§ 32 BSIG: a obrigação de notificar incidentes de segurança significativos
O § 32 BSIG obriga as entidades essenciais e importantes a notificar incidentes de segurança significativos: um alerta precoce no prazo de 24 horas, uma notificação de incidente no prazo de 72 horas e um relatório final um mês após a notificação. Os prazos contam a partir do momento em que toma conhecimento do incidente. Notifica no portal do BSI.
As três notificações
As notificações vão para o ponto de notificação comum do BSI e do Gabinete Federal de Proteção Civil e Assistência em Catástrofes (BBK).
Alerta precoce
Se há suspeita de que o incidente resulta de um ato ilícito ou malicioso, e se pode ter efeitos noutros países. A lei alemã chama-lhe “frühe Erstmeldung”.
§ 32(1) n.º 1
Notificação de incidente
Confirma ou atualiza o alerta precoce. Acrescenta uma primeira avaliação da gravidade e do impacto e, quando existam, sinais dos atacantes (indicadores de comprometimento).
§ 32(1) n.º 2
Relatório final
Um mês após a notificação: o que aconteceu, qual a gravidade, a causa provável, o que fez e está a fazer, e se outros países são afetados.
§ 32(1) n.º 4
Se o BSI o pedir, envia entretanto um relatório intercalar (n.º 3). Se o incidente ainda estiver em curso ao fim de um mês, envia um relatório de progresso em vez do relatório final, e o relatório final quando o incidente estiver resolvido (§ 32(2)).
A obrigação de notificação passo a passoQuando um incidente é significativo
Um incidente de segurança é significativo se causou ou pode causar perturbações graves no seu funcionamento ou perdas financeiras para a sua empresa. Ou se causou ou pode causar danos materiais ou imateriais consideráveis a terceiros.
Para certos prestadores digitais, como nuvem, centros de dados e serviços geridos, o Regulamento de Execução (UE) 2024/2690 fixa limiares mais precisos. Para todos os outros não há números fixos. Decide com base nestes dois critérios e regista porquê.
§ 2 n.º 11 BSIG · Art. 23(3) NIS 2
Quando começa a contar o prazo, e onde notifica
Os prazos contam a partir do conhecimento, não a partir do momento em que tudo está claro. O BSI entende por conhecimento o momento em que alguém na empresa toma conhecimento do incidente durante o horário de trabalho.
Notifica no portal do BSI, com o mesmo acesso usado para o registo. Se ainda não estiver registado, notifica através de um formulário online no portal de notificação e informação do BSI (MIP).
Se forem afetados dados pessoais, notifica normalmente também a autoridade de proteção de dados: sem demora injustificada e, sempre que possível, no prazo de 72 horas, a menos que a violação não seja suscetível de resultar num risco para as pessoas em causa (Art. 33 RGPD). Uma notificação não substitui a outra.
§ 32(1) BSIG · Art. 33 RGPD
O que mais o artigo abrange
§ 32(3): os operadores de instalações críticas indicam também que instalação é afetada e o que o incidente significa para o seu serviço crítico.
§ 32(4): o BSI fixa os pormenores do procedimento e do conteúdo e publica-os no seu sítio web.
§ 32(5): o BSI transmite as notificações às autoridades federais de supervisão competentes.
§ 32(6): o BSI pode oferecer-lhe apoio no tratamento do incidente.
O que isto significa para uma empresa com 50 a 150 trabalhadores
Decida com antecedência quem avalia se um incidente é significativo e quem notifica. Numa emergência há pouco tempo para isso.
Verifique se essa pessoa consegue hoje iniciar sessão no portal do BSI, e quem a substitui. Se só uma pessoa tiver o acesso, as 24 horas ficam apertadas depressa.
Um exemplo
Uma empresa fictícia: um grossista alimentar com 95 trabalhadores. Sexta-feira, 16h00: o software do armazém falha e os camiões não podem ser carregados.
16h30: as TI verificam que os servidores estão cifrados. A partir de agora o prazo está a contar.
17h00: nos termos do plano de resposta a incidentes, o gerente decide. Classifica o incidente como significativo porque o funcionamento está gravemente perturbado.
20h00: o alerta precoce no portal do BSI. Diz que se suspeita de um ataque e que clientes na Áustria podem ser afetados. O prazo teria corrido até sábado às 16h30.
O mais tardar até segunda-feira às 16h30: a notificação de incidente com uma primeira avaliação da gravidade e do impacto.
Um mês após essa notificação: o relatório final, ou um relatório de progresso se o incidente ainda estiver em curso. Em paralelo, a empresa verifica se são afetados dados pessoais.
Como o percurso guiado faz isto
Dois passos do percurso guiado em nisd2.eu preparam-no para a notificação.
"Planear o que acontece num incidente": as suas respostas dão origem ao seu plano de resposta a incidentes. Este diz quem decide e como notifica.
"Saber como notificar um incidente": o passo mostra os três prazos e um exemplo de alerta precoce.
Regista se consegue iniciar sessão no portal do BSI e notificar.
No fim, a direção aprova o plano de resposta a incidentes na aplicação.
Perguntas frequentes
Quando começa o prazo de 24 horas?
A partir do momento em que a sua empresa toma conhecimento do incidente significativo, não a partir do momento em que começou. O BSI entende isto como o momento em que alguém na empresa toma conhecimento dele durante o horário de trabalho.
O que deve constar do alerta precoce?
A lei pede duas coisas: se pode estar por trás um ataque ou outro ato ilícito, e se o incidente pode afetar outros países (§ 32(1) n.º 1 BSIG). O que ainda não sabe, acrescenta na notificação ao fim de 72 horas.
Existem limiares fixos para um incidente significativo?
Só para os prestadores digitais referidos no Regulamento de Execução (UE) 2024/2690. Para todos os outros, aplicam-se os critérios do § 2 n.º 11 BSIG: perturbação grave do funcionamento, perdas financeiras ou danos consideráveis a terceiros.
Também tenho de notificar ao abrigo do RGPD?
Se forem afetados dados pessoais, normalmente sim: à autoridade de proteção de dados, sempre que possível no prazo de 72 horas (Art. 33 RGPD). A notificação ao BSI não a substitui.
Onde notifico?
No portal do BSI, com o acesso do registo. Se ainda não estiver registado, use o formulário online no portal de notificação e informação do BSI.
Fontes
- Lei do BSI (BSIG), § 2 n.º 11 e § 32, gesetze-im-internet.de/bsig_2025
- Diretiva (UE) 2022/2555 (NIS 2), Art. 23, EUR-Lex
- Regulamento de Execução (UE) 2024/2690, EUR-Lex
- BSI: pacote de informação sobre a notificação NIS 2 e guia para notificar no portal do BSI, bsi.bund.de
- Regulamento (UE) 2016/679 (RGPD), Art. 33
Na prática
Onde isto aparece no percurso guiado
O percurso guiado transforma isto em passos que preenche, com a lei explicada ao lado de cada um. Abra um passo para ver o seu ecrã, preenchido para uma empresa fictícia.
O percurso em si está em alemão e em inglês.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Quanto custa o percurso guiado
€ 4.800 sem IVA por ano, mais IVA
30 dias para reembolsoPor fatura, com vencimento a 30 dias. Cancelamento nos primeiros 30 dias: fatura anulada ou reembolso.
Implementação guiada da NIS 2, passo a passo
Um histórico de alterações e aprovações para mostrar à sua autoridade de supervisão
Prazos e lembretes para cada requisito
Questionário de segurança para os seus fornecedores
Exportação para PDF ou CSV a qualquer momento
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
