{"license":"CC-BY-4.0","jurisdiction":{"code":"XK","name_it":"Kosovo","name_en":"Kosovo","name_fr":"Kosovo","name_es":"Kosovo","name_de":"Kosovo","name_local":"Kosova / Kosovo","type":"paese","regions":{"continent":"europe","m49":"Southern Europe"},"national_cyber_agency":{"name":"Cyber Security Agency (Agjencia për Siguri Kibernetike)","name_it":"Agenzia per la cybersicurezza (Agjencia për Siguri Kibernetike)","name_fr":"Agence de cybersécurité (Agjencia për Siguri Kibernetike)","name_es":"Agencia de Ciberseguridad (Agjencia për Siguri Kibernetike)","name_de":"Agentur für Cybersicherheit (Agjencia për Siguri Kibernetike)"},"notes":{"it":"XK è il codice provvisorio usato dall'Unione europea e da altre organizzazioni, perché il Kosovo non ha un codice ISO 3166 ufficiale. L'Agenzia per la cybersicurezza, istituita dalla legge n. 08/L-173 del 2023, opera presso il Ministero degli affari interni e ospita il CERT nazionale.","en":"XK is the provisional code used by the European Union and other organisations, because Kosovo has no official ISO 3166 code. The Cyber Security Agency, established by Law No. 08/L-173 of 2023, operates within the Ministry of Internal Affairs and hosts the national CERT.","fr":"XK est le code provisoire utilisé par l'Union européenne et d'autres organisations, car le Kosovo n'a pas de code ISO 3166 officiel. L'Agence de cybersécurité, créée par la loi n° 08/L-173 de 2023, est rattachée au ministère de l'Intérieur et héberge le CERT national.","es":"XK es el código provisional que utilizan la Unión Europea y otras organizaciones, porque Kosovo no tiene un código ISO 3166 oficial. La Agencia de Ciberseguridad, creada por la Ley n.º 08/L-173 de 2023, está adscrita al Ministerio del Interior y alberga el CERT nacional.","de":"XK ist der vorläufige Code, den die Europäische Union und andere Organisationen verwenden, da Kosovo keinen offiziellen ISO-3166-Code hat. Die mit dem Gesetz Nr. 08/L-173 von 2023 errichtete Agentur für Cybersicherheit ist im Ministerium für Inneres angesiedelt und beherbergt das nationale CERT."}},"documents":[{"id":"23816c8d-412f-5290-aee5-9eefe12f1da3","slug":"xk-ligji-siguria-kibernetike-2023","title_original":"Ligji Nr. 08/L-173 për Sigurinë Kibernetike","title_en":"Kosovo's Law No. 08/L-173 on Cyber Security","title_it":"Legge del Kosovo n. 08/L-173 sulla cybersicurezza","title_fr":"Loi du Kosovo n° 08/L-173 sur la cybersécurité","title_es":"Ley de Kosovo n.º 08/L-173 sobre ciberseguridad","title_de":"Gesetz Nr. 08/L-173 über Cybersicherheit des Kosovo","document_type":"law","jurisdiction":"XK","issuing_body":"Assembly of the Republic of Kosovo","issuing_body_it":"Assemblea della Repubblica del Kosovo","issuing_body_fr":"Assemblée de la République du Kosovo","issuing_body_es":"Asamblea de la República de Kosovo","issuing_body_de":"Versammlung der Republik Kosovo","official_number":"Law No. 08/L-173","official_number_it":"Legge n. 08/L-173","official_number_fr":"Loi n° 08/L-173","official_number_es":"Ley n.º 08/L-173","official_number_de":"Gesetz Nr. 08/L-173","aliases":["08/L-173","Ligji për Sigurinë Kibernetike","Law on Cyber Security"],"date_adopted":"2023-02-02","status":"in_vigore","languages":["sq","sr","en"],"summary":{"it":"La legge stabilisce i principi della cybersicurezza in Kosovo e istituisce l'Agenzia per la cybersicurezza (Agjencia për Siguri Kibernetike), che opera presso il Ministero degli affari interni e ospita il CERT nazionale. Impone agli operatori di servizi essenziali e ai fornitori di servizi digitali misure di sicurezza organizzative e tecniche, la valutazione dei rischi e un CSIRT o almeno un responsabile della sicurezza delle reti e dei sistemi informativi. Gli operatori di servizi essenziali devono notificare all'Agenzia gli incidenti con impatto significativo entro 24 ore, i fornitori di servizi digitali senza indugio. L'Agenzia vigila sul rispetto della legge, può limitare temporaneamente l'uso dei sistemi compromessi, certifica apparati e servizi ICT per le