Monitor NIS2: em que ponto está cada país da UE na transposição
À data de 16 de outubro de 2026: há uma lei nacional NIS2 em vigor em 24 dos 27 países da UE. Ainda sem lei em vigor: Espanha, França e Irlanda. O prazo da UE para a transposição era 17 de outubro de 2024. A tabela mostra a lei, a autoridade, o CSIRT e o estado de cada país.
O estado em cada país da UE
Para cada país, a lei nacional, a autoridade principal, o CSIRT nacional e o estado. Quando um país tem página própria, o seu nome tem ligação para ela.
| País | Lei nacional | Autoridade competente | CSIRT nacional | Estado |
|---|---|---|---|---|
DEAlemanha | NIS2UmsuCG / BSIG Germany missed the 17 October 2024 EU deadline. Commission opened infringement proceedings May 2025. | BSI (Bundesamt für Sicherheit in der Informationstechnik) | CERT-Bund (BSI) | Em vigor |
ATÁustria | NISG 2026 (BGBl. I Nr. 94/2025); NISV 2026 (BGBl. II Nr. 290/2026) Original NISG (BGBl. I Nr. 111/2018) transposed NIS 1; replaced by NISG 2026 (BGBl. I Nr. 94/2025), in force 1 October 2026. | Bundesamt für Cybersicherheit | GovCERT (public administration, run by the Bundesamt für Cybersicherheit), HealthCERT (health sector), national CSIRT (all other sectors), under §§ 8 to 11 NISG 2026 | Em vigor |
BEBélgica | NIS2 Law (Loi NIS2) One of the first Member States to transpose. Entered into force 18 October 2024. | CCB (Centre for Cybersecurity Belgium) | CERT.be (under CCB) | Em vigor |
BGBulgária | Cybersecurity Act (amended) | Ministry of Innovation and Digital Transformation (formerly Ministry of e-Government) / State e-Government Agency | CERT Bulgaria | Em vigor |
CYChipre | Law on Security of Networks and Information Systems (Amendment) 2025 | DSA (Digital Security Authority) | CSIRT-CY | Em vigor |
HRCroácia | Zakon o kibernetičkoj sigurnosti Adopted in 2024. Sectoral supervision model. | NHCSC-HR (National Cybersecurity Center) | CERT.hr (CARNet) | Em vigor |
LOV nr 434 af 06/05/2025 (NIS 2-loven) Denmark uses a sectoral supervision model. CFCS, which runs the national CSIRT, has been part of SAMSIK since 29 January 2025. | SAMSIK (Styrelsen for Samfundssikkerhed) | CFCS (Centre for Cyber Security) | Em vigor | |
Zákon o kybernetickej bezpečnosti | NBÚ (Národný bezpečnostný úrad) | SK-CERT (within NBÚ) | Em vigor | |
ZInfV-1 (Information Security Act) | URSIV (Information Security Agency) | SI-CERT | Em vigor | |
ESEspanha | - No transposition law in the BOE as of August 2026; referred to the CJEU on 8 July 2026. Spain operates a two-CSIRT model, with sectoral supervisors under the existing Royal Decree 43/2021 (NIS 1). | CCN-CERT / INCIBE | CCN-CERT (public sector), INCIBE-CERT (private sector) | Em preparação |
EEEstônia | Küberturvalisuse seadus Estonia transposed quickly via amendment to its existing 2018 Cybersecurity Act. | RIA (Riigi Infosüsteemi Amet) | CERT-EE (within RIA) | Em vigor |
Kyberturvallisuuslaki (124/2025) Transposition act Kyberturvallisuuslaki (124/2025) in force since 8 April 2025. | Traficom + sector authorities (NCSC-FI as national CSIRT) | NCSC-FI (Kyberturvallisuuskeskus, within Traficom) | Em vigor | |
FRFrança | Loi Résilience (bundles NIS2 + DORA + CER) Layered on top of existing OIV / OSE regime under the Code de la défense. Registration via MonEspaceNIS2. The Assemblée nationale withdrew the transposition bill from its 7 and 9 October 2026 floor sessions; no new date is set (next Conférence des présidents on 20 October 2026). | ANSSI (Agence nationale de la sécurité des systèmes d'information) | CERT-FR (ANSSI) | Aprovada ou em processo legislativo |
GRGrécia | Law No. 5160/2024 | NCSA (National Cyber Security Authority) | GR-CERT (within NCA) | Em vigor |
HUHungria | Act LXIX of 2024 (Hungarian Cybersecurity Act) Hungary transposed early via Act XXIII of 2023. Layered with SZTFH as cybersecurity supervisor. | SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága) | National Cyber Defence Institute (NBSZ) | Em vigor |
IEIrlanda | National Cyber Security Bill (draft) Bill in legislative process at the Houses of the Oireachtas; referred to the CJEU on 8 July 2026. | NCSC (National Cyber Security Centre) | NCSC-IE | Em preparação |
ITItália | D.Lgs. 138/2024 Entered into force 16 October 2024. One of the few Member States that met the EU deadline. | ACN (Agenzia per la Cybersicurezza Nazionale) | CSIRT Italia (within ACN) | Em vigor |
