Implementar a NIS2: como avançar numa empresa média
Regista a sua empresa no BSI, aplica medidas de segurança em dez áreas e notifica incidentes significativos. A direção supervisiona tudo isto. O rigor de cada medida depende da dimensão e do risco da sua empresa.
Programas e associações
As quatro obrigações
A NIS 2 é uma diretiva da UE. Na Alemanha, a Lei do BSI (BSIG) transpõe-na para o direito nacional. Uma empresa a que se aplica chama-se aí "entidade". Cada entidade tem quatro obrigações.
Registar-se
Regista a sua empresa uma vez no BSI, através do portal do BSI.
- Lei
- Art. 3(4) NIS 2 · § 33 BSIG
- Quem
- Quem gere a conta da empresa no ELSTER
Aplicar medidas e pô-las por escrito
Protege as suas TI em dez áreas, do plano de incidentes ao início de sessão com um segundo fator. Põe por escrito o que decide.
- Lei
- Art. 21 NIS 2 · § 30 BSIG
- Quem
- Quem é responsável pelas TI, internamente ou como prestador de serviços
Notificar incidentes significativos
Notifica ao BSI um incidente de segurança significativo, a primeira notificação no prazo de 24 horas. Um incidente é significativo, por exemplo, quando perturba gravemente a sua atividade.
- Lei
- Art. 23 NIS 2 · § 32 BSIG
- Quem
- Quem decide numa emergência
A direção lidera
A direção aplica as medidas e supervisiona-as. Além disso, participa regularmente em formação. Estas obrigações cabem à própria direção.
- Lei
- Art. 20 NIS 2 · § 38 BSIG
- Quem
- A direção, pessoalmente
O que isto significa com 50 a 150 trabalhadores
Não precisa de uma equipa de segurança própria. A lei não a exige.
Não precisa de um certificado como a ISO 27001. A lei não o exige, mas pode ajudar como prova.
As medidas têm de se adequar à sua empresa. O critério é a sua exposição ao risco, a sua dimensão, os custos e a probabilidade e gravidade dos incidentes (§ 30(1), segunda frase, BSIG).
Põe por escrito o que aplica (§ 30(1), terceira frase, BSIG). As medidas também têm de ser eficazes.
O trabalho é feito por pessoas que já tem: a direção, quem é responsável pelas TI e os departamentos que sabem do que a atividade precisa.
Por que ordem
Cada passo assenta no anterior.
- 1Verificar se a NIS2 se aplica a si. Isso depende do seu setor, do número de trabalhadores e do volume de negócios (§ 28 BSIG).
- 2Registar-se no BSI.
- 3Dar formação à direção.
- 4Escrever que TI a sua empresa utiliza e quem trabalha para si. Depois, avaliar os riscos.
- 5Decidir as medidas e pô-las em documentos: uma política de segurança, planos de emergência e regras para acessos, atualizações e cifragem.
- 6A direção lê os documentos e aprova-os.
- 7Depois disso, verificar regularmente se tudo continua adequado.
Um exemplo
Uma empresa fictícia: um fabricante de sistemas transportadores com 90 trabalhadores. Um funcionário trata das TI, em conjunto com um prestador de serviços externo.
A verificação mostra: o fabrico de máquinas consta do Anexo 2 da BSIG. Com 90 trabalhadores, a empresa conta como entidade importante.
O diretor-geral pede um certificado de organização ao ELSTER. Quando chega a carta com o código de ativação, regista a empresa no portal do BSI.
Participa numa formação para a direção.
O funcionário de TI escreve aquilo de que a empresa depende: ERP, email, software de projeto, controlo da produção, cópias de segurança. Depois, os fornecedores, como o prestador de serviços de TI e o fornecedor do ERP.
Em conjunto, avaliam para cada entrada o que pode acontecer. Uma falha do controlo da produção é o que pesa mais.
Daí resultam os documentos: a política de segurança, um plano de resposta a incidentes, um plano de continuidade do negócio e regras para acessos, atualizações e cifragem.
O diretor-geral lê-os e aprova-os. O plano de resposta a incidentes diz quem decide durante um incidente.
Como o percurso guiado faz isto
O percurso guiado em nisd2.eu conduz a implementação por esta ordem, um passo de cada vez.
20 passos. Os operadores de instalações críticas têm mais um.
Ao lado de cada passo está a lei, explicada em palavras simples.
As suas respostas dão origem a seis documentos, entre eles a política de segurança e os dois planos de emergência.
O que ainda não consegue fazer, põe de lado e continua.
Se decidir não aplicar um ponto, escreve porquê. A direção assina também essa decisão.
No fim, a direção aprova os documentos na aplicação, com sessão iniciada na sua própria conta. O nome e a data passam a constar de cada documento.
Erros comuns
Esperar por orientações definitivas
A BSIG aplica-se desde 6 de dezembro de 2025. A obrigação de aplicar medidas nos termos do § 30 BSIG também se aplica desde então.
Planear em excesso
A lei exige medidas proporcionadas, não as maiores possíveis. Os sistemas de deteção de ataques, por exemplo, só são obrigatórios para operadores de instalações críticas (§ 31(2) BSIG).
Deixar a NIS2 só às TI
A direção tem de aplicar as medidas e supervisioná-las (§ 38(1) BSIG). Envolva-a desde o início.
Esquecer os fornecedores
A segurança da cadeia de abastecimento é uma das dez áreas (§ 30(2) n.º 4 BSIG). Abrange todos os fornecedores e prestadores de serviços diretos, não apenas os de TI.
Só papel
A lei exige medidas eficazes (§ 30(1) BSIG). Um documento que ninguém conhece não protege nada.
Fontes
- Diretiva (UE) 2022/2555 (NIS 2), Art. 3, 20, 21 e 23 (eur-lex.europa.eu)
- Lei do BSI (BSIG) de 2 de dezembro de 2025, §§ 28, 30, 31, 32, 33 e 38, em vigor desde 6 de dezembro de 2025 (gesetze-im-internet.de/bsig_2025)
- BSIG, Anexo 2, n.º 5.4 fabrico de máquinas (gesetze-im-internet.de/bsig_2025/anlage_2.html)
- BSI, Mein Unternehmenskonto e registo no portal do BSI (bsi.bund.de/dok/muk)
Na prática
Onde isto aparece no percurso guiado
O percurso guiado transforma isto em passos que preenche, com a lei explicada ao lado de cada um. Abra um passo para ver o seu ecrã, preenchido para uma empresa fictícia.
O percurso em si está em alemão e em inglês.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Quanto custa o percurso guiado
€ 4.800 sem IVA por ano, mais IVA
30 dias para reembolsoPor fatura, com vencimento a 30 dias. Cancelamento nos primeiros 30 dias: fatura anulada ou reembolso.
Implementação guiada da NIS 2, passo a passo
Um histórico de alterações e aprovações para mostrar à sua autoridade de supervisão
Prazos e lembretes para cada requisito
Questionário de segurança para os seus fornecedores
Exportação para PDF ou CSV a qualquer momento
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.