istituzioni pubbliche e propone l'elenco dei fornitori non affidabili; la legge crea anche il Consiglio nazionale per la cybersicurezza e il Centro statale di formazione presso il Ministero della difesa e la Forza di sicurezza del Kosovo. Le persone giuridiche inadempienti rischiano multe da 15 000 a 30 000 euro.","en":"The Law sets out the principles of cyber security in Kosovo and establishes the Cyber Security Agency (Agjencia për Siguri Kibernetike), which operates within the Ministry of Internal Affairs and hosts the national CERT. It requires operators of essential services and digital service providers to take organisational and technical security measures, assess risks and set up a CSIRT or at least appoint a network and information systems security officer. Operators of essential services must notify the Agency of incidents with a significant impact within 24 hours, digital service providers immediately. The Agency supervises compliance, may temporarily restrict the use of compromised systems, certifies ICT equipment and services for public institutions and proposes the list of untrusted providers; the Law also creates the National Cyber Security Council and the State Cyber Security Training Centre within the Ministry of Defence and the Kosovo Security Force. Non-compliant legal entities face fines from EUR 15,000 to 30,000.","fr":"La loi fixe les principes de la cybersécurité au Kosovo et crée l'Agence de cybersécurité (Agjencia për Siguri Kibernetike), rattachée au ministère de l'Intérieur, qui héberge le CERT national. Elle impose aux opérateurs de services essentiels et aux fournisseurs de services numériques des mesures de sécurité organisationnelles et techniques, l'évaluation des risques et un CSIRT ou au moins un responsable de la sécurité des réseaux et des systèmes d'information. Les opérateurs de services essentiels doivent notifier à l'Agence les incidents ayant un impact significatif dans les 24 heures, les fournisseurs de services numériques sans délai. L'Agence contrôle le respect de la loi, peut restreindre temporairement l'utilisation des systèmes compromis, certifie les équipements et services TIC destinés aux institutions publiques et propose la liste des fournisseurs non fiables ; la loi crée aussi le Conseil national de cybersécurité et le Centre national de formation à la cybersécurité au sein du ministère de la Défense et de la Force de sécurité du Kosovo. Les personnes morales défaillantes encourent des amendes de 15 000 à 30 000 euros.","es":"La ley establece los principios de la ciberseguridad en Kosovo y crea la Agencia de Ciberseguridad (Agjencia për Siguri Kibernetike), adscrita al Ministerio del Interior, que alberga el CERT nacional. Exige a los operadores de servicios esenciales y a los proveedores de servicios digitales medidas de seguridad organizativas y técnicas, la evaluación de riesgos y un CSIRT o al menos un responsable de la seguridad de las redes y sistemas de información. Los operadores de servicios esenciales deben notificar a la Agencia los incidentes con un impacto significativo en un plazo de 24 horas, y los proveedores de servicios digitales sin demora. La Agencia supervisa el cumplimiento, puede restringir temporalmente el uso de los sistemas comprometidos, certifica equipos y servicios TIC para las instituciones públicas y propone la lista de proveedores no fiables; la ley crea también el Consejo Nacional de Ciberseguridad y el Centro Estatal de Formación en Ciberseguridad en el Ministerio de Defensa y la Fuerza de Seguridad de Kosovo. Las personas jurídicas que incumplan se exponen a multas de 15 000 a 30 000 euros.","de":"Das Gesetz legt die Grundsätze der Cybersicherheit im Kosovo fest und errichtet die Agentur für Cybersicherheit (Agjencia për Siguri Kibernetike), die im Ministerium für Inneres angesiedelt ist und das nationale CERT beherbergt. Es verpflichtet Betreiber wesentlicher Dienste und Anbieter digitaler Dienste, organisatorische und technische Sicherheitsmaßnahmen zu