Requisitos NIS2: o que a sua empresa tem de aplicar
A NIS2 exige medidas de segurança em dez áreas, a notificação de incidentes significativos e o registo no BSI. A direção aplica as medidas e supervisiona-as. O alcance de cada medida depende da dimensão e do risco da sua empresa.
Programas e associações
Os requisitos num relance
A NIS 2 é uma diretiva da UE. Na Alemanha, a Lei do BSI (BSIG) transpõe-na para o direito nacional. As empresas abrangidas chamam-se aí "entidades".
Medidas de segurança em dez áreas
A lista mínima está abaixo, cada área com um exemplo.
Art. 21 NIS 2 · § 30 BSIG
Saiba maisNotificar incidentes significativos
Em três fases ao BSI, a primeira no prazo de 24 horas.
Art. 23 NIS 2 · § 32 BSIG
Saiba maisRegistar-se no BSI
Uma vez, através do portal do BSI. Se algo mudar, comunica-o no prazo de duas semanas.
Art. 3(4) NIS 2 · § 33 BSIG
Saiba maisA direção
Aplica as medidas, supervisiona-as e participa regularmente em formação. A diretiva exige também que a direção aprove as medidas.
Art. 20 NIS 2 · § 38 BSIG
Saiba maisAs dez medidas em palavras simples
O Art. 21(2) NIS 2 enumera dez áreas, na Alemanha o § 30(2) BSIG. Esta é a lista mínima. Para cada área precisa de medidas adequadas à sua empresa.
Análise de risco e política de segurança
Escreve de que TI a sua empresa precisa e o que pode correr mal. Daí resulta uma política de segurança: a forma como a sua empresa gere a segurança da informação.
Por exemplo: Uma lista dos seus sistemas com uma avaliação por risco e uma política de poucas páginas.
Art. 21(2)(a) · § 30(2) n.º 1
Tratamento de incidentes
Define como deteta, contém e resolve um incidente, e quem decide.
Por exemplo: Um plano de incidentes com números de telefone e responsabilidades claras.
Art. 21(2)(b) · § 30(2) n.º 2
Manter a atividade em funcionamento
Cópias de segurança, recuperação após uma emergência e gestão de crises.
Por exemplo: Uma cópia de segurança cuja reposição já testou.
Art. 21(2)(c) · § 30(2) n.º 3
Segurança da cadeia de abastecimento
Tem em conta as vulnerabilidades de cada fornecedor direto e a qualidade dos seus produtos e práticas de segurança (Art. 21(3) NIS 2). Os contratos são o instrumento habitual.
Por exemplo: O seu contrato com o prestador de serviços de TI diz que este lhe comunica incidentes.
Art. 21(2)(d) · § 30(2) n.º 4
Segurança na aquisição, desenvolvimento e manutenção de TI
A segurança aplica-se logo na compra de TI, no desenvolvimento próprio e durante a manutenção. Isso inclui corrigir vulnerabilidades e lidar com elas de forma aberta, por exemplo com um endereço onde outras pessoas possam comunicar as vulnerabilidades que encontrem.
Por exemplo: As atualizações de segurança instalam-se automaticamente.
Art. 21(2)(e) · § 30(2) n.º 5
Avaliar a eficácia
Define como verifica se as medidas funcionam. A lei não impõe testes nem auditorias a todas as entidades.
Por exemplo: Uma vez por ano, a direção revê o que funcionou e o que não funcionou.
Art. 21(2)(f) · § 30(2) n.º 6
Formação básica e sensibilização
Todos os trabalhadores aprendem o básico: reconhecer emails suspeitos, escolher boas palavras-passe, comunicar incidentes.
Por exemplo: Uma formação curta na entrada e uma atualização uma vez por ano.
Art. 21(2)(g) · § 30(2) n.º 7
Criptografia
Define onde e como cifra.
Por exemplo: Portáteis com disco cifrado, e email apenas através de ligações cifradas.
Art. 21(2)(h) · § 30(2) n.º 8
Pessoal, acessos e gestão das TI
Quem pode fazer o quê? Como recebem as pessoas novas os seus acessos, e como os perdem as que saem? Inclui também uma visão geral das suas TI.
Por exemplo: No último dia de trabalho, todos os acessos são bloqueados.
Art. 21(2)(i) · § 30(2) n.º 9
Segundo fator e comunicação segura
Início de sessão com um segundo fator além da palavra-passe, ou com uma verificação contínua de que continua a ser a mesma pessoa a trabalhar. Também voz, vídeo e texto protegidos e, quando necessário, um canal protegido para emergências.
Por exemplo: Um código de uma aplicação ao iniciar sessão no email e no acesso remoto.
Art. 21(2)(j) · § 30(2) n.º 10
Quanto é suficiente?
A lei exige medidas adequadas, proporcionadas e eficazes (§ 30(1) BSIG). O que é proporcionado depende da sua exposição ao risco, da sua dimensão, dos custos, da probabilidade e gravidade dos incidentes e das suas consequências para terceiros.
Põe por escrito o que aplica (§ 30(1), terceira frase, BSIG). A lei não exige um certificado como a ISO 27001. Ainda assim, um certificado pode apoiar a sua prova.
