Art. 23 NIS 2 · § 32 BSIG

Obrigação de notificação NIS2: quando e como notificar incidentes ao BSI

Notifica ao BSI um incidente de segurança significativo em três fases: um alerta precoce no prazo de 24 horas, uma notificação no prazo de 72 horas e um relatório final um mês depois (§ 32 BSIG). O prazo conta a partir do momento em que toma conhecimento dele. A notificação faz-se no portal do BSI.

Experimentar 30 dias, reembolso

Marcar uma chamada

Quem decide é outra pessoa? Uma página para a sua administração Formação gratuita para a sua administração

Simon Orzel·Laufend geprüft

Programas e associações

O que é um incidente de segurança significativo

Um incidente de segurança é um evento que compromete a disponibilidade, a integridade ou a confidencialidade dos seus dados ou serviços (§ 2 n.º 40 BSIG). Só tem de notificar os incidentes significativos.

Um incidente é significativo se causou, ou pode causar, uma de duas coisas (§ 2 n.º 11 BSIG, Art. 23(3) NIS 2): uma perturbação operacional grave ou perdas financeiras para a sua empresa, ou danos consideráveis a terceiros. Para certos prestadores digitais, o Regulamento de Execução (UE) 2024/2690 fixa limiares exatos. Para todos os outros, o BSI diz: um incidente é significativo se cumprir um dos critérios do Art. 3(1) desse regulamento, e sempre que um serviço crítico falhe ou fique afetado.

Perturbação operacional grave

O incidente perturba gravemente a prestação dos seus serviços, ou pode fazê-lo.

Perdas financeiras

O incidente causa perdas financeiras à sua empresa, ou pode causá-las. Para os prestadores digitais abrangidos pelo regulamento de execução, o limiar é uma perda direta superior a 500 000 EUR ou a 5 % do volume de negócios do ano anterior, consoante o valor mais baixo (Art. 3(1)(a)).

Danos a terceiros

O incidente causa a outras pessoas ou empresas danos materiais ou imateriais consideráveis, ou pode causá-los.

Violação de dados

Uma violação de dados só é significativa se cumprir um dos dois critérios, por exemplo porque causa danos consideráveis a terceiros. A notificação segundo o § 32 BSIG existe a par da notificação segundo os Art. 33 e 34 do RGPD. Ambas podem aplicar-se ao mesmo incidente.

Duração

A duração não é um critério autónomo. Para os prestadores digitais abrangidos pelo regulamento de execução, aplicam-se limites de tempo por serviço, por exemplo um serviço de nuvem totalmente indisponível durante mais de 30 minutos (Art. 7(a)).

Em caso de dúvida, notifique cedo. O BSI pede expressamente notificações precoces, mesmo quando ainda há muito por esclarecer. As correções seguem nas notificações posteriores.

Saiba mais

Os prazos

Três notificações com prazos fixos, mais duas que só surgem em certos casos. Os prazos são máximos: notifica sem demora injustificada.

O prazo começa com o conhecimento. Segundo o BSI, é o momento em que um trabalhador da sua empresa toma conhecimento do incidente significativo durante o horário de trabalho.

1

Alerta precoce

24 horas

Um primeiro aviso ao BSI, no máximo 24 horas depois de ter tomado conhecimento do incidente.

Se há suspeita de que o incidente resulta de um ato ilícito ou malicioso
Se pode afetar outros países
Uma primeira classificação do incidente
Quem notifica, e como o BSI pode contactar essa pessoa

2

Notificação de incidente

72 horas

No máximo 72 horas depois de ter tomado conhecimento do incidente. Confirma ou atualiza o alerta precoce.

Uma primeira avaliação da gravidade e do impacto
Sinais dos atacantes (indicadores de comprometimento), quando existam
O que sabe sobre a causa
O que fez e o que ainda pretende fazer

3

Relatório intercalar

A pedido

Só se o BSI o pedir: o ponto da situação.

Estado da contenção e da recuperação
Novos dados sobre a causa, o alcance ou o impacto

4

Relatório final

1 mês após a notificação

No máximo um mês após a notificação do prazo de 72 horas.

Uma descrição pormenorizada do incidente, com gravidade e impacto
O tipo de ameaça ou a causa provável
O que fez e o que ainda está a fazer
Se há outros países afetados

5

Relatório de progresso

Se o incidente continuar

Se o incidente ainda estiver em curso após um mês, apresenta um relatório de progresso em vez do relatório final. O relatório final segue-se quando o incidente estiver resolvido (§ 32(2) BSIG).

O ponto da situação
O que já conseguiu conter

Um exemplo

Uma empresa fictícia. Segunda-feira, 9h00: a contabilidade informa as TI de que há ficheiros cifrados no servidor. A receção de encomendas parou.

