Implementação da NIS2 na Europa: que países transpuseram a NIS2
O prazo de transposição era 17 de outubro de 2024. Hoje, há uma lei nacional em vigor em 24 dos 27 países da UE. Ainda sem lei: França, Espanha e Irlanda. A sua empresa está sujeita à lei do país onde está estabelecida; é aí que se regista.
Autoridade, portal e prazo por país
As tabelas estão agrupadas pelo estado do registo. Cada país mostra a sua lei e o seu prazo.
22
Operacional
1
Pré-registo
0
Planeado
4
Ainda não disponível
| País | Autoridade competente | Portal de registo | Prazo de registo | Lei nacional |
|---|---|---|---|---|
| Alemanha | BSI (Bundesamt für Sicherheit in der Informationstechnik) | BSI-Portal | 2026-03-06 | NIS2UmsuCG / BSIG |
| Bélgica | CCB (Centre for Cybersecurity Belgium) | Safeonweb@Work | 2025-03-18 | NIS2 Law (Loi NIS2) |
| Itália | ACN (Agenzia per la Cybersicurezza Nazionale) | ACN NIS Portal | 2027-02-28 | D.Lgs. 138/2024 |
| Áustria | Bundesamt für Cybersicherheit | NIS2 Services (Unternehmensserviceportal) | 2027-01-04 | NISG 2026 (BGBl. I Nr. 94/2025); NISV 2026 (BGBl. II Nr. 290/2026) |
| Chéquia | NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost) | Portál NÚKIB | 2025-12-31 | Zákon č. 264/2025 Sb. o kybernetické bezpečnosti |
| Dinamarca | SAMSIK (Styrelsen for Samfundssikkerhed) | Virk | 2025-10-01 | LOV nr 434 af 06/05/2025 (NIS 2-loven) |
| Países Baixos | NCSC-NL (since 1 Jan 2026 merged with DTC and CSIRT-DSP into "versterkt NCSC", SPOC + national CSIRT) + RDI (Rijksinspectie Digitale Infrastructuur, horizontal supervisor) | MijnNCSC / Entiteitenregister | 2026-08-15 | Cyberbeveiligingswet (Cbw), Stb. 2026, 187; Cyberbeveiligingsbesluit, Stb. 2026, 189 |
| Polónia | Ministry of Digital Affairs / CSIRTs | System S46 | 2026-10-03 | Amended KSC Act (ustawa o KSC) |
| Suécia | NCSC (Nationellt cybersäkerhetscenter, at the FRA) + CERT-SE | Ainda não disponível | A definir | Cybersäkerhetslagen (SFS 2025:1506) |
| Croácia | NHCSC-HR (National Cybersecurity Center) | Ainda não disponível | A definir | Zakon o kibernetičkoj sigurnosti |
| Lituânia | NKSC (National Cybersecurity Center) | Ainda não disponível | A definir | Kibernetinio saugumo įstatymas |
| Letónia | NCSC (Nacionālais kiberdrošības centrs, Ministry of Defence) / CERT.LV | Ainda não disponível | 2025-04-01 | Nacionālās kiberdrošības likums |
| Grécia | NCSA (National Cyber Security Authority) | NIS2 Register (Εγγραφή Οντοτήτων ν. 5160/2024) | 2025-09-30 | Law No. 5160/2024 |
| Eslováquia | NBÚ (Národný bezpečnostný úrad) | NBÚ NIS2 portal (nis2.nbu.gov.sk) | A definir | Zákon o kybernetickej bezpečnosti |
| Roménia | DNSC (Directoratul Național de Securitate Cibernetică) | NIS2@RO Platform | 2025-09-19 | Emergency Ordinance No. 155/2024; Laws No. 52/2025 & No. 124/2025 |
| Finlândia | Traficom + sector authorities (NCSC-FI as national CSIRT) | Ainda não disponível | 2025-05-08 | Kyberturvallisuuslaki (124/2025) |
| Estónia | RIA (Riigi Infosüsteemi Amet) | Ainda não disponível | 2026-03-31 | Küberturvalisuse seadus |
| Portugal | CNCS (Centro Nacional de Cibersegurança) + CERT.PT | MyCiber | 2026-09-15 | Decreto-Lei n.º 125/2025 |
| Hungria | SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága) | Ainda não disponível | A definir | Act LXIX of 2024 (Hungarian Cybersecurity Act) |
| Luxemburgo | ILR (Institut Luxembourgeois de Régulation) | ILR Guichet (NISS_EE231) | 2026-07-10 | Loi du 5 mai 2026 relative à des mesures visant à assurer un niveau élevé de cybersécurité |
| Malta | CIPD (Critical Infrastructure Protection Department) | Ainda não disponível | A definir | Legal Notice 71/2025, amended by Legal Notice 89/2026 (S.L. 460.41) |
| Eslovénia | URSIV (Information Security Agency) | Ainda não disponível | 2025-12-19 | ZInfV-1 (Information Security Act) |
| País | Autoridade competente | Portal de registo | Prazo de registo | Lei nacional |
|---|---|---|---|---|
| França | ANSSI (Agence nationale de la sécurité des systèmes d'information) | MonEspaceNIS2 | A definir | Loi Résilience (bundles NIS2 + DORA + CER) |
| País | Autoridade competente | Portal de registo | Prazo de registo | Lei nacional |
|---|---|---|---|---|
| Espanha | CCN-CERT / INCIBE | Ainda não disponível | A definir | Ainda não promulgada |
| Bulgária | Ministry of Innovation and Digital Transformation (formerly Ministry of e-Government) / State e-Government Agency | Ainda não disponível | A definir | Cybersecurity Act (amended) |
| Chipre | DSA (Digital Security Authority) | NIS2 Self-Assessment Tool | A definir | Law on Security of Networks and Information Systems (Amendment) 2025 |
| Irlanda | NCSC (National Cyber Security Centre) | Ainda não disponível | A definir | National Cyber Security Bill (draft) |
Que país é competente para a sua empresa
O país competente é o Estado-Membro da UE onde a sua empresa está estabelecida. É aí que se regista e que notifica incidentes.
