NIS2 para prestadores de nuvem: quando um prestador de serviços de computação em nuvem está abrangido
Quem oferece um serviço de nuvem a terceiros, seja infraestrutura, plataforma ou software, é uma entidade importante a partir de 50 trabalhadores ou com mais de 10 milhões de EUR de volume de negócios e de balanço total cada, e uma entidade essencial a partir de 250 trabalhadores (§ 28 BSIG). Usar apenas serviços de nuvem não o torna abrangido por esta linha. Os prestadores de nuvem estão também sujeitos ao Regulamento de Execução (UE) 2024/2690.
O que é um serviço de computação em nuvem
Quatro características sustentam a definição: o cliente obtém recursos a pedido, acede-lhes pela rede, o conjunto cresce e diminui com a procura, e vários clientes partilham os recursos.
Isso corresponde a capacidade de computação e armazenamento como serviço (IaaS), a plataformas como bases de dados como serviço (PaaS) e a software que muitos clientes usam pela rede (SaaS).
Um único servidor com capacidade fixa que opera para um cliente normalmente não tem estas características. Pode, no entanto, caber noutra linha, como serviço de centro de dados ou serviço gerido.
§ 2 n.º 4 BSIG · Art. 6(30) NIS 2
‘cloud computing service’ means a digital service that enables on-demand administration and broad remote access to a scalable and elastic pool of shareable computing resources, including where such resources are distributed across several locations;
A partir de que dimensão um prestador está abrangido
Entidade importante: pelo menos 50 trabalhadores, ou um volume de negócios anual e um balanço total superiores a 10 milhões de EUR cada.
Entidade essencial: pelo menos 250 trabalhadores, ou mais de 50 milhões de EUR de volume de negócios e mais de 43 milhões de EUR de balanço total. Isto é possível porque os prestadores de nuvem constam do Anexo 1.
Ao contrário, por exemplo, dos serviços de DNS ou dos serviços de confiança qualificados, os prestadores de nuvem não estão abrangidos independentemente da dimensão.
A contagem segue a Recomendação 2003/361/CE. As empresas parceiras e as empresas associadas também podem contar.
§ 28(1), (2) e (4) BSIG
O que não conta
Usar serviços de nuvem, como email, contabilidade ou armazenamento de um prestador, não é oferecer um serviço de nuvem. Nesse caso, a sua empresa não fica abrangida por esta linha do Anexo 1. O prestador é um dos seus fornecedores, que tem em conta nas suas medidas se a sua empresa estiver abrangida por outra razão.
Uma nuvem que a sua empresa opera só para si própria também não é um serviço oferecido. Se uma empresa a opera mediante pagamento para outras empresas do mesmo grupo, peça uma análise caso a caso.
Regras mais detalhadas para prestadores de nuvem
Os prestadores de serviços de computação em nuvem estão também sujeitos ao Regulamento de Execução (UE) 2024/2690. Este descreve com mais pormenor os requisitos técnicos para as dez áreas e, nessa medida, prevalece sobre a BSIG. Como regulamento, aplica-se com a mesma redação em todos os países da UE.
Fixa também quando um incidente nestes prestadores é significativo e tem de ser notificado.
Para os prestadores de nuvem, é o estabelecimento principal na UE que decide que país é competente: o país onde são tomadas principalmente as decisões sobre cibersegurança. Assim, regista-se num só país da UE, mesmo que ofereça o seu serviço em vários.
§ 30(3) BSIG · Regulamento de Execução (UE) 2024/2690 · Art. 26 NIS 2
E o catálogo C5 do BSI?
O C5 é um catálogo de critérios do BSI para serviços de nuvem. A NIS2 não exige uma atestação C5. Muitos clientes pedem-na, no entanto, e uma atestação existente pode servir de prova das suas medidas.
Um exemplo
Uma empresa fictícia: um fornecedor de software de recursos humanos que cerca de 900 clientes usam pela rede. 60 trabalhadores, 12 milhões de EUR de volume de negócios.
O software corre para todos os clientes numa plataforma partilhada que cresce com a procura. Isso é um serviço de computação em nuvem.
Com 60 trabalhadores, a empresa é uma entidade importante.
Regista-se no BSI, porque as decisões sobre cibersegurança são tomadas na Alemanha.
Aplica as medidas nos termos do § 30 BSIG, com a profundidade que o Regulamento de Execução (UE) 2024/2690 exige.
A lista dos seus ativos abrange a aplicação, as bases de dados, as contas de alojamento, o início de sessão dos clientes e os fornecedores, como o operador do centro de dados.
Como o percurso guiado faz isto
No percurso guiado em nisd2.eu, o trabalho começa pela lista daquilo com que a sua empresa trabalha.
Um passo pergunta pelos processos, software, equipamentos, salas e redes, e por quem os fornece. Daí resulta a lista dos seus ativos.
Um passo mostra em que país da UE se regista, com a regra para os prestadores digitais, como a nuvem.
Ao lado de cada passo está a lei, explicada em palavras simples.
No fim, a direção aprova os documentos na aplicação, com sessão iniciada na sua própria conta.
Perguntas frequentes
O SaaS é um serviço de computação em nuvem na NIS2?
Normalmente sim, se muitos clientes usarem o software pela rede numa plataforma partilhada e escalável. Isso corresponde à definição do Art. 6(30) NIS 2 e do § 2 n.º 4 BSIG.
Só usamos serviços de nuvem. Somos um prestador de nuvem?
Não. Usar serviços de nuvem não é oferecê-los. A sua empresa pode estar abrangida por outra razão; nesse caso, o prestador de nuvem é um dos seus fornecedores.
A partir de que dimensão um prestador de nuvem está abrangido?
A partir de 50 trabalhadores ou com um volume de negócios anual e um balanço total superiores a 10 milhões de EUR cada (§ 28(2) BSIG). A partir de 250 trabalhadores, ou com mais de 50 milhões de EUR de volume de negócios e mais de 43 milhões de EUR de balanço total, é uma entidade essencial.
Onde se regista um prestador de nuvem ativo em vários países da UE?
No país da UE do seu estabelecimento principal, onde são tomadas principalmente as decisões sobre cibersegurança (Art. 26 NIS 2).
Fontes
- Lei do BSI (BSIG), § 2 n.º 4, §§ 28 e 30, Anexo 1, gesetze-im-internet.de/bsig_2025
- Diretiva (UE) 2022/2555 (NIS 2), Art. 6(30), Art. 26 e Anexo I, EUR-Lex
- Regulamento de Execução (UE) 2024/2690, EUR-Lex
- Recomendação 2003/361/CE da Comissão, EUR-Lex
- BSI: catálogo de critérios C5, bsi.bund.de
Na prática
Onde isto aparece no percurso guiado
O percurso guiado transforma isto em passos que preenche, com a lei explicada ao lado de cada um. Abra um passo para ver o seu ecrã, preenchido para uma empresa fictícia.
O percurso em si está em alemão e em inglês.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Quanto custa o percurso guiado
€ 4.800 sem IVA por ano, mais IVA
30 dias para reembolsoPor fatura, com vencimento a 30 dias. Cancelamento nos primeiros 30 dias: fatura anulada ou reembolso.
Implementação guiada da NIS 2, passo a passo
Um histórico de alterações e aprovações para mostrar à sua autoridade de supervisão
Prazos e lembretes para cada requisito
Questionário de segurança para os seus fornecedores
Exportação para PDF ou CSV a qualquer momento
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