LVLetônia | Nacionālās kiberdrošības likums Latvia adopted the National Cyber Security Law in 2024, transposing NIS 2. | NCSC (Nacionālais kiberdrošības centrs, Ministry of Defence) / CERT.LV | CERT.LV | Em vigor |
LTLituânia | Kibernetinio saugumo įstatymas Lithuania adopted the transposition act in late 2024. | NKSC (National Cybersecurity Center) | CERT-LT (within NKSC) | Em vigor |
Loi du 5 mai 2026 relative à des mesures visant à assurer un niveau élevé de cybersécurité | ILR (Institut Luxembourgeois de Régulation) | CIRCL (Computer Incident Response Center Luxembourg) | Em vigor | |
MTMalta | Legal Notice 71/2025, amended by Legal Notice 89/2026 (S.L. 460.41) | CIPD (Critical Infrastructure Protection Department) | CSIRTMalta | Em vigor |
Cyberbeveiligingswet (Cbw), Stb. 2026, 187; Cyberbeveiligingsbesluit, Stb. 2026, 189 Cbw published 10 July 2026 (Stb. 2026, 187), in force 15 August 2026. Replaces the Wbni (NIS 1 transposition). | NCSC-NL (since 1 Jan 2026 merged with DTC and CSIRT-DSP into "versterkt NCSC", SPOC + national CSIRT) + RDI (Rijksinspectie Digitale Infrastructuur, horizontal supervisor) | NCSC-NL | Em vigor | |
PLPolônia | Amended KSC Act (ustawa o KSC) Amendment to the Act on the National Cybersecurity System (Ustawa o KSC) in force since 3 April 2026. Self-registration in the register closed on 3 October 2026. | Ministry of Digital Affairs / CSIRTs | CSIRT NASK, CSIRT GOV, CSIRT MON | Em vigor |
PTPortugal | Decreto-Lei n.º 125/2025 | CNCS (Centro Nacional de Cibersegurança) + CERT.PT | CERT.PT (within CNCS) | Em vigor |
RORomênia | Emergency Ordinance No. 155/2024; Laws No. 52/2025 & No. 124/2025 Romania transposed via OUG 155/2024 in December 2024. | DNSC (Directoratul Național de Securitate Cibernetică) | DNSC CSIRT | Em vigor |
SESuécia | Cybersäkerhetslagen (SFS 2025:1506) | NCSC (Nationellt cybersäkerhetscenter, at the FRA) + CERT-SE | CERT-SE (within the NCSC at the FRA since 1 July 2026) | Em vigor |
CZTchéquia | Zákon č. 264/2025 Sb. o kybernetické bezpečnosti The earlier Cybersecurity Act (Zákon č. 181/2014 Sb.) transposed NIS 1. It was replaced by Act 264/2025 Sb., in force since 1 November 2025. | NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost) | GovCERT.CZ (NÚKIB), CSIRT.CZ | Em vigor |
Em vigor mais recentemente
Os países cuja lei entrou em vigor mais recentemente, do mais recente para o mais antigo.
- Áustria: em vigor desde 1 de outubro de 2026
- Países Baixos: em vigor desde 15 de agosto de 2026
- Luxemburgo: em vigor desde 10 de maio de 2026
- Polônia: em vigor desde 3 de abril de 2026
- Portugal: em vigor desde 3 de abril de 2026
Porque é que os países estão em fases diferentes
A NIS2 é uma diretiva. Dirige-se aos Estados-Membros. Cada país da UE tem de a transpor para a sua própria lei.
O prazo para isso era 17 de outubro de 2024. Muitos países fizeram-no mais tarde. Por isso, a Comissão Europeia abriu processos contra vários países e levou alguns ao Tribunal de Justiça da UE.
As obrigações para as empresas só surgem com a lei nacional. Até lá, podem ainda aplicar-se num país regras mais antigas da primeira diretiva NIS.
Art. 41(1) NIS 2
O que isto significa para uma empresa com 50 a 150 trabalhadores
O que mais importa para a sua empresa é o país onde está estabelecida. Se só está estabelecida na Alemanha, aplica-se-lhe a Lei do BSI, desde 6 de dezembro de 2025.
O monitor ajuda se tiver filiais ou fábricas noutros países da UE. Aí, é a lei desse país que decide se e a partir de quando se aplicam obrigações.
Uma lei em vigor não significa que todos os prazos já tenham passado. Cada país fixa o seu próprio prazo de registo.
Que país é competente para a sua empresaUm exemplo
Uma empresa fictícia: um fabricante de máquinas de embalagem com 110 trabalhadores na Alemanha, uma fábrica própria na Polónia e uma filial comercial na Irlanda.
A GmbH alemã: o fabrico de máquinas consta do Anexo 2 da BSIG, e com 110 trabalhadores é uma entidade importante. Regista-se no BSI.
A fábrica na Polónia é uma empresa autónoma. Se o monitor mostrar uma lei em vigor para a Polónia, a empresa verifica se a fábrica está abrangida pela lei polaca e até quando tem de se registar lá.
