Estado da NIS 2 na Estónia
O que a diretiva exige, como a Estónia a transpõe através da Lei de Cibersegurança e onde se situa a RIA neste quadro.
Visão geral
A Diretiva NIS 2 é a camada da UE. Vincula todos os Estados-Membros, incluindo a Estónia, a um único piso de cibersegurança para as entidades essenciais e importantes. A Estónia tem de inscrever esse piso no direito estónio e exercer um regime de supervisão ao abrigo dele.
A Estónia transpôs a NIS 2 através de alterações à Küberturvalisuse seadus (Lei de Cibersegurança) existente, em vez de uma lei totalmente nova. As alterações foram aprovadas pelo Riigikogu em dezembro de 2025 e entraram em vigor a 1 de janeiro de 2026. O prazo de transposição da UE de 17 de outubro de 2024 foi falhado, razão pela qual a Comissão Europeia enviou à Estónia um parecer fundamentado em maio de 2025.
A Autoridade do Sistema de Informação (Riigi Infosüsteemi Amet, RIA) é a autoridade nacional competente, o ponto de contacto único e o CSIRT. O CERT-EE é a unidade de resposta a incidentes da RIA. Os prestadores já abrangidos a 1 de janeiro de 2026 tiveram de apresentar os seus dados à RIA no prazo de três meses, através do portal do Estado eesti.ee.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança válida em toda a UE. Define as obrigações que cada Estado-Membro tem de transpor, incluindo os testes de dimensão e de setor para as entidades essenciais e importantes.
Execução da UE
Regulamento de Execução (UE) 2024/2690 da Comissão
Requisitos técnicos e metodológicos para os prestadores de DNS, os registos de TLD, os prestadores de serviços de cloud, de centros de dados e de CDN, os prestadores de serviços (de segurança) geridos, os mercados em linha, os motores de pesquisa, as redes sociais e os prestadores de serviços de confiança. Diretamente aplicável na Estónia sem transposição nacional.
Transposição estónia
Küberturvalisuse seadus, alterações NIS 2 em vigor desde 1 de janeiro de 2026
A transposição estónia da NIS 2 é um pacote de alterações à Lei de Cibersegurança existente (adotado a 10 de dezembro de 2025, RT I, 30.12.2025, 4), complementado por regulamentos de execução e orientação da RIA. Segundo a exposição de motivos, o perímetro regulado passa de cerca de 3 500 para cerca de 6 500 entidades, nos setores da energia, transportes, saúde, infraestrutura digital e administração pública.
Küberturvalisuse seadus, alterada para a NIS 2
A Estónia não redigiu uma nova lei de cibersegurança. A Lei de Cibersegurança existente foi alterada para levar as obrigações da NIS 2: as categorias de entidades essenciais e importantes, os poderes de supervisão da RIA, os deveres de notificação de incidentes e as sanções. O detalhe operacional é preenchido por regulamentos de execução e orientação da RIA.
RIA como autoridade competente, CERT-EE como CSIRT
A RIA (Riigi Infosüsteemi Amet, a Autoridade do Sistema de Informação) é a autoridade nacional competente e o ponto de contacto único ao abrigo da NIS 2. O CERT-EE, o CSIRT nacional, está dentro da RIA e trata do tratamento e da coordenação de incidentes. Os reguladores setoriais conservam os seus papéis existentes onde se aplica lex specialis.
Registo e notificação
As alterações à Lei de Cibersegurança entraram em vigor a 1 de janeiro de 2026. Os prestadores abrangidos nessa data tiveram de notificar a RIA no prazo de três meses. Os prestadores que cumpram os critérios mais tarde dispõem de três meses a partir desse momento, e as alterações têm de ser comunicadas no prazo de duas semanas. Um membro do conselho de administração apresenta a notificação no eesti.ee. Os prestadores têm três anos, a contar de 1 de janeiro de 2026, para cumprir integralmente os requisitos. Os incidentes significativos são comunicados ao CERT-EE (raport.cert.ee ou cert@cert.ee) segundo a cadência da diretiva: alerta precoce de 24 horas, notificação de 72 horas, relatório final de um mês.
A lei local aplica-se dentro da Estónia
As operações em território estónio seguem a transposição estónia. Um Geschäftsführer alemão que dirige uma filial estónia lê a Küberturvalisuse seadus para essa filial, não o BSIG alemão. As obrigações da diretiva são as mesmas; o procedimento, o portal e as sanções vivem na lei estónia e são supervisionados pela RIA.
