Estado da NIS 2 na República Checa
O que a diretiva exige, como a República Checa a transpõe, e onde se situa o NÚKIB no quadro.
Visão geral
A diretiva NIS 2 é a camada da UE. Vincula todos os Estados-Membros, incluindo a República Checa, a um piso único de cibersegurança para entidades essenciais e importantes. A República Checa tem de transpor esse piso para a lei checa e operar um regime de supervisão ao seu abrigo.
A República Checa transpõe a NIS 2 através da Lei n.o 264/2025 Sb., a nova Lei sobre Cibersegurança (Zákon o kybernetické bezpečnosti), adotada em 11 de junho de 2025, publicada na Coletânea de Leis (Sbírka zákonů) em 4 de agosto de 2025, e em vigor a partir de 1 de novembro de 2025. Substitui a anterior Lei n.o 181/2014 Sb. e alarga substancialmente o âmbito das entidades e serviços regulados.
O NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost) é o supervisor principal e gere o portal nacional de registo. As entidades reguladas autoidentificam-se e registam-se através do portal do NÚKIB, com a janela de registo inicial a fechar em 31 de dezembro de 2025. O GovCERT.CZ situa-se dentro do NÚKIB; o CSIRT.CZ é operado pela associação CZ.NIC.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança de âmbito europeu. Fixa as obrigações que cada Estado-Membro tem de transpor, incluindo os testes de dimensão e de setor para entidades essenciais e importantes.
Execução da UE
Regulamento de Execução (UE) 2024/2690 da Comissão
Medidas técnicas e metodológicas para os fornecedores de infraestruturas digitais. Diretamente aplicável na República Checa sem transposição nacional.
Transposição checa
Lei n.o 264/2025 Sb., sobre Cibersegurança (Zákon o kybernetické bezpečnosti)
A nova Lei NIS 2 checa. Adotada em 11 de junho de 2025, publicada em 4 de agosto de 2025, em vigor a partir de 1 de novembro de 2025. Substitui a Lei n.o 181/2014 Sb. Os decretos de execução (vyhlášky) do NÚKIB preenchem o detalhe operacional.
Lei n.o 264/2025 Sb.
Leva as obrigações da NIS 2 para a lei checa. Estabelece o regime de dois níveis de serviços regulados de maior e de menor relevância (poskytovatel regulované služby), os poderes de supervisão do NÚKIB, os deveres de notificação de incidentes e sanções até 250 milhões de CZK. Substitui a Lei n.o 181/2014 Sb. em 1 de novembro de 2025.
NÚKIB como supervisor central
O NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost), com sede em Brno, gere a supervisão, as auditorias e as sanções, opera o GovCERT.CZ como CSIRT governamental, e administra o portal de registo. O CSIRT.CZ é operado em separado pela associação CZ.NIC.
Registo e notificação
As entidades que prestam um serviço regulado tinham de se autoidentificar e registar através do portal do NÚKIB até 31 de dezembro de 2025. Estima-se que estejam no âmbito cerca de 6.000 a 8.000 organizações. Os incidentes significativos seguem a cadência da diretiva de alerta precoce em 24h, notificação em 72h e relatório final em um mês.
A lei local aplica-se dentro da República Checa
As operações em território checo seguem a Lei n.o 264/2025 Sb. Um Geschäftsführer alemão que gere uma filial checa lê a lei checa para essa filial, não o BSIG alemão. As obrigações da diretiva são as mesmas; o procedimento, o portal e as sanções residem na lei checa.
A República Checa não pode descer abaixo do piso da UE
A diretiva é um instrumento de harmonização mínima. A República Checa pode ir mais longe, e historicamente fê-lo através do regime de cibersegurança de 2014 que já excedia a NIS 1 em alguns pontos. Não pode descer abaixo da diretiva quanto aos deveres das entidades essenciais e importantes, aos prazos de notificação de incidentes ou à responsabilização do órgão de direção.
NÚKIB
Autoridade competente principal e supervisor. Opera o GovCERT.CZ como CSIRT governamental, administra o portal de registo, emite decretos de execução (vyhlášky) e orientações, conduz auditorias e impõe sanções. Detém a memória institucional do regime de cibersegurança de 2014, que agora alimenta a supervisão da NIS 2.
