eslovénia, parecer fundamentado de 7 de maio de 2025
Na prática
O que a lei nacional muda, e o que não muda
A lei nacional determina, entre outras coisas, onde se regista e a quem notifica os incidentes. As medidas partem da mesma lista mínima em todos os Estados-Membros (art. 21.º NIS 2). O percurso guiado leva-o por elas passo a passo:
O percurso em si está em alemão e em inglês.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
