Estado da NIS 2 na Finlândia
O que a diretiva exige, como a Finlândia a implementa e onde se situam a Traficom e o NCSC-FI neste quadro.
Visão geral
A Diretiva NIS 2 é a camada da UE. Vincula todos os Estados-Membros, incluindo a Finlândia, a um único patamar mínimo para as entidades essenciais e importantes. A Finlândia tem de levar esse patamar para o direito finlandês e exercer a supervisão por baixo dele.
A Finlândia transpõe a NIS 2 através da Cybersecurity Act (Kyberturvallisuuslaki, Act 124/2025). O Parlamento aprovou-a a 11 de março de 2025 e entrou em vigor a 8 de abril de 2025. Isto é posterior ao prazo da UE de 17 de outubro de 2024. A 7 de maio de 2025, a Comissão Europeia enviou um parecer fundamentado à Finlândia e a outros dezoito Estados-Membros por não terem notificado a transposição completa a tempo.
A supervisão está dividida setor a setor. A Agência Finlandesa dos Transportes e Comunicações, a Traficom, supervisiona o maior grupo de setores e aloja o National Cyber Security Centre Finland (NCSC-FI), que é o CSIRT nacional e o ponto de contacto único ao abrigo do Artigo 8.º(3) da diretiva. A par da Traficom, a Autoridade da Energia (Energiavirasto), a Agência Finlandesa de Segurança e Produtos Químicos (Tukes) e outras autoridades setoriais supervisionam os seus próprios setores. A banca e as infraestruturas do mercado financeiro estão abrangidas pelo DORA, não pela Cybersecurity Act finlandesa.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança válida em toda a UE. Define as obrigações que cada Estado-Membro tem de transpor, incluindo o teste de dimensão e de setor para as entidades essenciais e importantes.
Ato de execução da UE
Regulamento de Execução (UE) 2024/2690
Requisitos técnicos e metodológicos para os prestadores de DNS, os registos de TLD, os prestadores de serviços de cloud, de centros de dados e de CDN, os prestadores de serviços (de segurança) geridos, os mercados em linha, os motores de pesquisa, as redes sociais e os prestadores de serviços de confiança. Diretamente aplicável na Finlândia, sem necessidade de transposição nacional.
Transposição finlandesa
Cybersecurity Act 124/2025, em vigor desde 8 de abril de 2025
A transposição finlandesa da NIS 2. Uma lei horizontal de cibersegurança que consolida obrigações antes dispersas por várias leis setoriais específicas. Regulamentos e orientação da Traficom preenchem o detalhe operacional.
Cybersecurity Act 124/2025
Leva as obrigações da NIS 2 para o direito finlandês. Define as entidades essenciais e importantes, os poderes de supervisão, os deveres de notificação de incidentes e as sanções. O detalhe operacional segue por via de regulamentos e da orientação da Traficom.
Traficom e NCSC-FI
A Traficom supervisiona os transportes, a infraestrutura digital, a gestão de serviços de TIC, o espaço, os serviços postais e de correio expresso, os prestadores digitais, a investigação e o fabrico de veículos, e aloja o NCSC-FI como CSIRT nacional e ponto de contacto único. Os outros setores cabem às suas próprias autoridades, nomeadamente a Energiavirasto para as redes de eletricidade, de aquecimento urbano e de gás, e a Tukes para o petróleo, o armazenamento e a refinação de gás, a produção de hidrogénio, os produtos químicos e partes da indústria transformadora. A banca e as infraestruturas do mercado financeiro estão abrangidas pelo DORA.
Registo e notificação
As entidades finlandesas tinham de se registar junto do respetivo supervisor setorial até 8 de maio de 2025. As alterações aos dados registados têm de ser comunicadas no prazo de duas semanas. Os incidentes significativos seguem a diretiva: alerta precoce em 24 horas, notificação em 72 horas, relatório final em um mês. Todas as notificações são reencaminhadas para o CSIRT no NCSC-FI.
A lei finlandesa aplica-se na Finlândia
A atividade em território finlandês segue a transposição finlandesa. Um gerente alemão com uma filial finlandesa lê a Cybersecurity Act 124/2025 para essa filial, não o BSIG. As obrigações da diretiva são idênticas. O procedimento, o supervisor e as sanções vivem na lei finlandesa.
A Finlândia não pode ficar abaixo do piso da UE
A diretiva é um instrumento de harmonização mínima. A Finlândia pode ser mais rigorosa. A Finlândia não pode ficar abaixo da diretiva, nem nos deveres das entidades essenciais e importantes, nem nos prazos de notificação, nem na responsabilidade do órgão de gestão.