treffen, Risiken zu bewerten und ein CSIRT einzurichten oder zumindest einen Beauftragten für die Sicherheit von Netz- und Informationssystemen zu benennen. Betreiber wesentlicher Dienste müssen der Agentur Vorfälle mit erheblichen Auswirkungen innerhalb von 24 Stunden melden, Anbieter digitaler Dienste unverzüglich. Die Agentur überwacht die Einhaltung, kann die Nutzung kompromittierter Systeme vorübergehend einschränken, zertifiziert IKT-Geräte und -Dienste für öffentliche Einrichtungen und schlägt die Liste nicht vertrauenswürdiger Anbieter vor; das Gesetz schafft außerdem den Nationalen Rat für Cybersicherheit und das staatliche Ausbildungszentrum für Cybersicherheit beim Verteidigungsministerium und der Kosovo-Sicherheitstruppe. Juristischen Personen, die die Vorschriften nicht einhalten, drohen Geldbußen von 15.000 bis 30.000 EUR."},"topics":["governance","critical-infrastructure","incident-reporting","incident-response","supply-chain"],"scope":{"it":"Operatori di servizi essenziali, cioè soggetti pubblici o privati che possiedono infrastrutture critiche nazionali, e fornitori di servizi digitali (mercati online, motori di ricerca e servizi cloud) con sede o filiale in Kosovo.","en":"Operators of essential services, that is public or private entities owning national critical infrastructure, and digital service providers (online marketplaces, search engines and cloud services) with a seat or branch in Kosovo.","fr":"Opérateurs de services essentiels, c'est-à-dire entités publiques ou privées possédant des infrastructures critiques nationales, et fournisseurs de services numériques (places de marché en ligne, moteurs de recherche et services d'informatique en nuage) ayant leur siège ou une succursale au Kosovo.","es":"Operadores de servicios esenciales, es decir, entidades públicas o privadas que poseen infraestructuras críticas nacionales, y proveedores de servicios digitales (mercados en línea, motores de búsqueda y servicios en la nube) con sede o sucursal en Kosovo.","de":"Betreiber wesentlicher Dienste, also öffentliche oder private Einrichtungen, die nationale kritische Infrastrukturen besitzen, sowie Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen und Cloud-Dienste) mit Sitz oder Niederlassung im Kosovo."},"source_url":"https://gzk.rks-gov.net/ActDetail.aspx?ActID=70933","archive_snapshot_url":"https://web.archive.org/web/https://gzk.rks-gov.net/ActDetail.aspx?ActID=70933","license":"pubblico_dominio","key_dates":[{"date":"2024-08-27","label":{"it":"Pubblicata l'istruzione amministrativa n. 03/2024 sulla notifica degli incidenti: notifica iniziale entro 24 ore, poi rapporti intermedio e finale","en":"Administrative Instruction No. 03/2024 on incident notification is published: initial notification within 24 hours, then interim and final reports","fr":"Publication de l'instruction administrative n° 03/2024 sur la notification des incidents : notification initiale sous 24 heures, puis rapports intermédiaire et final","es":"Se publica la Instrucción administrativa n.º 03/2024 sobre la notificación de incidentes: notificación inicial en 24 horas y después informes intermedio y final","de":"Die Verwaltungsanweisung Nr. 03/2024 über die Meldung von Vorfällen wird veröffentlicht: Erstmeldung innerhalb von 24 Stunden, danach Zwischen- und Abschlussberichte"}}],"notes":{"it":"Approvata dall'Assemblea il 2 febbraio 2023, promulgata con il decreto presidenziale DL-18/2023 del 20 febbraio 2023 e pubblicata nella Gazzetta ufficiale n. 4 del 27 febbraio 2023; entra in vigore quindici giorni dopo la pubblicazione. Recepisce in parte la direttiva 2013/40/UE sugli attacchi contro i sistemi di informazione e la direttiva NIS (UE) 2016/1148, e abroga gli articoli da 5 a 8 della legge n. 03/L-166 sulla criminalità informatica. Tra gli atti di attuazione, l'istruzione amministrativa n. 03/2024 del Ministero degli affari interni, pubblicata il 27 agosto 2024, fissa la procedura di notifica: notifica iniziale entro 24 ore dalla scoperta