Estado da NIS 2 em Chipre
O que a diretiva exige, como Chipre a está a transpor, e onde se encaixa a DSA.
Visão geral
A Diretiva NIS 2 é a camada da UE. Vincula todos os Estados-Membros, incluindo Chipre, a um nível mínimo uniforme para entidades essenciais e importantes. Chipre tem de elevar esse piso para a lei cipriota e supervisioná-lo ao seu abrigo.
Chipre não transpôs a NIS 2 até ao prazo de 17 de outubro de 2024. A Comissão Europeia enviou a Chipre um parecer fundamentado em 7 de maio de 2025 por não notificação da transposição completa. As fontes cipriotas apontam para a lei de alteração 60(I)/2025, que atualiza a Lei preexistente sobre a Segurança das Redes e dos Sistemas de Informação 89(I)/2020. Os leitores devem verificar a referência exata do jornal oficial face ao Jornal Oficial de Chipre antes de se basearem nela para uma apresentação.
A Autoridade de Segurança Digital (DSA, Αρχή Ψηφιακής Ασφάλειας) é a autoridade competente. O CSIRT-CY nacional opera a seu lado. A mecânica de registo e as orientações setoriais ainda estão a ser publicadas, e os detalhes sobre o registo de entidades não estavam finalizados nos materiais públicos da DSA que analisámos.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança de âmbito europeu. Fixa as obrigações que cada Estado-Membro tem de transpor, incluindo o teste de dimensão e de setor para entidades essenciais e importantes.
Ato de execução da UE
Regulamento de Execução (UE) 2024/2690 da Comissão
Medidas técnicas e metodológicas para os fornecedores de infraestruturas digitais. Diretamente aplicável em Chipre, sem transposição cipriota necessária.
Transposição cipriota
Lei 89(I)/2020 sobre a Segurança das Redes e dos Sistemas de Informação, conforme alterada pela Lei 60(I)/2025
O quadro cipriota da NIS 2. A lei de 2020 transpôs originalmente a NIS 1. As fontes públicas indicam que foi alterada em 2025 para trazer as obrigações da NIS 2 para a lei cipriota. A Comissão ainda considerava a transposição incompleta à data de 7 de maio de 2025, pelo que se espera que se sigam medidas secundárias e orientações da DSA.
Lei 89(I)/2020 conforme alterada
A Lei cipriota de 2020 sobre a Segurança das Redes e dos Sistemas de Informação é o estatuto de suporte. As referências públicas indicam que uma lei de alteração de 2025 (60(I)/2025) está a ser usada para trazer as obrigações da NIS 2 para a lei cipriota. O texto exato, as definições de entidades essenciais e importantes, os poderes de supervisão da DSA, os prazos de notificação e as penalizações devem ser verificados face ao Jornal Oficial de Chipre antes de qualquer apresentação.
DSA como autoridade competente
A Autoridade de Segurança Digital (DSA) atua como autoridade competente cipriota em matéria de cibersegurança e está nomeada na página de país da NIS 2 da Comissão Europeia. O CSIRT-CY opera como CSIRT nacional e está co-localizado com a DSA. Os reguladores setoriais mantêm os seus papéis quando se aplica a lex specialis, em particular para o setor financeiro ao abrigo da DORA.
Os prazos da UE continuam a aplicar-se
Chipre falhou o prazo de transposição de 17 de outubro de 2024. Assim que a lei cipriota acompanhar, o calendário da diretiva transita: identificação das entidades em conformidade com o Artigo 3.o, n.o 4 NIS 2, alerta precoce no prazo de 24 horas, notificação de incidente no prazo de 72 horas e relatório final no prazo de um mês. Enquanto as regras cipriotas não estiverem plenamente em vigor, as obrigações ao nível da diretiva continuam a ser a referência.
Em Chipre, aplica-se a lei cipriota
As atividades em território cipriota seguem a transposição cipriota. Uma empresa-mãe alemã com uma filial cipriota lê a Lei 89(I)/2020 (conforme alterada) para essa filial, não o BSIG. As obrigações ao nível da diretiva são as mesmas. O procedimento, o canal de registo e as penalizações residem na lei cipriota.
Chipre não pode descer abaixo do piso da UE
A diretiva é uma harmonização mínima. Chipre está autorizado a ir mais longe. Chipre não está autorizado a descer abaixo da diretiva, nem quanto às obrigações das entidades essenciais e importantes, nem quanto aos prazos de notificação, nem quanto à responsabilização do órgão de direção. Um parecer fundamentado da Comissão apenas reforça esse ponto.
