A Nova Obrigação de Segurança das TI para Empresas Alemãs
Se procurou 'IT Sicherheitspflicht', está à procura da NIS2. Desde dezembro de 2025, a BSIG revista torna a cibersegurança uma obrigação legal para cerca de 29 500 empresas alemãs.
A NIS2 É a Obrigação de Segurança das TI de Que Tem Ouvido Falar
Não existe na Alemanha uma 'lei autónoma de obrigação de segurança das TI'. O que existe é a Diretiva NIS2 (UE 2022/2555), transposta para o direito alemão através da NIS2UmsuCG, que reformulou a Lei Federal de Cibersegurança (BSIG). É esta a lei que cria obrigações vinculativas de segurança das TI para empresas nos setores enumerados nos Anexos 1 e 2 da BSIG.
A BSIG entrou em vigor a 6 de dezembro de 2025. Exige que as empresas afetadas implementem 10 medidas específicas de gestão de risco de cibersegurança (Secção 30 BSIG), se registem no BSI, comuniquem incidentes significativos dentro de prazos rigorosos e protejam as suas cadeias de abastecimento. Nos termos da Secção 38 BSIG, a gestão tem de implementar e supervisionar as medidas e responde perante a empresa pelos danos que cause por culpa.
Se a sua empresa tem 50 ou mais trabalhadores, ou ultrapassa 10 milhões de euros tanto de volume de negócios anual como de balanço, e opera num dos setores enumerados nos Anexos 1 e 2 da BSIG, estas obrigações aplicam-se-lhe já. O prazo de registo foi 6 de março de 2026.
Setor
A sua empresa oferece bens ou serviços mediante pagamento num dos setores enumerados nos Anexos 1 e 2 da BSIG: energia, transportes, finanças, saúde, água, infraestrutura digital (incluindo serviços de TI e de segurança geridos), espaço, serviços postais e de estafetas, resíduos, produtos químicos, alimentação, indústria transformadora, serviços digitais, investigação.
Número de Trabalhadores
Tem 50 ou mais trabalhadores. Isto segue a definição de PME da UE e inclui todos os trabalhadores do grupo, não apenas a entidade alemã. Exceção: as empresas parceiras ou associadas não são somadas se as suas TI funcionarem independentemente das delas (§ 28 Abs. 4 BSIG). Os trabalhadores a tempo parcial contam proporcionalmente.
Receitas Anuais
O seu volume de negócios anual ultrapassa 10 milhões de euros E o seu balanço total ultrapassa 10 milhões de euros. Se ultrapassar o limiar de trabalhadores OU o limiar financeiro, está no âmbito.
Serviços Críticos
Algumas estão no âmbito independentemente da dimensão: operadores de instalações críticas (KRITIS), prestadores de serviços de confiança, registos de nomes de domínio de topo (TLD) e prestadores de serviços DNS (§ 28 BSIG).
Registar-se no BSI
Registe-se em dois passos: primeiro crie uma conta no Mein Unternehmenskonto (mein-unternehmenskonto.de, que usa um certificado de organização ELSTER) e depois registe-se no portal do BSI (portal.bsi.bund.de). Esta é uma obrigação legal ao abrigo da Secção 33 BSIG, com a sua própria sanção até 500 000 euros. O portal está disponível desde janeiro de 2026 e o prazo foi 6 de março de 2026. Se o falhou, registe-se de imediato.
Realizar uma Avaliação de Risco
Identifique os seus ativos de TI críticos, avalie os riscos de cada um e documente as decisões de tratamento. A Secção 30 BSIG exige medidas de gestão de risco proporcionais à exposição ao risco. Precisa de um inventário de ativos e de uma avaliação de risco estruturada antes de poder implementar medidas.
Implementar 10 Medidas de Segurança
A Secção 30, n.o 2 BSIG indica 10 áreas: 1 análise de risco e políticas de segurança; 2 tratamento de incidentes; 3 manter a atividade em funcionamento (cópias de segurança, recuperação, gestão de crises); 4 segurança da cadeia de abastecimento; 5 segurança na aquisição, no desenvolvimento e na manutenção de TI, incluindo o tratamento de vulnerabilidades; 6 verificação da eficácia das medidas; 7 formação básica e sensibilização; 8 criptografia; 9 segurança do pessoal, controlo de acessos e gestão de ativos; 10 autenticação multifator e comunicações seguras. Cada área exige políticas documentadas e provas de implementação.
