NIS2 na Alemanha: o que exige a Lei do BSI e desde quando
A Alemanha transpôs a NIS2 com a NIS2UmsuCG. As obrigações constam da nova Lei do BSI (BSIG) e aplicam-se desde 6 de dezembro de 2025. As empresas abrangidas registam-se no BSI, tomam medidas de segurança e notificam incidentes significativos. A sua direção aplica as medidas e supervisiona-as.
A lei
A Lei de Transposição da NIS 2 e de Reforço da Cibersegurança (NIS2UmsuCG) reescreveu a Lei do BSI. Entrou em vigor a 6 de dezembro de 2025.
As obrigações aplicam-se desde esse dia. Só as provas ao BSI têm datas posteriores.
A autoridade competente é o Serviço Federal de Segurança da Informação (BSI).
BGBl. 2025 I n.º 301
As datas principais
27 de dezembro de 2022
A Diretiva (UE) 2022/2555 é publicada no Jornal Oficial da UE.
16 de janeiro de 2023
A diretiva entra em vigor.
17 de outubro de 2024
Prazo da UE para a transposição. A Alemanha não o cumpriu.
6 de dezembro de 2025
A nova BSIG entra em vigor. As obrigações aplicam-se de imediato.
Janeiro de 2026
O BSI abre o seu portal para o registo.
6 de março de 2026
Prazo de registo para as empresas abrangidas desde dezembro de 2025.
6 de dezembro de 2028
A partir desta data, no mínimo, o BSI pode pedir provas às entidades essenciais.
Quem está abrangido
Uma empresa está abrangida se trabalhar num setor que conste do Anexo 1 ou 2 da BSIG e tiver dimensão suficiente.
Uma empresa destas é uma entidade importante com pelo menos 50 trabalhadores, ou com um volume de negócios anual e um balanço total superiores a 10 milhões de EUR cada.
Uma empresa num setor do Anexo 1 é uma entidade essencial com pelo menos 250 trabalhadores, ou com mais de 50 milhões de EUR de volume de negócios e mais de 43 milhões de EUR de balanço total. Os operadores de instalações críticas e alguns prestadores, independentemente da dimensão, como os prestadores qualificados de serviços de confiança, também são entidades essenciais.
A diretiva da UE diz “entidade essencial”, a BSIG “besonders wichtige Einrichtung” (entidade particularmente importante). Ambos designam o mesmo grupo.
O BSI oferece uma verificação de aplicabilidade. Segundo o BSI, o resultado não é juridicamente vinculativo.
§ 28 BSIG · Anexos 1 e 2
As quatro obrigações
Registar-se no BSI
No máximo três meses depois de a sua empresa ficar abrangida, através do portal do BSI. Se algo mudar, atualiza os dados no prazo de duas semanas.
§ 33 BSIG
Saiba maisTomar medidas de segurança
Medidas em dez áreas, do plano de resposta a incidentes ao segundo fator, com a profundidade que a dimensão e o risco da sua empresa exigem. Põe por escrito o que aplica.
§ 30 BSIG
Saiba maisNotificar incidentes significativos
Em três fases, ao ponto de notificação comum do BSI e do Gabinete Federal de Proteção Civil e Assistência em Catástrofes, a primeira no prazo de 24 horas.
§ 32 BSIG
Saiba maisDireção
Aplica as medidas, supervisiona a sua aplicação e participa regularmente em formação.
§ 38 BSIG
Saiba maisComo o BSI verifica
O BSI pode inspecionar as entidades essenciais, também com a ajuda de terceiros, e ordenar auditorias. Pode pedir provas a partir de 6 de dezembro de 2028, no mínimo.
Só inspeciona as entidades importantes se houver factos que indiquem que não cumprem o § 30, o § 32 ou o § 38(3) BSIG.
As coimas constam do § 65 BSIG. Para violações das medidas e da obrigação de notificação, o limite máximo é de 10 milhões de EUR para entidades essenciais e de 7 milhões de EUR para entidades importantes.
