Estado da NIS 2 na Bélgica
O que a diretiva exige, como a Bélgica a transpõe e onde se situa o CCB neste quadro.
Visão geral
A Diretiva NIS 2 é a camada da UE. Vincula todos os Estados-Membros, incluindo a Bélgica, a um único piso de cibersegurança para as entidades essenciais e importantes. A Bélgica tem de inscrever esse piso no direito belga e exercer um regime de supervisão ao abrigo dele.
A Bélgica transpõe a NIS 2 através da Lei de 26 de abril de 2024 que estabelece um enquadramento para a cibersegurança das redes e dos sistemas de informação de interesse geral para a segurança pública. A lei foi publicada no Moniteur belge / Belgisch Staatsblad a 17 de maio de 2024 e entrou em vigor a 18 de outubro de 2024, juntamente com um Decreto Real que preenche o detalhe operacional. A Bélgica é um dos poucos Estados-Membros que cumpriu o prazo da diretiva de 17 de outubro de 2024.
O Centre for Cybersecurity Belgium (CCB) é a autoridade competente principal. O CERT.be opera como um serviço dentro do CCB. O registo faz-se através do portal Safeonweb@work. As autoridades setoriais mantêm-se no circuito onde existem: o Banco Nacional da Bélgica (NBB) para o setor financeiro, onde o DORA atua como lex specialis, e o BIPT para a infraestrutura digital (exceto serviços de confiança) e os serviços postais.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança válida em toda a UE. Define as obrigações que cada Estado-Membro tem de transpor, incluindo os testes de dimensão e de setor para as entidades essenciais e importantes.
Execução da UE
Regulamento de Execução (UE) 2024/2690 da Comissão
Requisitos técnicos e metodológicos para os prestadores de DNS, os registos de TLD, os prestadores de serviços de cloud, de centros de dados e de CDN, os prestadores de serviços (de segurança) geridos, os mercados em linha, os motores de pesquisa, as redes sociais e os prestadores de serviços de confiança. Diretamente aplicável na Bélgica sem transposição nacional.
Transposição belga
Lei de 26 de abril de 2024 (lei NIS 2)
A transposição belga da NIS 2, publicada no Moniteur belge a 17 de maio de 2024 e em vigor desde 18 de outubro de 2024. O Decreto Real de execução de 9 de junho de 2024 e a orientação do CCB preenchem o detalhe operacional. A lei revoga a Lei de 7 de abril de 2019 (a transposição belga da NIS 1).
Lei de 26 de abril de 2024
Leva as obrigações da NIS 2 para o direito belga. Define as entidades essenciais e importantes, os poderes de supervisão do CCB, os deveres de notificação de incidentes e as sanções. A maior parte do detalhe operacional está no Decreto Real de 9 de junho de 2024 e na orientação do CCB.
CCB como supervisor, CERT.be como CSIRT
O Centre for Cybersecurity Belgium exerce a supervisão, as auditorias e as sanções. O CERT.be opera dentro do CCB como CSIRT nacional para o tratamento de incidentes. O Safeonweb@work é o portal público para registo e orientação.
Registo e notificação
Os prestadores de DNS, os registos de TLD, os serviços de registo de domínios, os prestadores de serviços de cloud, de centros de dados e de CDN, os prestadores de serviços (de segurança) geridos, os mercados em linha, os motores de pesquisa e as redes sociais tinham de se registar no Safeonweb@work até 18 de dezembro de 2024. Todas as restantes entidades essenciais e importantes tinham de se registar até 18 de março de 2025. Os incidentes significativos são notificados através de notif.safeonweb.be segundo a cadência da diretiva: alerta precoce em 24h, notificação em 72h e relatório final em um mês.
A lei local aplica-se dentro da Bélgica
As operações em território belga seguem a transposição belga. Um gerente alemão que dirige uma filial belga lê a Lei de 26 de abril de 2024 para essa filial, não o BSIG alemão. As obrigações da diretiva são as mesmas; o procedimento, o portal e as sanções vivem na lei belga.
A Bélgica não pode ficar abaixo do piso da UE
A diretiva é um instrumento de harmonização mínima. A Bélgica pode ser mais rigorosa, e na prática fá-lo através do enquadramento CyberFundamentals e do Decreto Real. Não pode ficar abaixo da diretiva nos deveres das entidades essenciais e importantes, nos prazos de notificação de incidentes ou na responsabilidade do órgão de gestão.