O que significa exatamente "proporcionado"Um exemplo
Uma empresa fictícia: um fabricante de produtos de panificação com 120 trabalhadores que abastece o comércio. A produção industrial de alimentos consta do Anexo 2 da BSIG, por isso a empresa é uma entidade importante. Esta é a sua resposta a três das dez áreas:
Cadeia de abastecimento: a empresa mantém uma lista dos seus prestadores de serviços, por exemplo para a gestão de mercadorias, a monitorização da cadeia de frio e as TI. O contrato de TI diz que o prestador comunica incidentes.
Segundo fator: para o email e o acesso remoto, todos precisam de um código de uma aplicação.
Manter a atividade em funcionamento: as receitas e os planos de produção têm cópia de segurança diária. Uma vez por ano, as TI testam a reposição.
Como o percurso guiado faz isto
No percurso guiado em nisd2.eu, cada uma das dez áreas torna-se pelo menos um passo que preenche.
Ao lado de cada passo está a lei, explicada em palavras simples.
Quando é necessário um documento, ele resulta das suas respostas: política de segurança, plano de resposta a incidentes, plano de continuidade do negócio, política de criptografia, política de pessoal, acessos e ativos, e regras para aquisição, manutenção e vulnerabilidades.
Quando basta uma lista, mantém uma lista: as suas TI, os seus fornecedores, as suas cópias de segurança, as suas formações.
Se decidir não aplicar um ponto, escreve porquê. A direção assina também essa decisão.
No fim, a direção aprova os documentos na aplicação, com sessão iniciada na sua própria conta. O nome e a data passam a constar de cada documento.
Alerta precoce
Se há suspeita de que o incidente resulta de um ataque ou de um ato ilícito, e se pode afetar outros países.
Notificação de incidente
Uma primeira avaliação da gravidade e do impacto, com sinais dos atacantes (indicadores de comprometimento), quando existam.
Relatório final
Um mês após a notificação: o que aconteceu, a causa provável e o que fez para a resolver.
Quem verifica, e quando?
Comprovam as suas medidas ao BSI através de auditorias, inspeções ou certificações. A primeira vez numa data fixada pelo BSI, no mínimo três anos depois de passarem a contar como operadores, e depois a cada três anos (§ 39 BSIG). Têm também de utilizar sistemas de deteção de ataques (§ 31(2) BSIG).
Sem ciclo de auditoria fixo. Põe por escrito o que aplica (§ 30(1) BSIG). O BSI pode verificar e ordenar auditorias por organismos independentes (§ 61(1) e (5) BSIG). Pode pedir provas a partir de 6 de dezembro de 2028, no mínimo (§ 61(3) e (4) BSIG).
Põe por escrito o que aplica. O BSI só verifica quando há factos que indiquem que não cumpre o § 30, o § 32 ou o § 38(3) BSIG (§ 62 BSIG).
- Relatórios de auditoria internos ou externos
- Certificações, como a ISO 27001 ou o BSI IT-Grundschutz
- A sua documentação: avaliação de riscos, medidas aplicadas e a verificação da sua eficácia
Um certificado segundo a ISO 27001 ou o IT-Grundschutz ajuda, mas não cobre automaticamente a BSIG. A lei pode ir além do âmbito de uma certificação.
- Tem em conta as vulnerabilidades de cada fornecedor direto e a qualidade dos seus produtos e práticas de segurança, incluindo o seu desenvolvimento (Art. 21(3) NIS 2).
- Acorda requisitos de segurança com os fornecedores quando fizer sentido, normalmente no contrato. A exposição de motivos da lei dá os contratos como exemplo.
- Só para os prestadores digitais abrangidos pelo Regulamento de Execução (UE) 2024/2690: monitorizam, a intervalos planeados, as alterações nas práticas de segurança dos seus fornecedores (ponto 5.1.6 do Anexo).
Fontes
- Diretiva (UE) 2022/2555 (NIS 2), Art. 3, 20, 21 e 23 (eur-lex.europa.eu)
- Lei do BSI (BSIG), §§ 30, 31, 32, 33, 38, 39, 61 e 62 (gesetze-im-internet.de/bsig_2025)
- BSIG, Anexo 2, n.º 4 produção, transformação e distribuição de alimentos
- Regulamento de Execução (UE) 2024/2690, Art. 3 e ponto 5.1.6 do Anexo
- Proposta de lei do Governo federal alemão para a NIS2UmsuCG, Bundestag, Drucksache 21/1501, exposição de motivos do § 30
Na prática
Onde isto aparece no percurso guiado
O percurso guiado transforma isto em passos que preenche, com a lei explicada ao lado de cada um. Abra um passo para ver o seu ecrã, preenchido para uma empresa fictícia.
O percurso em si está em alemão e em inglês.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Quanto custa o percurso guiado
€ 4.800 sem IVA por ano, mais IVA
30 dias para reembolsoPor fatura, com vencimento a 30 dias. Cancelamento nos primeiros 30 dias: fatura anulada ou reembolso.
Implementação guiada da NIS 2, passo a passo
Um histórico de alterações e aprovações para mostrar à sua autoridade de supervisão
Prazos e lembretes para cada requisito
Questionário de segurança para os seus fornecedores
Exportação para PDF ou CSV a qualquer momento
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.