DSA
A Autoridade de Segurança Digital é a autoridade competente cipriota para a NIS 2 e o contacto nomeado na página de país da Comissão Europeia. Situa-se administrativamente próxima do Gabinete do Comissário das Comunicações Eletrónicas e da Regulação Postal. Os detalhes operacionais sobre o registo não estavam finalizados nos materiais que analisámos.
CSIRT-CY
O CSIRT nacional cipriota. Co-localizado com a DSA em Nicósia. Atua como ponto de contacto técnico para a notificação de incidentes e a coordenação transfronteiriça.
ENISA
A agência de cibersegurança da UE. Publica orientações, gere a base de dados europeia de vulnerabilidades e coordena ao nível transfronteiriço. Não é um supervisor das entidades cipriotas. Esse papel cabe à DSA.
Chipre está na UE, por isso podemos simplesmente aplicar as regras do BSIG alemão às nossas operações cipriotas.
As obrigações ao nível da diretiva são idênticas, mas o estatuto de suporte, a autoridade competente, o canal de registo e o regime de penalizações são cipriotas. Uma filial cipriota notifica a DSA e o CSIRT-CY, não o BSI. A política interna do grupo pode ser comum, as apresentações não.
Chipre não transpôs a NIS 2, por isso não temos nada a fazer até a lei estar finalizada.
A diretiva é o piso, e o direito cipriota tem de incluir, pelo menos, o calendário de incidentes de 24 horas, 72 horas e um mês. A própria diretiva vincula o Estado cipriota, não as empresas (artigo 46.º da NIS 2): enquanto a transposição não estiver concluída, mostra o que as regras cipriotas terão de conter. O parecer fundamentado da Comissão de 7 de maio de 2025 aumenta a pressão sobre Chipre, não a margem dos operadores. Construa já o registo de obrigações face à diretiva e encaixe as especificidades cipriotas à medida que forem publicadas.
Não somos um operador cipriota de infraestruturas críticas, por isso a NIS 2 não se nos aplica em Chipre.
O âmbito da NIS 2 em Chipre é definido pelos Anexos I e II da diretiva mais o teste de dimensão, não pela antiga lista cipriota de infraestruturas críticas. Muitos fornecedores de média dimensão em serviços digitais, serviços geridos, indústria e gestão de resíduos acabam no âmbito, embora nunca tenham constado de um registo cipriota de infraestruturas críticas. Verifique a aplicabilidade face à diretiva.
A maioria dos operadores cipriotas que vemos ainda trata a NIS 2 como um futuro problema de lei cipriota. Isto está meio certo. O estatuto de suporte avança devagar. As obrigações da diretiva não. Os órgãos de direção em Chipre são responsáveis pela aprovação da gestão de riscos e pela sua própria formação no momento em que a lei cipriota entrar plenamente em vigor, e argumentavelmente já hoje através da diretiva que está por detrás de uma transposição atrasada.
O passo prático é o mesmo que em toda a UE: verificar a aplicabilidade face à diretiva, preparar-se para registar assim que o mecanismo cipriota for publicado, instituir as quatro obrigações contínuas (manter os dados de registo atualizados, notificação de incidentes, risco da cadeia de fornecimento, supervisão pelo órgão de direção), e documentar o mínimo. A DSA e o CSIRT-CY são os pontos de contacto já existentes.
- Diretiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regulamento de Execução (UE) 2024/2690 da Comissão
- Comissão Europeia, página de país da Diretiva NIS 2 para Chipre, digital-strategy.ec.europa.eu
- Lei 89(I)/2020 sobre a Segurança das Redes e dos Sistemas de Informação, conforme alterada (alegadamente pela Lei 60(I)/2025), Jornal Oficial de Chipre
- Autoridade de Segurança Digital (DSA), Αρχή Ψηφιακής Ασφάλειας, dsa.gov.cy
- CSIRT-CY, csirt.cy
- Parecer fundamentado da Comissão de 7 de maio de 2025 sobre a não notificação da transposição da NIS 2 por Chipre
Na prática
O que a lei nacional muda, e o que não muda
A lei nacional determina, entre outras coisas, onde se regista e a quem notifica os incidentes. As medidas partem da mesma lista mínima em todos os Estados-Membros (art. 21.º NIS 2). O percurso guiado leva-o por elas passo a passo:
O percurso em si está em alemão e em inglês.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
