NIS2 para centros de dados: quando um centro de dados fica sujeito à BSIG
Quem oferece serviços de centro de dados a terceiros, como colocation, é uma entidade importante a partir de 50 trabalhadores ou com mais de 10 milhões de EUR de volume de negócios e de balanço total cada, e uma entidade essencial a partir de 250 trabalhadores (§ 28 BSIG). Uma sala de servidores só para a sua própria empresa não é um serviço oferecido. Se um centro de dados é também uma instalação crítica depende de um limiar próprio.
O que é um serviço de centro de dados
Trata-se da operação completa: salas, bastidores e rede, mais a distribuição de energia e o arrefecimento. Os serviços técnicos do edifício fazem parte do serviço.
Alugar espaço, energia e arrefecimento para os servidores de terceiros (colocation) ou operar os próprios servidores não muda nada quanto a saber se conta como serviço de centro de dados.
§ 2 n.º 35 BSIG · Art. 6(31) NIS 2
‘data centre service’ means a service that encompasses structures, or groups of structures, dedicated to the centralised accommodation, interconnection and operation of IT and network equipment providing data storage, processing and transport services together with all the facilities and infrastructures for power distribution and environmental control;
A partir de que dimensão um prestador está abrangido
Entidade importante: pelo menos 50 trabalhadores, ou um volume de negócios anual e um balanço total superiores a 10 milhões de EUR cada.
Entidade essencial: pelo menos 250 trabalhadores, ou mais de 50 milhões de EUR de volume de negócios e mais de 43 milhões de EUR de balanço total. Isto é possível porque os centros de dados constam do Anexo 1.
Ao contrário, por exemplo, dos serviços de DNS ou dos serviços de confiança qualificados, os centros de dados não estão abrangidos independentemente da dimensão.
A contagem segue a Recomendação 2003/361/CE. As empresas parceiras e as empresas associadas também podem contar.
§ 28(1), (2) e (4) BSIG
A sua própria sala de servidores
Se a sua empresa opera servidores só para si própria, não está a oferecer um serviço de centro de dados. Nesse caso, não fica abrangida por esta linha do Anexo 1.
A sua empresa pode, ainda assim, estar abrangida por outra razão, por exemplo como fabricante, empresa alimentar ou empresa de resíduos. Nesse caso, a sala de servidores faz parte dos sistemas que protege.
Se uma empresa opera um centro de dados mediante pagamento para outras empresas do mesmo grupo, peça uma análise caso a caso.
Quando um centro de dados é uma instalação crítica
Independentemente da dimensão da empresa, um centro de dados pode ser uma instalação crítica. O seu operador é então uma entidade essencial.
Se uma instalação é crítica depende de limiares fixados num regulamento. No Regulamento do BSI sobre Infraestruturas Críticas (BSI-KritisV), o valor para um centro de dados (housing) é de 3,5 megawatts de capacidade contratualmente acordada.
Os operadores de instalações críticas têm mais duas obrigações: usam sistemas de deteção de ataques e comprovam as suas medidas ao BSI de três em três anos.
§ 2 n.º 22, § 28(1) n.º 1, §§ 31 e 39 BSIG
Regras mais detalhadas para prestadores digitais
Os prestadores de serviços de centro de dados estão também sujeitos ao Regulamento de Execução (UE) 2024/2690. Este descreve com mais pormenor os requisitos técnicos para as dez áreas e, nessa medida, prevalece sobre a BSIG.
Fixa também quando um incidente nestes prestadores é significativo e tem de ser notificado.
§ 30(3) BSIG · Regulamento de Execução (UE) 2024/2690
Um exemplo
Uma empresa fictícia: um prestador regional de colocation com 60 trabalhadores, dois locais e clientes PME. Estão contratualmente acordados 2 megawatts de capacidade.
Colocation é um serviço de centro de dados. Com 60 trabalhadores, a empresa é uma entidade importante.
Com 2 megawatts, fica abaixo do valor da BSI-KritisV. Nessa base, o centro de dados não é uma instalação crítica.
Regista-se no BSI e aplica as medidas nos termos do § 30 BSIG, com a profundidade que o Regulamento de Execução (UE) 2024/2690 exige.
A lista dos seus ativos começa pelos serviços técnicos do edifício: ligação à rede elétrica, UPS, energia de reserva, arrefecimento, proteção contra incêndios e acessos. Seguem-se a rede, os bastidores e a monitorização.
Como o percurso guiado faz isto
No percurso guiado em nisd2.eu, o trabalho começa pela lista daquilo com que a sua empresa trabalha.
Um passo pergunta pelos processos, software, equipamentos, salas e redes, e por quem os fornece. Daí resulta a lista dos seus ativos.
No perfil da empresa indica se opera uma instalação crítica. Só então aparece o passo sobre a deteção de ataques e as provas ao BSI.
Ao lado de cada passo está a lei, explicada em palavras simples.
No fim, a direção aprova os documentos na aplicação, com sessão iniciada na sua própria conta.
Perguntas frequentes
O colocation é um serviço de centro de dados na NIS2?
Sim. O colocation disponibiliza salas, energia e arrefecimento para as TI de terceiros. Isso cabe na definição do § 2 n.º 35 BSIG.
A NIS2 aplica-se à nossa própria sala de servidores?
Não como serviço de centro de dados, desde que a opere só para a sua própria empresa. Se a sua empresa estiver abrangida por outra razão, protege a sala de servidores como parte das suas medidas.
A partir de que dimensão um centro de dados está abrangido?
A partir de 50 trabalhadores ou com um volume de negócios anual e um balanço total superiores a 10 milhões de EUR cada (§ 28(2) BSIG). Se o centro de dados for uma instalação crítica, independentemente da dimensão.
Todos os centros de dados são KRITIS?
Não. Um centro de dados só é uma instalação crítica acima de um limiar. Na BSI-KritisV, esse limiar é de 3,5 megawatts de capacidade contratualmente acordada para housing.
Fontes
- Lei do BSI (BSIG), § 2 n.ºs 22 e 35, §§ 28, 30, 31, 39, Anexo 1, gesetze-im-internet.de/bsig_2025
- Diretiva (UE) 2022/2555 (NIS 2), Art. 6(31) e Anexo I, EUR-Lex
- Regulamento de Execução (UE) 2024/2690, EUR-Lex
- BSI-KritisV, Anexo 4, gesetze-im-internet.de/bsi-kritisv
- Recomendação 2003/361/CE da Comissão, EUR-Lex
Na prática
Onde isto aparece no percurso guiado
O percurso guiado transforma isto em passos que preenche, com a lei explicada ao lado de cada um. Abra um passo para ver o seu ecrã, preenchido para uma empresa fictícia.
O percurso em si está em alemão e em inglês.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Quanto custa o percurso guiado
€ 4.800 sem IVA por ano, mais IVA
30 dias para reembolsoPor fatura, com vencimento a 30 dias. Cancelamento nos primeiros 30 dias: fatura anulada ou reembolso.
Implementação guiada da NIS 2, passo a passo
Um histórico de alterações e aprovações para mostrar à sua autoridade de supervisão
Prazos e lembretes para cada requisito
Questionário de segurança para os seus fornecedores
Exportação para PDF ou CSV a qualquer momento
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