Fornecer para um país não o torna competente. Uma filial noutro país da UE está estabelecida lá; aplica-se-lhe a lei desse país.
Há exceções para as telecomunicações, que ficam sujeitas ao país onde prestam os seus serviços, e para certos prestadores digitais, como nuvem, centros de dados e serviços geridos. Para estes, conta o estabelecimento principal na UE: o país onde são tomadas principalmente as decisões sobre cibersegurança.
Art. 26(1) e (2) NIS 2
O que é igual em todo o lado, e o que não é
A lista mínima de medidas de segurança e os prazos de notificação, 24 horas, 72 horas e um mês, constam da própria diretiva. Todos os países têm de os adotar.
O que difere é a autoridade, o portal, o prazo de registo e alguns pormenores. Um país pode adotar regras mais rigorosas.
Art. 5, 21 e 23 NIS 2
O que isto significa para uma empresa com 50 a 150 trabalhadores
Se a sua empresa só está estabelecida na Alemanha, aplica-se-lhe a Lei do BSI, mesmo que forneça para outros países.
Se tiver filiais noutros países da UE, verifique para cada uma se está abrangida pela lei desse país. Para a dimensão, contam as empresas associadas e as empresas parceiras nos termos da Recomendação 2003/361/CE.
Pode montar as medidas em conjunto. Cada empresa tem de se registar e notificar no seu próprio país.
Um exemplo
Uma empresa fictícia: um fabricante de tecnologia de medição com 130 trabalhadores na Alemanha e uma filial comercial na Áustria com 12 trabalhadores.
O fabrico de produtos eletrónicos e óticos consta do Anexo 2 da BSIG. A GmbH alemã é uma entidade importante e regista-se no BSI.
A empresa austríaca é uma empresa autónoma. Se está abrangida pela lei austríaca depende do seu setor e da sua dimensão, contando também com a empresa-mãe.
A empresa fornece clientes em França e em Itália a partir da Alemanha. Não tem de se registar lá por esse motivo.
Como o percurso guiado faz isto
O percurso guiado em nisd2.eu pergunta onde a sua empresa está estabelecida e orienta-se por isso.
O passo do registo mostra a autoridade competente do seu país e o respetivo portal.
Explica em que país da UE se regista, com as exceções para as telecomunicações e os prestadores digitais.
As medidas de segurança seguem a lista mínima da diretiva, que se aplica em todos os países da UE.
As explicações no percurso guiado estão disponíveis em alemão e em inglês.
Perguntas frequentes
Que países transpuseram a NIS2?
Há uma lei nacional em vigor em 24 dos 27 países da UE. Ainda sem lei: França, Espanha e Irlanda. As tabelas acima mostram a lei, a autoridade, o portal e o prazo de cada país.
Tenho de me registar em todos os países para onde forneço?
Não. O país competente é aquele onde a sua empresa está estabelecida (Art. 26(1) NIS 2). Uma filial noutro país regista-se lá, se aí estiver abrangida.
Existe um registo para toda a UE?
Não. Cada país mantém o seu. Para certos prestadores digitais, como nuvem e centros de dados, a ENISA mantém também um registo (Art. 27 NIS 2).
O que se aplica num país que ainda não transpôs a NIS2?
A diretiva dirige-se aos Estados-Membros. As obrigações para as empresas só surgem com a lei nacional. Até lá, podem ainda aplicar-se aí regras mais antigas da primeira diretiva NIS.
Fontes
- Diretiva (UE) 2022/2555 (NIS 2), Art. 5, 21, 23, 26, 27 e 41, EUR-Lex
- Recomendação 2003/361/CE da Comissão, EUR-Lex
- Leis, autoridades e portais por país: as informações das próprias autoridades nacionais, com ligação nas tabelas
Na prática
O que a lei nacional muda, e o que não muda
A lei nacional determina, entre outras coisas, onde se regista e a quem notifica os incidentes. As medidas partem da mesma lista mínima em todos os Estados-Membros (art. 21.º NIS 2). O percurso guiado leva-o por elas passo a passo:
O percurso em si está em alemão e em inglês.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Quanto custa o percurso guiado
€ 4.800 sem IVA por ano, mais IVA
30 dias para reembolsoPor fatura, com vencimento a 30 dias. Cancelamento nos primeiros 30 dias: fatura anulada ou reembolso.
Implementação guiada da NIS 2, passo a passo
Um histórico de alterações e aprovações para mostrar à sua autoridade de supervisão
Prazos e lembretes para cada requisito
Questionário de segurança para os seus fornecedores
Exportação para PDF ou CSV a qualquer momento
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
