O que é a NIS2? A diretiva da UE sobre cibersegurança em palavras simples
A NIS2 é a Diretiva (UE) 2022/2555. Obriga as empresas de 18 setores, em regra a partir de 50 trabalhadores ou com mais de 10 milhões de EUR de volume de negócios e de balanço total cada, a registar-se, a tomar medidas de segurança em dez áreas e a notificar incidentes significativos. A direção é responsável por isso. Cada país da UE transpõe a diretiva para a sua própria lei; na Alemanha aplica-se desde 6 de dezembro de 2025 através da Lei do BSI (BSIG).
Uma diretiva da UE
NIS2 designa a segunda diretiva sobre a segurança das redes e dos sistemas de informação. Foi publicada no Jornal Oficial da UE a 27 de dezembro de 2022 e entrou em vigor a 16 de janeiro de 2023.
O seu objetivo é um elevado nível comum de cibersegurança em toda a UE. Substitui a primeira Diretiva NIS (UE) 2016/1148, revogada a 18 de outubro de 2024.
Uma diretiva não se aplica diretamente às empresas. Cada país da UE transpõe-na para a sua própria lei. O prazo para isso era 17 de outubro de 2024. As obrigações para a sua empresa só surgem com essa lei nacional.
Art. 1, 41, 44 e 45 NIS 2
Quem está abrangido
Uma empresa está abrangida se trabalhar num dos 18 setores dos Anexos I e II e tiver pelo menos média dimensão: a partir de 50 trabalhadores, ou com um volume de negócios anual e um balanço total superiores a 10 milhões de EUR cada.
Alguns prestadores estão abrangidos independentemente da dimensão, como os prestadores de telecomunicações, de serviços de confiança, de domínios de topo e de DNS. Os Estados-Membros podem identificar outras entidades.
Art. 2 e 3 NIS 2 · Recomendação 2003/361/CE
Anexo I: setores de elevada criticidade
- 01Energia
- 02Transportes
- 03Banca
- 04Infraestruturas do mercado financeiro
- 05Saúde
- 06Água potável
- 07Águas residuais
- 08Infraestrutura digital, como nuvem, centros de dados e telecomunicações
- 09Gestão de serviços de TIC para empresas, como serviços geridos
- 10Administração pública
- 11Espaço
Anexo II: outros setores críticos
- 01Serviços postais e de estafetas
- 02Gestão de resíduos
- 03Fabrico, produção e distribuição de produtos químicos
- 04Alimentação: comércio grossista, produção industrial e transformação
- 05Indústria transformadora, como máquinas, eletrónica, dispositivos médicos e veículos
- 06Prestadores digitais: mercados em linha, motores de pesquisa, redes sociais
- 07Investigação
Entidades essenciais e importantes
A diretiva divide as empresas abrangidas em dois grupos. A dimensão conta-se nos termos da Recomendação 2003/361/CE; as empresas associadas e as empresas parceiras também podem contar.
| Dimensão | Quando | Resultado |
|---|---|---|
| Pequena | Menos de 50 trabalhadores, e volume de negócios ou balanço total até 10 M EUR | Em regra, não abrangida |
| Média | A partir de 50 trabalhadores, ou volume de negócios e balanço total acima de 10 M EUR cada | Entidade importante |
| Grande | A partir de 250 trabalhadores, ou volume de negócios acima de 50 M EUR e balanço total acima de 43 M EUR | Anexo I: entidade essencial. Anexo II: entidade importante |
As obrigações são as mesmas para os dois grupos. A supervisão é diferente: a autoridade pode inspecionar as entidades essenciais sem um motivo específico, e as entidades importantes a posteriori, quando há indícios de uma infração (Art. 32 e 33 NIS 2).
As quatro obrigações
Registar-se
Comunica a sua empresa à autoridade competente: nome, endereço, contactos, intervalos de endereços IP, setor e os países onde opera. Comunica as alterações no prazo de duas semanas.
Art. 3(4) NIS 2
Tomar medidas de segurança
Medidas em dez áreas, do tratamento de incidentes às cópias de segurança e à cadeia de abastecimento, até um segundo fator no início de sessão. A profundidade depende do risco, da dimensão e do custo.
Art. 21 NIS 2
Notificar incidentes significativos
Um alerta precoce no prazo de 24 horas, uma notificação de incidente no prazo de 72 horas e um relatório final um mês após a notificação.
Art. 23 NIS 2
Direção
A direção aprova as medidas, supervisiona a sua aplicação e participa em formação. Pode ser responsabilizada por infrações.
Art. 20 NIS 2
O que se aplica às infrações
A diretiva exige que cada país preveja coimas com um máximo de pelo menos 10 milhões de EUR ou 2 por cento do volume de negócios mundial (entidades essenciais), e de 7 milhões de EUR ou 1,4 por cento para as entidades importantes, consoante o que for mais elevado.
A lei alemã fixa os limites máximos em 10 e 7 milhões de EUR. Uma percentagem do volume de negócios só entra aí em jogo acima de 500 milhões de EUR de volume de negócios (§ 65 BSIG).
Nas entidades essenciais, uma pessoa da direção pode, como último recurso, ser temporariamente proibida de exercer funções de direção. A diretiva não prevê isto para as entidades importantes.
À data da nossa última verificação, em agosto de 2026, o BSI não tinha publicado nenhuma coima ao abrigo da nova BSIG.
