Coimas NIS2: o que prevê o § 65 BSIG
O § 65 BSIG fixa montantes máximos. Violar as medidas de segurança ou a obrigação de notificação pode dar origem a uma coima até 10 milhões de EUR (entidade essencial) ou 7 milhões de EUR (entidade importante). Pela falta de registo, o limite é de 500 000 EUR. São limites máximos, não montantes fixos. A autoridade que decide é o BSI.
Que infração tem que limite máximo
Os principais casos do § 65 BSIG. O primeiro montante aplica-se às entidades essenciais, o segundo às entidades importantes. Quando há só um montante, aplica-se a ambas.
| Infração | Máximo |
|---|---|
| Medidas de segurança não tomadas, não tomadas corretamente ou não tomadas a tempo§ 65(2) n.º 2 | 10 M EUR / 7 M EUR |
| Aplicação das medidas não documentada§ 65(2) n.º 3 | 10 M EUR / 7 M EUR |
| Incidente significativo não notificado, notificado de forma errada ou tardia, relatório final em falta§ 65(2) n.ºs 4 e 5 | 10 M EUR / 7 M EUR |
| Ordem do BSI para informar os clientes sobre um incidente não cumprida§ 65(2) n.º 1(d) | 10 M EUR / 7 M EUR |
| Sem registo ou registo tardio, dados não comunicados§ 65(2) n.º 6 | 500 000 EUR |
| Certas ordens do BSI não cumpridas, como a apresentação de provas§ 65(2) n.º 1(c) | 500 000 EUR |
| Acesso, documentos ou informações recusados durante uma inspeção do BSI§ 65(2) n.º 17 | 100 000 EUR |
Os montantes máximos constam do § 65(5) BSIG.
Quando se aplica uma percentagem do volume de negócios
Para empresas muito grandes, a coima pode ser mais elevada: até 2 por cento (entidade essencial) ou 1,4 por cento (entidade importante) do volume de negócios total a nível mundial. Isto só se aplica se esse volume de negócios for superior a 500 milhões de EUR.
Conta o volume de negócios da empresa a que a entidade pertence, no exercício anterior à decisão. Pode ser estimado.
A diretiva da UE prevê o mais elevado entre o montante fixo e a percentagem (Art. 34(4) e (5) NIS 2). A lei alemã liga a percentagem ao limiar de 500 milhões de EUR de volume de negócios.
§ 65(6) a (8) BSIG
Quem decide, e como
As coimas nos termos do § 65 BSIG são aplicadas pelo BSI. Trata-se de contraordenações; o processo segue a lei alemã das contraordenações.
Os montantes são limites máximos. O valor de uma coima no caso concreto depende, segundo a diretiva, de fatores como a gravidade e a duração da infração, infrações anteriores, os danos, o dolo ou a negligência e a cooperação com a autoridade.
Se uma autoridade de proteção de dados já tiver aplicado uma coima pela mesma conduta ao abrigo do RGPD, o BSI não pode aplicar outra coima.
À data da nossa última verificação, em agosto de 2026, o BSI não tinha publicado nenhuma coima ao abrigo da nova BSIG.
§ 65(10) e (11) BSIG · Art. 32(7), Art. 34(3) NIS 2
E a direção?
Independentemente das coimas, o § 38 BSIG fixa as obrigações da direção: aplicar as medidas, supervisionar a sua aplicação, participar regularmente em formação. Se a direção as violar com culpa, responde perante a sua própria empresa pelos danos, nos termos do direito das sociedades.
Nas entidades essenciais, a autoridade de supervisão pode, como último recurso, proibir temporariamente a direção de exercer as suas funções se as ordens do BSI não forem cumpridas apesar de um prazo (§ 61(9) BSIG).
Responsabilidade da direção nos termos do § 38 BSIGO que isto significa para uma empresa com 50 a 150 trabalhadores
Com 50 a 249 trabalhadores, uma empresa é normalmente uma entidade importante. Com esta dimensão, só é essencial se, num setor do Anexo 1, tiver mais de 50 milhões de EUR de volume de negócios e mais de 43 milhões de EUR de balanço total, ou se operar uma instalação crítica (§ 28 BSIG).