Traficom
A Agência Finlandesa dos Transportes e Comunicações supervisiona diretamente os transportes, a infraestrutura digital, a gestão de serviços de TIC, o espaço, os serviços postais e de correio expresso, os prestadores digitais, a investigação e o fabrico de veículos e equipamento de transporte e, ao abrigo de lei separada, a administração pública. Como todos os supervisores finlandeses, mantém a lista de entidades dos seus próprios setores.
NCSC-FI (Kyberturvallisuuskeskus)
O National Cyber Security Centre dentro da Traficom é o CSIRT nacional e o ponto de contacto único ao abrigo do Artigo 8.º(3) da diretiva. Um incidente significativo é notificado legalmente ao supervisor setorial competente, que o reencaminha de imediato para o NCSC-FI; na prática, um formulário partilhado da Traficom chega de uma só vez ao supervisor, ao CSIRT e ao ponto de contacto único.
ENISA
A agência de cibersegurança da UE. Publica orientação, opera a base de dados europeia de vulnerabilidades e coordena além-fronteiras. Não é supervisor das entidades finlandesas. Isso cabe à Traficom e às autoridades setoriais.
A Finlândia implementa a NIS 2 da mesma forma que a Alemanha, por isso podemos ler o BSIG.
Os deveres da diretiva são idênticos, a arquitetura de supervisão não. A Finlândia usa uma única lei horizontal, a Cybersecurity Act 124/2025, em vez de se sobrepor a uma estrutura federal do BSI. A supervisão está dividida pelos reguladores setoriais, com a Traficom e o NCSC-FI a coordenar. Mapear o BSIG sobre a Finlândia erra o supervisor e a via de notificação.
Ainda não há lista oficial, por isso podemos esperar.
O registo é obrigatório desde 8 de abril de 2025, e o prazo inicial foi 8 de maio de 2025. Cada supervisor setorial mantém a lista das entidades NIS 2 dos seus setores. Não estar registado não significa conforme, significa invisível para o supervisor. As alterações aos dados registados têm de ser comunicadas no prazo de duas semanas (artigo 3.o, n.o 4, da NIS 2, § 41 da lei finlandesa).
O meu regulador setorial trata de tudo, o NCSC-FI é apenas consultivo.
A autoridade setorial faz a supervisão e as auditorias, e é também a quem um incidente significativo é legalmente notificado. O supervisor reencaminha de imediato cada notificação para o CSIRT no NCSC-FI, e na prática um formulário partilhado da Traficom entrega o relatório de uma só vez ao supervisor, ao CSIRT e ao ponto de contacto único. Use esse formulário em vez de escrever a uma autoridade à mão.
A maioria dos operadores de médio mercado finlandeses que encontramos ainda trata a NIS 2 como um tema de TI. Isso é só meia verdade. A supervisão e o canal de notificação situam-se ao nível setorial, o âmbito é mais amplo do que no antigo regime finlandês de cibersegurança, e o órgão de gestão (toimitusjohtaja, hallitus) carrega uma responsabilidade mais pesada. O órgão de gestão aprova e supervisiona o procedimento de gestão de risco e tem de ter familiaridade adequada com a gestão do risco de cibersegurança; nas entidades essenciais, violações graves repetidas podem levar a uma proibição temporária de exercer funções no conselho.
O passo prático é o mesmo de toda a UE: fazer a verificação de aplicabilidade contra a diretiva, registar-se junto do supervisor setorial e constar da sua lista de entidades, estabelecer os quatro deveres contínuos (manter atualizados os dados de registo, notificar incidentes, gerir o risco da cadeia de abastecimento, supervisão pelo órgão de gestão) e documentar o mínimo. Usar o formulário de notificação partilhado da Traficom mantém limpa a via de notificação.
- Diretiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regulamento de Execução (UE) 2024/2690
- Cybersecurity Act 124/2025 (Kyberturvallisuuslaki), Finlex
- Traficom, Agência Finlandesa dos Transportes e Comunicações, página oficial de transposição da NIS 2
- Kyberturvallisuuskeskus (NCSC-FI), CSIRT nacional e ponto de contacto único
- Energiavirasto, supervisor setorial da eletricidade, aquecimento urbano e gás
- Tukes (Agência Finlandesa de Segurança e Produtos Químicos): supervisor setorial do petróleo, do armazenamento de gás, da produção de hidrogénio, dos produtos químicos e de partes da indústria transformadora
- Parecer fundamentado da Comissão Europeia de 7 de maio de 2025 sobre a transposição da NIS 2
Na prática
O que a lei nacional muda, e o que não muda
A lei nacional determina, entre outras coisas, onde se regista e a quem notifica os incidentes. As medidas partem da mesma lista mínima em todos os Estados-Membros (art. 21.º NIS 2). O percurso guiado leva-o por elas passo a passo:
O percurso em si está em alemão e em inglês.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