§§ 61, 62, 65 BSIG
As coimas em pormenorO que isto significa para uma empresa com 50 a 150 trabalhadores
Num setor do Anexo 1 ou 2, uma empresa destas é normalmente uma entidade importante.
As quatro obrigações são as mesmas para entidades importantes e essenciais. A supervisão é diferente: o BSI só inspeciona as entidades importantes quando há indícios de uma infração.
A profundidade de cada medida depende do risco, da dimensão e do custo. Uma empresa com 80 trabalhadores não tem de construir o que um grande grupo precisa.
§ 30(1), segunda frase, BSIG
Um exemplo
Uma empresa fictícia: uma empresa de gestão de resíduos com 75 trabalhadores.
A gestão de resíduos consta do Anexo 2 da BSIG. Com 75 trabalhadores, a empresa é uma entidade importante.
Já tem um certificado de organização do ELSTER para os impostos. Usa-o para iniciar sessão no portal do BSI e registar-se.
Escreve aquilo com que trabalha: planeamento de rotas, balanças de pesagem, faturação, localização de veículos. As medidas decorrem daí.
O plano de resposta a incidentes diz quem notifica um incidente. O gerente participa numa formação e aprova os documentos.
Como o percurso guiado faz isto
O percurso guiado em nisd2.eu conduz passo a passo pelas obrigações da BSIG.
20 passos. Os operadores de instalações críticas têm mais um.
Ao lado de cada passo está a lei, explicada em palavras simples.
O registo, as medidas, a notificação e a formação da direção são passos próprios.
As suas respostas dão origem a seis documentos, entre eles a política de segurança e os dois planos de emergência.
No fim, a direção aprova os documentos na aplicação, com sessão iniciada na sua própria conta. O nome e a data passam a constar de cada documento.
Perguntas frequentes
Desde quando se aplica a NIS2 na Alemanha?
Desde 6 de dezembro de 2025. A nova Lei do BSI entrou em vigor nesse dia.
Como se chama a lei alemã da NIS2?
Lei de Transposição da NIS 2 e de Reforço da Cibersegurança, abreviada NIS2UmsuCG. Sobretudo, reescreveu a Lei do BSI (BSIG). As obrigações das empresas estão aí, por exemplo nos §§ 30, 32, 33 e 38.
Todas as empresas abrangidas têm de se registar no BSI?
Sim, todas as entidades essenciais e todas as entidades importantes, no máximo três meses depois de ficarem abrangidas (§ 33(1) BSIG). A obrigação aplica-se sem que o BSI lho peça.
Quem verifica a aplicação?
O BSI. Pode inspecionar as entidades essenciais; as entidades importantes só quando há indícios de uma infração (§§ 61 e 62 BSIG).
Fontes
- Lei do BSI (BSIG), §§ 28, 30, 32, 33, 38, 61, 62, 65 e Anexos 1 e 2, gesetze-im-internet.de/bsig_2025
- NIS2UmsuCG, BGBl. 2025 I n.º 301
- Diretiva (UE) 2022/2555 (NIS 2), Art. 41 e 45, EUR-Lex
- BSI: verificação de aplicabilidade NIS 2, betroffenheitspruefung-nis-2.bsi.de
Na prática
Onde isto aparece no percurso guiado
O percurso guiado transforma isto em passos que preenche, com a lei explicada ao lado de cada um. Abra um passo para ver o seu ecrã, preenchido para uma empresa fictícia.
O percurso em si está em alemão e em inglês.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Governance & Liability
Get management trained
Every member of management, regularly.
Quanto custa o percurso guiado
€ 4.800 sem IVA por ano, mais IVA
30 dias para reembolsoPor fatura, com vencimento a 30 dias. Cancelamento nos primeiros 30 dias: fatura anulada ou reembolso.
Implementação guiada da NIS 2, passo a passo
Um histórico de alterações e aprovações para mostrar à sua autoridade de supervisão
Prazos e lembretes para cada requisito
Questionário de segurança para os seus fornecedores
Exportação para PDF ou CSV a qualquer momento
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