Autoridades setoriais
O NÚKIB consolida a supervisão, mas os reguladores setoriais mantêm-se relevantes quando se aplica a lex specialis. O ČNB (Banco Nacional Checo) supervisiona as entidades financeiras ao abrigo da DORA. O ERÚ (Gabinete Regulador da Energia) e o ČTÚ (Gabinete Checo das Telecomunicações) mantêm a sua competência setorial. O CSIRT.CZ, operado pela CZ.NIC, mantém-se como CSIRT do domínio .cz e apoia o setor digital.
ENISA
A agência de cibersegurança da UE. Publica orientações, gere a base de dados europeia de vulnerabilidades, e apoia a coordenação transfronteiriça. Não é um supervisor das entidades checas; o NÚKIB é.
A nossa empresa-mãe alemã está registada ao abrigo do BSIG, por isso a entidade checa está coberta.
A diretiva é um único piso, mas o procedimento é nacional. Uma filial checa que presta um serviço regulado dentro da República Checa regista-se ao abrigo da Lei n.o 264/2025 Sb. através do portal do NÚKIB. O registo alemão ao abrigo do BSIG não substitui. A estrutura do grupo não desloca a competência; o lugar de estabelecimento do serviço é que conta.
Não estávamos no registo da antiga Lei 181/2014, por isso não somos afetados.
A Lei n.o 264/2025 Sb. usa a autoidentificação. As anteriores listas KII / VIS do regime de 2014 não transitam um a um. Cada entidade tem de se testar face aos novos critérios de setor e de dimensão, e face à lista de cerca de 60 serviços regulados em 18 setores. Muitas entidades fora do antigo registo estão dentro do novo.
A NIS 2 é apenas para energia, telecomunicações e bancos. A indústria ou os resíduos ficam de fora.
A lei checa reflete os dois anexos da diretiva. As entidades importantes incluem o fabrico de certos produtos, a produção e distribuição de alimentos, a gestão de resíduos, os serviços postais, a produção química e os fornecedores digitais. As empresas de média dimensão nestes setores são abrangidas por defeito. As listas setoriais têm de ser lidas face aos Anexos I e II da diretiva, não face à intuição.
A maioria dos operadores checos do mercado médio que vemos tratam a NIS 2 como uma extensão do antigo regime da Lei 181/2014 Sb. Está meio certo. O NÚKIB continua a gerir a supervisão e o canal de incidentes, mas o âmbito é muito mais amplo, o modelo de dois níveis de maior e menor relevância altera as obrigações por serviço, e o órgão estatutário (jednatel ou představenstvo) tem responsabilidade explícita pela aprovação da gestão de riscos e pela formação.
O passo prático é o mesmo que em toda a UE: confirmar o âmbito ao abrigo da diretiva, autoidentificar-se face à lista de serviços regulados, registar-se através do portal do NÚKIB, instituir as quatro obrigações contínuas (manutenção do registo, notificação de incidentes, risco da cadeia de fornecimento, supervisão pelo órgão de direção), e documentar o mínimo. A documentação de 2014 ajuda, mas não substitui o registo de obrigações da NIS 2.
- Diretiva (UE) 2022/2555 (NIS 2). EUR-Lex
- Regulamento de Execução (UE) 2024/2690 da Comissão
- Lei n.o 264/2025 Sb., sobre Cibersegurança. Sbírka zákonů (4 de agosto de 2025)
- Lei n.o 181/2014 Sb. sobre Cibersegurança. Quadro anterior
- NÚKIB. Národní úřad pro kybernetickou a informační bezpečnost (Brno), sítio oficial nukib.gov.cz
- GovCERT.CZ. CSIRT governamental, operado pelo NÚKIB
- CSIRT.CZ. CSIRT nacional para a comunidade da internet .cz, operado pela CZ.NIC
- Banco Nacional Checo (ČNB). Autoridade competente em matéria de DORA para o setor financeiro
- Comissão Europeia, registo de transposição da NIS 2. República Checa
Na prática
O que a lei nacional muda, e o que não muda
A lei nacional determina, entre outras coisas, onde se regista e a quem notifica os incidentes. As medidas partem da mesma lista mínima em todos os Estados-Membros (art. 21.º NIS 2). O percurso guiado leva-o por elas passo a passo:
O percurso em si está em alemão e em inglês.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
