Sou um prestador de serviços de confiança ao abrigo da NIS 2?
Os prestadores de serviços de confiança situam-se no Anexo I setor 8 da NIS 2. O artigo 2.º, n.º 2, alínea a), subalínea ii), abrange-os independentemente da dimensão, qualificados e não qualificados. A dimensão só decide a categoria: os prestadores qualificados são sempre entidades essenciais. O eIDAS situa-se em paralelo e rege o próprio serviço de confiança.
A versão curta
Um prestador de serviços de confiança é qualquer pessoa que presta um ou mais serviços de confiança conforme definido no artigo 3.o, n.o 16 do Regulamento eIDAS (UE) 910/2014: assinaturas eletrónicas, selos eletrónicos, selos temporais eletrónicos, envio registado eletrónico, certificados de autenticação de sítios web, ou a conservação de qualquer destes. O Anexo I setor 8 da NIS 2 nomeia os prestadores de serviços de confiança explicitamente como parte da Infraestrutura Digital.
O artigo 2.º, n.º 2, alínea a), subalínea ii), da NIS 2 aciona depois uma alavanca que não se aplica à maioria dos outros setores: os prestadores de serviços de confiança estão no âmbito independentemente da dimensão. Os prestadores qualificados de serviços de confiança, conforme definido no artigo 3.º, ponto 20, do eIDAS, são também sempre entidades essenciais (artigo 3.º, n.º 1, alínea b), da NIS 2). Um TSP qualificado de duas pessoas que emite certificados qualificados para assinaturas eletrónicas está vinculado do mesmo modo que uma AC de 500 pessoas. O limiar de média empresa do artigo 2.o, n.o 1 não os condiciona.
Os TSP não qualificados também estão no âmbito, seja qual for a sua dimensão. Um prestador não qualificado de grande dimensão é uma entidade essencial, um mais pequeno é uma entidade importante (artigo 3.º, n.º 1, alínea a), e n.º 2, da NIS 2). Na Alemanha, o §28 BSIG faz dos TSP qualificados besonders wichtige Einrichtungen e dos outros TSP wichtige Einrichtungen. Dois regimes correm em paralelo de qualquer forma: o eIDAS para o próprio serviço de confiança, a NIS 2 para os deveres cibernéticos transversais à organização (formação da direção do artigo 20.o, comunicação de incidentes significativos do §32 BSIG, medidas de gestão de riscos do artigo 21.o).
Diretiva NIS 2 (2022/2555), Anexo I setor 8 (Infraestrutura Digital)
Fornecedores de pontos de troca de tráfego; Prestadores de serviços de DNS, excluindo operadores de servidores de nomes raiz; Registos de nomes de TLD; Prestadores de serviços de computação em nuvem; Prestadores de serviços de centro de dados; Fornecedores de redes de distribuição de conteúdos; Prestadores de serviços de confiança; Fornecedores de redes públicas de comunicações eletrónicas; Prestadores de serviços de comunicações eletrónicas acessíveis ao público
Verbatim de OJ L 333/146. O setor 8 é Infraestrutura Digital. Os prestadores de serviços de confiança são um dos tipos de entidade listados. A lista do setor não separa qualificado de não qualificado; essa separação é feita pelo artigo 3.º da NIS 2 e pelo eIDAS.