A filial comercial na Irlanda não fabrica nada. Se fica abrangida pela NIS2 depende do que faz. Se o monitor ainda não mostrar uma lei em vigor para a Irlanda, ainda não surgem aí obrigações de uma lei NIS2 irlandesa.
A empresa consulta o monitor uma vez por trimestre. Escolheu esse intervalo por si.
Como o percurso guiado faz isto
O percurso guiado em nisd2.eu usa os mesmos dados que esta tabela.
O passo do registo mostra a autoridade competente do seu país e o respetivo portal, a partir da mesma lista desta página.
Explica em que país da UE se regista, com as exceções para as telecomunicações e os prestadores digitais.
As medidas de segurança seguem a lista mínima da diretiva, que se aplica em todos os países da UE.
As explicações no percurso guiado estão disponíveis em alemão e em inglês.
Páginas sobre países individuais
Bundesamt für Cybersicherheit
CCB (Centre for Cybersecurity Belgium)
Ministry of Innovation and Digital Transformation (formerly Ministry of e-Government) / State e-Government Agency
DSA (Digital Security Authority)
NHCSC-HR (National Cybersecurity Center)
SAMSIK (Styrelsen for Samfundssikkerhed)
NBÚ (Národný bezpečnostný úrad)
URSIV (Information Security Agency)
CCN-CERT / INCIBE
RIA (Riigi Infosüsteemi Amet)
Traficom + sector authorities (NCSC-FI as national CSIRT)
ANSSI (Agence nationale de la sécurité des systèmes d'information)
NCSA (National Cyber Security Authority)
SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága)
NCSC (National Cyber Security Centre)
ACN (Agenzia per la Cybersicurezza Nazionale)
NCSC (Nacionālais kiberdrošības centrs, Ministry of Defence) / CERT.LV
NKSC (National Cybersecurity Center)
ILR (Institut Luxembourgeois de Régulation)
CIPD (Critical Infrastructure Protection Department)
NCSC-NL (since 1 Jan 2026 merged with DTC and CSIRT-DSP into "versterkt NCSC", SPOC + national CSIRT) + RDI (Rijksinspectie Digitale Infrastructuur, horizontal supervisor)
Ministry of Digital Affairs / CSIRTs
CNCS (Centro Nacional de Cibersegurança) + CERT.PT
DNSC (Directoratul Național de Securitate Cibernetică)
NCSC (Nationellt cybersäkerhetscenter, at the FRA) + CERT-SE
NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost)
Perguntas frequentes
Que países transpuseram a NIS2?
À data de 16 de outubro de 2026, há uma lei nacional NIS2 em vigor em 24 dos 27 países da UE. A tabela acima mostra a lei, a autoridade e o estado de cada país.
Que países ainda não transpuseram a NIS2?
À data de 16 de outubro de 2026, ainda não há uma lei nacional em vigor em: Espanha, França e Irlanda.
O que é um CSIRT?
Um CSIRT (equipa de resposta a incidentes de segurança informática) é uma equipa que recebe as notificações de incidentes de segurança num país e ajuda a tratá-los. Cada país da UE designa pelo menos um (Art. 10 NIS 2). Na Alemanha é o CERT-Bund, no BSI.
Quão atualizado está o monitor?
A tabela reflete o estado em 16 de outubro de 2026. As fontes de referência são o jornal oficial de cada país e a visão geral da Comissão Europeia, indicados abaixo.
Fontes
- Diretiva (UE) 2022/2555 (NIS 2), Art. 10 e 41, EUR-Lex
- Comissão Europeia, estado da transposição da NIS 2: digital-strategy.ec.europa.eu/en/policies/nis-transposition
- Comissão Europeia, processos por infração por falta de comunicação da transposição (notificações para cumprir de 28 de novembro de 2024, pareceres fundamentados de 7 de maio de 2025, ações no Tribunal de Justiça da UE de 8 de julho de 2026, IP/26/1499)
- Jornais oficiais nacionais, como BGBl (DE), Moniteur belge / Belgisch Staatsblad (BE), Gazzetta Ufficiale (IT), BOE (ES), JORF (FR), Sbírka zákonů (CZ)
Na prática
O que a lei nacional muda, e o que não muda
A lei nacional determina, entre outras coisas, onde se regista e a quem notifica os incidentes. As medidas partem da mesma lista mínima em todos os Estados-Membros (art. 21.º NIS 2). O percurso guiado leva-o por elas passo a passo:
O percurso em si está em alemão e em inglês.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Quanto custa o percurso guiado
€ 4.800 sem IVA por ano, mais IVA
30 dias para reembolsoPor fatura, com vencimento a 30 dias. Cancelamento nos primeiros 30 dias: fatura anulada ou reembolso.
Implementação guiada da NIS 2, passo a passo
Um histórico de alterações e aprovações para mostrar à sua autoridade de supervisão
Prazos e lembretes para cada requisito
Questionário de segurança para os seus fornecedores
Exportação para PDF ou CSV a qualquer momento
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