dell'incidente, primo rapporto intermedio entro 3 giorni lavorativi e rapporto finale entro 15 giorni lavorativi dal ripristino del servizio. La Gazzetta ufficiale pubblica anche la traduzione inglese della legge.","en":"Adopted by the Assembly on 2 February 2023, promulgated by Presidential Decree DL-18/2023 of 20 February 2023 and published in Official Gazette No. 4 of 27 February 2023; it enters into force fifteen days after publication. It partially transposes Directive 2013/40/EU on attacks against information systems and the NIS Directive (EU) 2016/1148, and repeals Articles 5 to 8 of Law No. 03/L-166 on cybercrime. Among the implementing acts, Administrative Instruction No. 03/2024 of the Ministry of Internal Affairs, published on 27 August 2024, sets the notification procedure: initial notification within 24 hours of discovering the incident, first interim report within 3 working days and final report within 15 working days of the service being restored. The Official Gazette also publishes the English translation of the Law.","fr":"Adoptée par l'Assemblée le 2 février 2023, promulguée par le décret présidentiel DL-18/2023 du 20 février 2023 et publiée au Journal officiel n° 4 du 27 février 2023 ; elle entre en vigueur quinze jours après sa publication. Elle transpose en partie la directive 2013/40/UE relative aux attaques contre les systèmes d'information et la directive NIS (UE) 2016/1148, et abroge les articles 5 à 8 de la loi n° 03/L-166 sur la cybercriminalité. Parmi les actes d'application, l'instruction administrative n° 03/2024 du ministère de l'Intérieur, publiée le 27 août 2024, fixe la procédure de notification : notification initiale dans les 24 heures suivant la découverte de l'incident, premier rapport intermédiaire sous 3 jours ouvrables et rapport final sous 15 jours ouvrables après le rétablissement du service. Le Journal officiel publie aussi la traduction anglaise de la loi.","es":"Aprobada por la Asamblea el 2 de febrero de 2023, promulgada por el decreto presidencial DL-18/2023 de 20 de febrero de 2023 y publicada en el Diario Oficial n.º 4 de 27 de febrero de 2023; entra en vigor quince días después de su publicación. Transpone en parte la Directiva 2013/40/UE relativa a los ataques contra los sistemas de información y la Directiva NIS (UE) 2016/1148, y deroga los artículos 5 a 8 de la Ley n.º 03/L-166 sobre ciberdelincuencia. Entre los actos de desarrollo, la Instrucción administrativa n.º 03/2024 del Ministerio del Interior, publicada el 27 de agosto de 2024, fija el procedimiento de notificación: notificación inicial en las 24 horas siguientes al descubrimiento del incidente, primer informe intermedio en 3 días hábiles e informe final en 15 días hábiles desde el restablecimiento del servicio. El Diario Oficial publica también la traducción inglesa de la ley.","de":"Von der Versammlung am 2. Februar 2023 angenommen, durch Präsidialdekret DL-18/2023 vom 20. Februar 2023 verkündet und im Amtsblatt Nr. 4 vom 27. Februar 2023 veröffentlicht; es tritt fünfzehn Tage nach der Veröffentlichung in Kraft. Es setzt die Richtlinie 2013/40/EU über Angriffe auf Informationssysteme und die NIS-Richtlinie (EU) 2016/1148 teilweise um und hebt die Artikel 5 bis 8 des Gesetzes Nr. 03/L-166 über Cyberkriminalität auf. Unter den Durchführungsakten regelt die am 27. August 2024 veröffentlichte Verwaltungsanweisung Nr. 03/2024 des Ministeriums für Inneres das Meldeverfahren: Erstmeldung innerhalb von 24 Stunden nach Entdeckung des Vorfalls, erster Zwischenbericht innerhalb von 3 Arbeitstagen und Abschlussbericht innerhalb von 15 Arbeitstagen nach Wiederherstellung des Dienstes. Das Amtsblatt veröffentlicht auch die englische Übersetzung des Gesetzes."},"ingested_from":"manuale","verified_at":"2026-10-29","verified_by":"Verifica via web","editorial_status":"pubblicato","created_at":"2026-10-29","updated_at":"2026-10-29","superseded_by":[],"url":"https://www.cybersecuritydatabase.org/en/documents/xk-ligji-siguria-kibernetike-2023/"}]}