Artigo 2.º, n.º 2, alínea a), subalínea ii), e artigo 3.º, n.º 1, alínea b), da NIS 2 + artigo 3.º, pontos 16 e 20, do eIDAS
Artigo 2.º, n.º 2, da NIS 2: Independentemente da dimensão que tenham, a presente diretiva também se aplica às entidades de um dos tipos referidos no anexo I ou II, em que: a) Os serviços são prestados por: […] ii) prestadores de serviços de confiança, […] Artigo 3.º, n.º 1, alínea b), da NIS 2: Prestadores de serviços de confiança qualificados e registos de nomes de domínio de topo, bem como prestadores de serviços de DNS, independentemente da sua dimensão; Artigo 3.º, ponto 20, do eIDAS: «Prestador qualificado de serviços de confiança»: o prestador de serviços de confiança que preste um ou mais do que um serviço de confiança qualificado e ao qual é concedido o estatuto de qualificado pela entidade supervisora; Artigo 3.º, ponto 16, do eIDAS (na redação do Regulamento (UE) 2024/1183): «Serviço de confiança»: um serviço eletrónico geralmente prestado mediante remuneração, que consista num dos seguintes: a) Na emissão de certificados de assinaturas eletrónicas, certificados de selos eletrónicos, certificados de autenticação de sítios Web ou certificados para a prestação de outros serviços de confiança; […] n) No registo de dados eletrónicos num livro-razão eletrónico;
Duas definições empilhadas. O artigo 3.º, ponto 16, do eIDAS diz-lhe o que conta como serviço de confiança. O artigo 3.º, ponto 20, diz-lhe quem é um prestador qualificado: aquele a quem a entidade supervisora concedeu o estatuto de qualificado. A NIS 2 diz então: todos os prestadores de serviços de confiança estão abrangidos independentemente do número de colaboradores ou do volume de negócios (artigo 2.º, n.º 2, alínea a), subalínea ii)), e um prestador qualificado é sempre uma entidade essencial (artigo 3.º, n.º 1, alínea b)).
§28 BSIG + Vertrauensdienstegesetz (Alemanha)
O §28 BSIG transpõe o âmbito do Anexo I para o direito alemão e faz dos prestadores de serviços de confiança qualificados "besonders wichtige Einrichtungen" (§28, n.º 1, ponto 2) e dos outros prestadores de serviços de confiança "wichtige Einrichtungen" (§28, n.º 2, ponto 1), independentemente da dimensão. A Vertrauensdienstegesetz (VDG) é a lei nacional de acompanhamento do Regulamento eIDAS; designa a Bundesnetzagentur como o organismo de supervisão dos serviços de confiança e opera a lista de confiança alemã.
O Regulamento eIDAS aplica-se diretamente sem transposição alemã. A VDG apenas acrescenta a máquina de supervisão. A NIS 2 situa-se separadamente por cima de ambos: o §28 BSIG coloca os TSP qualificados no nível mais alto (besonders wichtige Einrichtung), independentemente da dimensão, e os outros TSP no nível wichtige Einrichtung, com o BSI como o regulador cibernético.
Presta um serviço de confiança?
Confronte a sua oferta com o artigo 3.o, n.o 16 do eIDAS. A lista fechada é: assinaturas eletrónicas, selos eletrónicos, selos temporais eletrónicos, serviços de envio registado eletrónico, certificados de autenticação de sítios web, e a conservação de qualquer destes. O serviço é geralmente prestado mediante remuneração. Se a sua oferta não se encaixa em nenhuma destas categorias, não é um TSP ao abrigo do eIDAS, por muita criptografia que distribua.
É o prestador ou apenas um utilizador?
Um TSP emite ou opera o serviço de confiança para outros. Uma empresa que assina as suas próprias faturas com um serviço externo de assinatura qualificada é uma utilizadora desse serviço, não um TSP. Uma consultora que ajuda um cliente a implementar fluxos de assinatura também é uma utilizadora. O estatuto de prestador depende de criar, validar, entregar ou conservar o próprio serviço de confiança, para outra pessoa, mediante remuneração.
Qualificado ou não qualificado?
Consulte a lista de confiança nacional (na Alemanha: a lista de confiança da Bundesnetzagentur ao abrigo da VDG). Se estiver lá listado como prestador qualificado, é uma entidade essencial independentemente da dimensão (artigo 3.º, n.º 1, alínea b), da NIS 2). Se não estiver listado, é não qualificado: continua no âmbito independentemente da dimensão (artigo 2.º, n.º 2, alínea a), subalínea ii)), como entidade essencial se for de grande dimensão e como entidade importante nos outros casos. Os TSP de duas e três pessoas são comuns neste setor, e estão todos no âmbito.