CCB
Centre for Cybersecurity Belgium, a autoridade nacional de cibersegurança sob o gabinete do Primeiro-Ministro. Autoridade competente principal para a NIS 2: supervisão, auditorias, sanções e o portal de registo Safeonweb@work. Publica o enquadramento CyberFundamentals. As entidades que se submetem a uma avaliação periódica de conformidade segundo o CyberFundamentals ou a ISO/IEC 27001 presumem-se em conformidade com as medidas de gestão de risco da NIS 2.
CERT.be
A equipa nacional de resposta a incidentes de segurança informática. Opera como um serviço dentro do CCB, e não como uma agência separada. Trata as notificações de incidentes, a coordenação técnica e a cooperação operacional com outros CSIRT da UE.
ENISA
A agência de cibersegurança da UE. Publica orientação, gere a base de dados europeia de vulnerabilidades e apoia a coordenação transfronteiriça. Não é supervisor das entidades belgas; o CCB é.
A Bélgica segue o mesmo calendário que a Alemanha.
A Bélgica cumpriu o prazo de 17 de outubro de 2024. A Lei de 26 de abril de 2024 foi publicada no Moniteur belge a 17 de maio de 2024 e entrou em vigor a 18 de outubro de 2024, com prazos de registo que já passaram em dezembro de 2024 e março de 2025. A Alemanha transpôs mais tarde: o seu novo BSIG aplica-se desde 6 de dezembro de 2025. O calendário de uma casa-mãe alemã nada diz sobre a filial belga. O seu supervisor está ativo, e um registo não feito está em atraso.
Ainda não há um portal de registo funcional.
O Safeonweb@work está ativo e operacional. Os prestadores de DNS, de TLD, de registo de domínios, de cloud, de centros de dados, de CDN, de serviços (de segurança) geridos, de mercados em linha, de motores de pesquisa e de redes sociais tinham de se registar até 18 de dezembro de 2024; todas as restantes entidades essenciais e importantes até 18 de março de 2025. O registo tardio é uma lacuna de conformidade sobre a qual o CCB pode atuar, e os dados de registo têm de ser mantidos atualizados ao abrigo do Artigo 3.o, n.o 4 da diretiva.
Só os setores que já tinham um regulador NIS 1 estão no âmbito.
A NIS 2 alarga o perímetro muito para lá da lista de OES da NIS 1. Os novos setores incluem administrações públicas, indústria transformadora, alimentação, serviços postais e de correio, gestão de resíduos e químicos, entre outros. O teste de dimensão limita-se por norma às médias e grandes empresas, mas as pequenas entidades podem ser captadas quando são prestadores únicos ou quando a lei as acrescenta. A verificação de aplicabilidade tem de ser feita caso a caso.
A Bélgica é o raro país da UE onde a NIS 2 é operacional, não teórica. O CCB tem pessoal, o portal de registo funciona, o Decreto Real está em vigor, e o enquadramento CyberFundamentals dá às entidades um caminho de implementação concreto que, com uma avaliação periódica de conformidade, conduz a uma presunção de conformidade. Os operadores belgas que ainda não se registaram não estão à frente da curva, estão atrás dela.
O passo prático é o mesmo de toda a UE: confirmar o âmbito ao abrigo da diretiva, registar-se no Safeonweb@work, estabelecer as quatro obrigações contínuas (manutenção do registo, notificação de incidentes, risco da cadeia de abastecimento, supervisão pelo órgão de gestão) e documentar o mínimo. O enquadramento CyFun ajuda com os controlos substantivos, mas não substitui a documentação das próprias medidas da NIS 2.
- Diretiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regulamento de Execução (UE) 2024/2690 da Comissão
- Lei de 26 de abril de 2024 que estabelece um enquadramento para a cibersegurança das redes e dos sistemas de informação de interesse geral para a segurança pública, Moniteur belge / Belgisch Staatsblad, 17 de maio de 2024
- Decreto Real de 9 de junho de 2024 que executa a lei NIS 2: Moniteur belge / Belgisch Staatsblad
- Centre for Cybersecurity Belgium (CCB), ccb.belgium.be
- Safeonweb@work, atwork.safeonweb.be (portal de registo NIS 2)
- CERT.be, CSIRT nacional, a operar dentro do CCB
- Enquadramento CyberFundamentals (CyFun), CCB
Na prática
O que a lei nacional muda, e o que não muda
A lei nacional determina, entre outras coisas, onde se regista e a quem notifica os incidentes. As medidas partem da mesma lista mínima em todos os Estados-Membros (art. 21.º NIS 2). O percurso guiado leva-o por elas passo a passo:
O percurso em si está em alemão e em inglês.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