Art. 32(5) e Art. 34 NIS 2 · § 65 BSIG
As coimas na Alemanha em pormenorO que mudou em relação à NIS 1
Com a primeira Diretiva NIS, os Estados-Membros decidiam em grande parte eles próprios que operadores estavam abrangidos. Com a NIS2, decidem o setor e a dimensão, e as empresas verificam elas próprias se estão abrangidas.
Entre as novidades estão mais setores, prazos de notificação fixos em três fases, as obrigações da direção e uma lista mínima de dez áreas que inclui a cadeia de abastecimento.
Art. 2, 20, 21, 23 e 44 NIS 2
Na Alemanha e nos outros países da UE
Na Alemanha, a NIS2 aplica-se através da NIS2UmsuCG, que reescreveu a Lei do BSI. Entrou em vigor a 6 de dezembro de 2025. A autoridade competente é o BSI. Aí, a entidade essencial chama-se “besonders wichtige Einrichtung” (entidade particularmente importante).
Nos outros países da UE aplica-se a lei nacional, nos Países Baixos por exemplo a Cyberbeveiligingswet. O país competente é aquele onde a sua empresa está estabelecida.
Art. 26 NIS 2 · BGBl. 2025 I n.º 301
O que isto significa para uma empresa com 50 a 150 trabalhadores
Num dos 18 setores, uma empresa destas é normalmente uma entidade importante. Com esta dimensão, só é essencial em exceções: num setor do Anexo I com mais de 50 milhões de EUR de volume de negócios e mais de 43 milhões de EUR de balanço total, como prestador de telecomunicações, ou se o país a identificar como tal.
Tem as mesmas quatro obrigações que uma grande empresa. Mas as medidas só têm de ter a profundidade que o risco, a dimensão e o custo exigem.
A autoridade só inspeciona uma entidade importante quando há indícios de uma infração.
Art. 3, 21(1) e 33 NIS 2
Um exemplo
Uma empresa fictícia: um fabricante de máquinas de embalagem com 110 trabalhadores na Alemanha.
O fabrico de máquinas pertence à indústria transformadora do Anexo II. Com 110 trabalhadores, a empresa é uma entidade importante.
Regista-se no BSI, a autoridade competente na Alemanha.
Escreve aquilo com que trabalha, decide as medidas nas dez áreas e regista num plano de resposta a incidentes quem notifica um incidente.
O gerente participa numa formação, lê os documentos e aprova-os.
Como o percurso guiado faz isto
O percurso guiado em nisd2.eu conduz passo a passo pelas obrigações.
20 passos. Os operadores de instalações críticas têm mais um.
Ao lado de cada passo está a lei, explicada em palavras simples.
O registo, as medidas, a notificação e a formação da direção são passos próprios.
O passo do registo mostra a autoridade competente do seu país e o respetivo portal.
No fim, a direção aprova os documentos na aplicação, com sessão iniciada na sua própria conta. O nome e a data passam a constar de cada documento.
Perguntas frequentes
O que é a NIS2, em termos simples?
Uma diretiva da UE sobre cibersegurança. Obriga as empresas de setores importantes a registar-se, a proteger as suas TI de forma adequada e a notificar rapidamente incidentes significativos. A direção é responsável por isso.
A NIS2 é uma lei?
A NIS2 é uma diretiva. Dirige-se aos países da UE, que a transpõem para a sua própria lei. Na Alemanha, essa lei é a Lei do BSI (BSIG) na redação dada pela NIS2UmsuCG.
A quem se aplica a NIS2?
Às empresas dos 18 setores dos Anexos I e II que tenham pelo menos média dimensão: a partir de 50 trabalhadores ou com mais de 10 milhões de EUR de volume de negócios e de balanço total cada. Alguns prestadores, como os de DNS ou de serviços de confiança, estão abrangidos independentemente da dimensão.
Desde quando se aplica a NIS2?
A diretiva está em vigor desde 16 de janeiro de 2023. Para as empresas, aplica-se através da lei do seu país, na Alemanha desde 6 de dezembro de 2025.
O que significa NIS?
Network and information systems: redes e sistemas de informação. A NIS2 é a segunda diretiva sobre a sua segurança.
Fontes
- Diretiva (UE) 2022/2555 (NIS 2), Art. 1 a 3, 20, 21, 23, 26, 32 a 34, 41, 44, 45 e Anexos I e II, EUR-Lex
- Recomendação 2003/361/CE da Comissão, EUR-Lex
- Lei do BSI (BSIG), § 65, gesetze-im-internet.de/bsig_2025
- NIS2UmsuCG, BGBl. 2025 I n.º 301
Na prática
Onde isto aparece no percurso guiado
O percurso guiado transforma isto em passos que preenche, com a lei explicada ao lado de cada um. Abra um passo para ver o seu ecrã, preenchido para uma empresa fictícia.
O percurso em si está em alemão e em inglês.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Governance & Liability
Get management trained
Every member of management, regularly.
Quanto custa o percurso guiado
€ 4.800 sem IVA por ano, mais IVA
30 dias para reembolsoPor fatura, com vencimento a 30 dias. Cancelamento nos primeiros 30 dias: fatura anulada ou reembolso.
Implementação guiada da NIS 2, passo a passo
Um histórico de alterações e aprovações para mostrar à sua autoridade de supervisão
Prazos e lembretes para cada requisito
Questionário de segurança para os seus fornecedores
Exportação para PDF ou CSV a qualquer momento
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