A dimensão não decide o âmbito
O artigo 2.º, n.º 2, da NIS 2 enumera os casos em que o teste da dimensão não se aplica, e os prestadores de serviços de confiança estão entre eles (alínea a), subalínea ii)). Os serviços de confiança entraram na lista porque o dano de um certificado qualificado comprometido é estrutural: cada assinatura, selo ou selo temporal emitido ao abrigo dele perde efeito jurídico. A dimensão do prestador não tem relação com a dimensão do dano a jusante. Uma AC de duas pessoas pode quebrar toda a cadeia de assinaturas de um Estado-Membro. É por isso que o teste da dimensão é desligado.
Os TSP qualificados correm dois regimes paralelos
O artigo 19.º do eIDAS, que fixava os deveres de segurança dos serviços de confiança, foi suprimido pelo artigo 42.º da NIS 2 com efeitos a partir de 18 de outubro de 2024. As medidas de segurança e a notificação de incidentes resultam agora da NIS 2. O eIDAS continua a reger o próprio serviço: os TSP qualificados são auditados pelo menos de 24 em 24 meses por um organismo de avaliação da conformidade, e essa auditoria confirma também o cumprimento do artigo 21.º da NIS 2 (artigo 20.º, n.º 1, do eIDAS). A NIS 2 acrescenta os deveres cibernéticos transversais à organização: formação da direção do artigo 20.o, medidas de gestão de riscos do artigo 21.o, comunicação de incidentes significativos do artigo 23.o. O artigo 4.o da NIS 2 não desliga a NIS 2 aqui. Ambos os regimes aplicam-se na íntegra. O organismo de supervisão do eIDAS e a autoridade competente da NIS 2 podem ser diferentes (na Alemanha: Bundesnetzagentur para o eIDAS, BSI para a NIS 2).
BSI / §28 BSIG (lado da NIS 2)
O BSI é a autoridade competente da NIS 2. Opera o portal de registo do §33 BSIG, recebe as notificações de incidentes significativos do §32 BSIG, e supervisiona as medidas de gestão de riscos do §30 BSIG. Os TSP qualificados caem no nível "besonders wichtige Einrichtung" através do §28, n.º 1, BSIG, o que significa supervisão mais apertada e os mesmos prazos de comunicação de incidentes que os operadores KRITIS. Os outros TSP caem no nível "wichtige Einrichtung" através do §28, n.º 2.
Bundesnetzagentur (lado do eIDAS)
A Bundesnetzagentur é o organismo de supervisão dos serviços de confiança ao abrigo da Vertrauensdienstegesetz. Opera a lista de confiança alemã, acredita o estatuto qualificado, recebe os relatórios de avaliação de conformidade da auditoria de 24 meses ao abrigo do artigo 20.º, n.º 1, do eIDAS. Quando um incidente é simultaneamente um incidente significativo do §32 BSIG e uma violação que os TSP qualificados têm de notificar ao abrigo do artigo 24.º, n.º 2, alínea fb), do eIDAS, comunica ambos, a ambas as autoridades.
ENISA Technical Implementation Guidance + trabalho da EUDI Wallet
A ENISA publica orientações técnicas de aplicação do CIR, que abrangem também os prestadores de serviços de confiança, e redige a base de cibersegurança que alimenta as expectativas dos supervisores nacionais. O mesmo organismo está agora a redigir o pacote de trabalho de serviços de confiança para a Carteira Europeia de Identidade Digital, que alarga o perímetro dos TSP qualificados a partir de 2026.
Leis nacionais de transposição
O eIDAS é um Regulamento, por isso as regras dos serviços de confiança são uniformes em toda a UE. A NIS 2 é uma Diretiva, por isso cada Estado-Membro a transpõe: NL através da Cyberbeveiligingswet, AT através da NISG, enquanto em FR a transposição continua a ser um projeto de lei no parlamento. O Anexo I setor 8 e a regra independente da dimensão do artigo 2.º, n.º 2, alínea a), subalínea ii), são idênticos em todos eles. A autoridade competente para o lado da NIS 2 difere de país para país.
Os serviços de confiança não qualificados estão fora da NIS 2.
Errado. Os TSP não qualificados continuam no Anexo I setor 8, e o artigo 2.º, n.º 2, alínea a), subalínea ii), da NIS 2 abrange-os independentemente da dimensão. A qualificação só decide a categoria. Um prestador de selos temporais não qualificado com 60 colaboradores está na NIS 2 como entidade importante; um prestador não qualificado de grande dimensão é uma entidade essencial.