Para uma entidade importante, o limite máximo para as medidas e a notificação é, por isso, de 7 milhões de EUR. Uma percentagem do volume de negócios só entra em jogo a partir de 500 milhões de EUR de volume de negócios.
As obrigações com os limites mais elevados são as que são devidas de qualquer forma: tomar as medidas, documentá-las, notificar incidentes significativos.
Um exemplo
Uma empresa fictícia: um fabricante de máquinas-ferramenta com 140 trabalhadores e 28 milhões de EUR de volume de negócios.
O fabrico de máquinas consta do Anexo 2 da BSIG. Com 140 trabalhadores, a empresa é uma entidade importante.
Aplicam-se os limites máximos fixos: até 7 milhões de EUR para as medidas e a notificação, até 500 000 EUR para o registo. Uma percentagem do volume de negócios não entra em jogo.
Como entidade importante, o BSI só a inspeciona se houver factos que indiquem que não cumpre o § 30, o § 32 ou o § 38(3) BSIG (§ 62 BSIG).
A empresa está registada, documentou as suas medidas e sabe quem notifica um incidente. Isso cobre as obrigações a que a lei associa os montantes mais elevados.
Como o percurso guiado faz isto
O percurso guiado em nisd2.eu conduz pelas obrigações a que o § 65 BSIG associa os montantes mais elevados.
Cada uma das dez áreas do § 30(2) BSIG torna-se pelo menos um passo que preenche.
O que decide fica depois por escrito: como documento a partir das suas respostas, ou como lista quando basta uma lista.
Um passo mostra os três prazos de notificação e pergunta se consegue iniciar sessão no portal do BSI e notificar.
Um passo regista o seu registo no BSI.
No fim, a direção aprova os documentos na aplicação, com sessão iniciada na sua própria conta.
Perguntas frequentes
Já foram aplicadas coimas NIS2 na Alemanha?
À data da nossa última verificação, em agosto de 2026, o BSI não tinha publicado nenhuma coima ao abrigo da nova BSIG. Os montantes máximos aplicam-se desde 6 de dezembro de 2025.
A coima é sempre de 10 milhões de EUR?
Não. 10 milhões de EUR é o limite máximo para as entidades essenciais por violações das medidas e da obrigação de notificação. O montante no caso concreto depende de fatores como a gravidade, a duração e as consequências da infração.
A percentagem do volume de negócios aplica-se às PME?
Só se o volume de negócios total da empresa a que a entidade pertence for superior a 500 milhões de EUR (§ 65(6) e (7) BSIG). Caso contrário, aplicam-se os montantes máximos fixos.
Quem aplica as coimas NIS2 na Alemanha?
O BSI (§ 65(10) BSIG).
Pode haver também uma coima ao abrigo do RGPD?
Não pela mesma conduta. Se uma autoridade de proteção de dados já a tiver sancionado com coima, o BSI não pode aplicar outra coima (§ 65(11) BSIG).
Fontes
- Lei do BSI (BSIG), §§ 28, 30, 32, 33, 38, 61, 62, 65, gesetze-im-internet.de/bsig_2025
- Diretiva (UE) 2022/2555 (NIS 2), Art. 32(7) e Art. 34, EUR-Lex
Na prática
Onde isto aparece no percurso guiado
O percurso guiado transforma isto em passos que preenche, com a lei explicada ao lado de cada um. Abra um passo para ver o seu ecrã, preenchido para uma empresa fictícia.
O percurso em si está em alemão e em inglês.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Quanto custa o percurso guiado
€ 4.800 sem IVA por ano, mais IVA
30 dias para reembolsoPor fatura, com vencimento a 30 dias. Cancelamento nos primeiros 30 dias: fatura anulada ou reembolso.
Implementação guiada da NIS 2, passo a passo
Um histórico de alterações e aprovações para mostrar à sua autoridade de supervisão
Prazos e lembretes para cada requisito
Questionário de segurança para os seus fornecedores
Exportação para PDF ou CSV a qualquer momento
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