A Estónia não pode ficar abaixo do piso da UE
A diretiva é um instrumento de harmonização mínima. A Estónia pode ser mais rigorosa. Não pode ficar abaixo da diretiva nos deveres das entidades essenciais e importantes, nos prazos de notificação de incidentes ou na responsabilidade do órgão de gestão.
RIA
Riigi Infosüsteemi Amet, a Autoridade do Sistema de Informação. Autoridade nacional competente, ponto de contacto único e regulador de cibersegurança ao abrigo da NIS 2. Opera o centro nacional de cibersegurança, emite orientação, exerce a supervisão e coordena a resposta a incidentes através do CERT-EE.
CERT-EE
O CSIRT nacional estónio, organicamente parte da RIA. Recebe notificações de incidentes, coordena a resposta no setor público e entre os operadores de infraestrutura crítica, e liga-se à rede de CSIRT da UE.
ENISA
A agência de cibersegurança da UE. Publica orientação, gere a base de dados europeia de vulnerabilidades e apoia a coordenação transfronteiriça. Não é supervisor das entidades estónias; a RIA é.
A Estónia está na UE, por isso o NIS2UmsuCG alemão também se aplica aqui.
Cada Estado-Membro transpõe a diretiva para a sua própria lei. Uma filial estónia segue a Küberturvalisuse seadus, supervisionada pela RIA, mesmo que a casa-mãe esteja na Alemanha. As notificações vão através do CERT-EE, não através do BSI alemão. As obrigações substantivas estão alinhadas ao nível da diretiva, mas o procedimento e o supervisor são estónios.
Não há registo NIS 2 público na Estónia, por isso podemos esperar.
A Lei de Cibersegurança alterada exige que os prestadores abrangidos apresentem os seus dados à RIA: os abrangidos a 1 de janeiro de 2026 no prazo de três meses, os que entrem mais tarde no prazo de três meses após cumprirem os critérios. Se um registo público é ou não visível para terceiros é uma questão separada. Esperar até a fiscalização ser visível é o erro mais comum.
Não estamos num setor crítico, por isso a NIS 2 não se aplica.
O perímetro da NIS 2 é mais amplo do que a antiga lista de OES da NIS 1. Setores como a gestão de resíduos, os serviços postais e de correio, o fabrico de certos produtos, a produção de alimentos e os prestadores digitais estão agora no âmbito ao abrigo do Anexo II se o teste de dimensão for cumprido. As administrações públicas e certos prestadores digitais estão no âmbito independentemente da dimensão. A verificação tem de ser feita contra o anexo setorial da diretiva, não contra a perceção da entidade de ser crítica.
A Estónia entrou na NIS 2 a partir de uma elevada linha de base de governo digital. A RIA já operava o centro nacional de cibersegurança, o CERT-EE já estava operacional, e a Lei de Cibersegurança já existia. O passo da NIS 2 não foi uma nova arquitetura, foi um âmbito mais amplo e uma governação mais apertada: mais setores no âmbito, responsabilidade do órgão de gestão formalizada, e prazos de notificação de incidentes alinhados com a diretiva.
O passo prático é o mesmo de toda a UE: confirmar o âmbito ao abrigo da diretiva, autorregistar-se junto da RIA, estabelecer as quatro obrigações contínuas (manutenção do registo, notificação de incidentes, risco da cadeia de abastecimento, supervisão pelo órgão de gestão) e documentar o mínimo. A linha de base estónia ajuda na maturidade técnica, mas não substitui a documentação das próprias medidas da NIS 2.
- Diretiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regulamento de Execução (UE) 2024/2690 da Comissão
- Küberturvalisuse seadus (Lei de Cibersegurança), Riigi Teataja
- Comissão Europeia, rastreador de transposição da Diretiva NIS 2, Estónia (digital-strategy.ec.europa.eu)
- RIA, Riigi Infosüsteemi Amet, sítio oficial (ria.ee)
- CERT-EE, CSIRT nacional estónio, dentro da RIA
- Comunicados do Riigikogu sobre o projeto de lei de transposição da NIS 2
Na prática
O que a lei nacional muda, e o que não muda
A lei nacional determina, entre outras coisas, onde se regista e a quem notifica os incidentes. As medidas partem da mesma lista mínima em todos os Estados-Membros (art. 21.º NIS 2). O percurso guiado leva-o por elas passo a passo:
O percurso em si está em alemão e em inglês.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