O eIDAS já cobre a cibersegurança, por isso a NIS 2 não acrescenta nada.
O artigo 19.º do eIDAS, que fixava a base de segurança, foi suprimido pelo artigo 42.º da NIS 2 com efeitos a partir de 18 de outubro de 2024. A base de segurança resulta agora da NIS 2. Os artigos 20.o, 21.o e 23.o da NIS 2 acrescentam deveres transversais à organização: formação do órgão de direção, o catálogo completo de gestão de riscos da criptografia à cadeia de abastecimento, e a comunicação de incidentes significativos ao abrigo do §32 BSIG com um aviso prévio de 24 horas. A lex specialis do artigo 4.o da NIS 2 não desliga a NIS 2 para os serviços de confiança. Dois regimes paralelos, nenhum substitui o outro.
Somos demasiado pequenos para a NIS 2.
Para um prestador de serviços de confiança, a dimensão é a pergunta errada. O artigo 2.º, n.º 2, alínea a), subalínea ii), coloca-o dentro independentemente do número de colaboradores, volume de negócios ou balanço, qualificado ou não. Uma autoridade de certificação qualificada de duas pessoas está no mesmo nível da NIS 2 que uma AC multinacional. A razão é a jusante: cada assinatura emitida ao abrigo de um certificado qualificado comprometido perde o seu efeito jurídico, independentemente de quem a emitiu.
Caso típico: um TSP qualificado de 12 pessoas que emite certificados qualificados para assinaturas eletrónicas, com um ciclo de avaliação de conformidade eIDAS de 24 meses e uma entrada na lista de confiança nacional através da Bundesnetzagentur. O âmbito da NIS 2 é automático através do artigo 2.º, n.º 2, alínea a), subalínea ii). O §28 BSIG coloca a empresa no nível "besonders wichtige Einrichtung". Dois reguladores, dois canais de comunicação, uma empresa.
O que os profissionais fazem de facto: pegam na prova da auditoria do artigo 20.º, n.º 1, do eIDAS, que já verifica o artigo 21.º da NIS 2, e reutilizam-na para os controlos relevantes do artigo 21.o da NIS 2 (criptografia, controlo de acesso, tratamento de incidentes, continuidade do negócio). Fazem o registo do §33 BSIG junto do BSI. Acrescentam os itens que o eIDAS não cobre: formação da direção do artigo 20.o, risco de fornecedores do artigo 21.o, n.o 2, alínea d), o canal de incidentes significativos do §32 BSIG. Os dois regimes sobrepõem-se na criptografia e na resposta a incidentes; tudo o resto é adicional.
- Diretiva (UE) 2022/2555 (NIS 2), Anexo I setor 8, artigo 2.º, n.º 2, alínea a), subalínea ii), artigo 3.º, n.º 1, alínea b), e artigo 42.º. eur-lex.europa.eu/eli/dir/2022/2555/oj
- Regulamento (UE) 910/2014 (eIDAS), na redação do Regulamento (UE) 2024/1183, artigo 3.º, pontos 16, 19 e 20, artigo 20.º, n.º 1, e artigo 24.º. eur-lex.europa.eu/eli/reg/2014/910/oj
- Lei do BSI (BSIG), §28 (Anwendungsbereich), §32 (Meldepflichten) e §33 (Registrierung) na redação dada pela Lei de Implementação da NIS2 e de Reforço da Cibersegurança
- Vertrauensdienstegesetz (VDG). gesetze-im-internet.de/vdg
- Lista de confiança alemã da Bundesnetzagentur ao abrigo do artigo 22.o do eIDAS
- ENISA Technical Implementation Guidance para o Regulamento de Execução (UE) 2024/2690, que abrange os prestadores de serviços de confiança. enisa.europa.eu
Na prática
Onde isto aparece no percurso guiado
O percurso guiado transforma isto em passos que preenche, com a lei explicada ao lado de cada um. Abra um passo para ver o seu ecrã, preenchido para uma empresa fictícia.
O percurso em si está em alemão e em inglês.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