Segunda-feira, 9h30: as TI confirmam um ataque. Segundo o plano de incidentes, decide o diretor-geral. Classifica o incidente como significativo porque a atividade está gravemente perturbada.

Segunda-feira, 14h00: o alerta precoce no portal do BSI. Diz o que se sabe e que há suspeita de ataque. O prazo terminaria na terça-feira às 9h00.

Quinta-feira, 9h00, no máximo: a notificação, com uma primeira avaliação da gravidade e do impacto.

Um mês após essa notificação: o relatório final, com a causa e a solução. Se o incidente ainda estiver em curso nessa altura, vem primeiro um relatório de progresso.

Em paralelo, a empresa verifica se há dados pessoais afetados. Se houver, aplica-se também a obrigação de notificação do Art. 33 do RGPD.

O que incluir no alerta precoce

O BSI enumera estes dados para o alerta precoce. O formulário no portal pede-os.

Classificação do incidente, motivo da notificação e situação
Uma descrição provisória: perturbação, impacto, duração prevista e causa suspeita
Quando ocorreu o incidente e quando deu por ele
Setores e tipos de entidade afetados
Se há suspeita de ataque e se outros países podem ser afetados
O que fez até agora e se o incidente está sob controlo
Como o BSI pode contactar a pessoa que notifica

A regra do BSI: rapidez antes de exaustividade. Uma notificação submetida não pode ser retirada. Corrige-a com uma notificação de seguimento.

Como o percurso guiado faz isto

Dois passos do percurso guiado em nisd2.eu preparam-no para a notificação.

"Plan what happens in an incident": as suas respostas dão origem ao seu plano de resposta a incidentes. O plano diz quem decide e como notifica.

"Know how to report an incident": o passo mostra os três prazos e um exemplo de alerta precoce.

Anota se consegue iniciar sessão no portal do BSI e notificar.

No fim, a direção aprova o plano de resposta a incidentes na aplicação.

Escrever o seu plano de incidentes no percurso guiado

Onde notificar, e quem notifica

Notifica ao BSI, normalmente através do portal do BSI.

As notificações segundo o § 32 BSIG vão para o BSI, normalmente através do portal do BSI. Se a sua empresa tiver um incidente significativo antes de se registar, notifica através de um formulário no portal de notificação e informação do BSI (MIP). Os operadores de instalações críticas e as autoridades federais usam, por agora, os seus canais de notificação anteriores.

Qualquer trabalhador com acesso ao portal pode notificar. Cada pessoa precisa do seu próprio certificado de organização do ELSTER e tem de estar associada à sua entidade no portal. Também pode pedir a um prestador de serviços que notifique por si. A responsabilidade pela notificação continua a ser sua.

Os operadores de instalações críticas indicam também o tipo de instalação, o serviço crítico e o impacto sobre ele (§ 32(3) BSIG). Se estiverem em causa dados pessoais, pode ser necessária também uma notificação à autoridade de proteção de dados.

Depois da notificação

O BSI confirma a receção sem demora injustificada, sempre que possível no prazo de 24 horas. A pedido, dá orientações ou aconselhamento (§ 36(1) BSIG).
O BSI pode ordenar-lhe que informe os destinatários dos seus serviços sobre o incidente (§ 35(1) BSIG).
Conte com perguntas de seguimento. O BSI recomenda que os seus avisos cheguem a alguém também fora do horário de expediente.

O que preparar com antecedência

Quem decide se um incidente é significativo, e quem notifica.
O acesso ao portal do BSI para essas pessoas: um certificado de organização para cada uma e a associação à sua entidade.
Os números de telefone das TI, dos prestadores de serviços e da direção, também em papel.
Um plano de incidentes que se consiga encontrar mesmo com os servidores em baixo.

Fontes

Lei do BSI (BSIG), § 2 n.ºs 11 e 40, §§ 32, 35 e 36 (gesetze-im-internet.de/bsig_2025)
Diretiva (UE) 2022/2555 (NIS 2), Art. 23 (eur-lex.europa.eu)
Regulamento de Execução (UE) 2024/2690, Art. 3 e 7
BSI, obrigação de notificação NIS 2: prazos, conteúdo e canal (bsi.bund.de/dok/nis-2-meldepflicht)
BSI, Mein Unternehmenskonto: acesso ao portal do BSI (bsi.bund.de/dok/muk)
Regulamento (UE) 2016/679 (RGPD), Art. 33 e 34

Na prática

Onde isto aparece no percurso guiado

O percurso guiado transforma isto em passos que preenche, com a lei explicada ao lado de cada um. Abra um passo para ver o seu ecrã, preenchido para uma empresa fictícia.

O percurso em si está em alemão e em inglês.

Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.