Configurar a Notificação de Incidentes
Os incidentes significativos de cibersegurança têm de ser comunicados ao BSI no prazo de 24 horas (alerta precoce inicial), 72 horas (notificação completa) e 1 mês (relatório final). Defina o que significa um incidente significativo para a sua empresa e estabeleça uma cadeia clara de comunicação antes de algo acontecer.
Manter a Conformidade Contínua
A NIS2 não é um projeto pontual. Mantenha a avaliação de risco atualizada quando as circunstâncias mudam, forme a gestão regularmente (a Secção 38 BSIG exige participação pessoal; a exposição de motivos da lei entende «regularmente» como pelo menos de três em três anos), reveja os fornecedores e continue a monitorizar incidentes.
As entidades essenciais enfrentam coimas até 10 milhões de euros ou 2% do volume de negócios anual global. As entidades importantes enfrentam até 7 milhões de euros ou 1,4%. As violações de registo, por si só, acarretam coimas até 500 000 euros. O BSI pode ordenar o cumprimento (§§ 61, 62 BSIG). Para as entidades particularmente importantes que ignorem as suas ordens, a autoridade setorial competente pode, em último recurso, suspender temporariamente uma licença e afastar temporariamente gestores pouco fiáveis (§ 61 Abs. 9 BSIG).
Para além das coimas, a Secção 38 BSIG cria responsabilidade pessoal para a gestão. Os dirigentes têm de implementar as medidas de cibersegurança, supervisionar a implementação e frequentar formação regularmente. Respondem perante a própria empresa pelos danos causados por culpa, segundo as regras de direito societário da respetiva forma jurídica.
Perguntas Frequentes
A NIS2 é o mesmo que a obrigação de segurança das TI de que ando a ouvir falar?
Sim. Não existe uma lei separada de 'IT Sicherheitspflicht'. A NIS2 é a diretiva da UE que foi transposta para o direito alemão como a BSIG revista, através da NIS2UmsuCG. Quando se fala em novas obrigações de segurança das TI para empresas alemãs, é desta lei que se trata. Está em vigor desde 6 de dezembro de 2025.
Somos uma empresa industrial com 60 pessoas. Isto aplica-se mesmo a nós?
Muito provavelmente sim. A indústria transformadora consta do Anexo II da NIS2 (abrangendo o fabrico de dispositivos médicos, eletrónica, equipamento elétrico, máquinas, veículos a motor e outros equipamentos de transporte). Com 60 trabalhadores, ultrapassa o limiar de 50 trabalhadores. Seria classificada como 'entidade importante' ao abrigo da Secção 28(2) BSIG, e todas as obrigações NIS2 se aplicam.
O prazo de registo já passou. O que devemos fazer?
Registe-se de imediato. Primeiro crie uma conta no Mein Unternehmenskonto (mein-unternehmenskonto.de) e depois registe-se no portal do BSI (portal.bsi.bund.de), que continua a aceitar registos. Um registo tardio é melhor do que nenhum registo. A coima por não registo vai até 500 000 euros (§ 65 BSIG).
O nosso prestador externo de TI pode tratar da conformidade NIS2 por nós?
Pode ajudar a implementar as medidas técnicas, mas a obrigação legal permanece na sua empresa, mesmo que as suas TI estejam totalmente externalizadas. O BSI di-lo nas suas FAQ sobre a NIS-2: tem de assegurar que os seus prestadores implementam as medidas, verificá-las regularmente e garantir que os incidentes são comunicados. A sua gestão continua responsável, nos termos da Secção 38 BSIG, por implementar e supervisionar as medidas. Tem de documentar o que o seu prestador de TI faz, verificar as suas medidas de segurança e incluí-lo no seu processo de gestão de fornecedores.
Quanto custa a conformidade NIS2 a uma empresa do mid-market?
Depende do que já tem. A lei exige medidas adequadas à sua dimensão e ao seu risco, e o custo de as implementar é um dos fatores ponderados (§ 30 Abs. 1 BSIG).
Na prática
Onde isto aparece no percurso guiado
O percurso guiado transforma isto em passos que preenche, com a lei explicada ao lado de cada um. Abra um passo para ver o seu ecrã, preenchido para uma empresa fictícia.
O percurso em si está em alemão e em inglês.
Risk Management
Decide how you rate risks
We recommend a ready-made risk assessment method.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
