Estado da NIS 2 em França
O que a diretiva exige, como a França a transpõe, e onde se situa a ANSSI dentro do quadro.
Visão geral
A diretiva NIS 2 é a camada da UE. Vincula todos os Estados-Membros, incluindo a França, com um único piso de cibersegurança para entidades essenciais e importantes. A França tem de pôr esse piso no direito francês e operar um regime de supervisão ao seu abrigo.
A França ainda não transpôs a NIS 2. A transposição é um projeto de lei do Governo, o projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, que abrange a NIS 2, a diretiva relativa às entidades críticas e o DORA. O Senado aprovou-o em 12 de março de 2025 e uma comissão especial da Assemblée nationale em 10 de setembro de 2025. O debate em plenário da Assemblée está marcado para 7 de outubro de 2026. A Comissão remeteu a França para o Tribunal de Justiça da UE em 8 de julho de 2026 por falta de transposição da NIS 2, e pediu sanções financeiras. O projeto sobrepõe-se ao regime OIV existente (Opérateurs d'Importance Vitale) e ao regime OSE da NIS 1 (Opérateurs de Services Essentiels), em vez de os substituir por inteiro.
A ANSSI (Agence nationale de la sécurité des systèmes d'information) opera o CSIRT nacional e é a autoridade nacional nos termos do projeto de lei. Oferece um pré-registo voluntário em messervices.cyber.gouv.fr/nis2 (antes MonEspaceNIS2); o registo só se torna obrigatório depois de a lei ser adotada. Os reguladores setoriais mantêm-se no circuito para os setores que já tinham um, em particular o financeiro, onde o DORA atua como lex specialis.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança à escala da UE. Fixa as obrigações que cada Estado-Membro tem de transpor, incluindo os testes de dimensão e de setor para entidades essenciais e importantes.
Implementação da UE
Regulamento de Execução (UE) 2024/2690 da Comissão
Medidas técnicas e metodológicas para os prestadores de infraestrutura digital. Diretamente aplicável em França sem transposição nacional.
Transposição francesa (projeto de lei)
Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité
O projeto de lei do Governo que transporá a NIS 2, juntamente com a diretiva relativa às entidades críticas e o DORA. O Senado aprovou-o em 12 de março de 2025; o debate em plenário da Assemblée nationale está marcado para 7 de outubro de 2026. O Título I do projeto reescreve as regras dos operadores críticos no Code de la défense; o Título II inclui a NIS 2 como artigos da nova lei, com a ANSSI como autoridade nacional. Os decretos de execução e a orientação da ANSSI preencherão o detalhe operacional.
O projeto de lei sobre resiliência e cibersegurança
Transportará as obrigações da NIS 2 para o direito francês depois de adotado; ainda não é lei. O projeto define duas categorias, entités essentielles (EE) e entités importantes (EI), os poderes de supervisão da ANSSI, os deveres de comunicação de incidentes e as sanções. A maioria do detalhe operacional é delegada nos décrets d'application.
A ANSSI como supervisor e CSIRT
Nos termos do projeto de lei, a ANSSI conduz a supervisão e as auditorias e remete as infrações para uma comissão de sanções (commission des sanctions), que aplica as coimas. Também opera o CSIRT nacional e o pré-registo voluntário em messervices.cyber.gouv.fr/nis2 (antes MonEspaceNIS2). Os reguladores setoriais, como a ACPR para o financeiro, mantêm a sua própria competência onde a lex specialis se aplica.
Registo e comunicação
A diretiva exigia que as entidades fossem identificáveis pelos Estados-Membros a partir de 17 de abril de 2025. A França ainda não tem dever de registo: a ANSSI oferece um pré-registo voluntário em messervices.cyber.gouv.fr/nis2 (antes MonEspaceNIS2), e o registo só se torna obrigatório depois de a lei ser adotada. Quando esta se aplicar, os incidentes significativos seguem a cadência da diretiva: alerta precoce de 24 horas, notificação de 72 horas e relatório final de um mês.
A lei local aplica-se dentro de França
As entidades estabelecidas em França seguirão a transposição francesa depois de adotada. Um Geschäftsführer alemão que dirige uma filial francesa lê a lei francesa para essa filial, não o BSIG alemão. As obrigações da diretiva são as mesmas; o procedimento, o portal e as sanções residirão no direito francês.
A França não pode descer abaixo do piso da UE
A diretiva é um instrumento de harmonização mínima. A França pode ir mais longe, e historicamente fê-lo através do regime OIV. Não pode descer abaixo da diretiva no que respeita aos deveres das entidades essenciais e importantes, aos prazos de comunicação de incidentes ou à responsabilização do órgão de gestão.
ANSSI
CSIRT nacional e, nos termos do projeto de lei, autoridade nacional. Opera o pré-registo voluntário da NIS 2 em messervices.cyber.gouv.fr/nis2 (antes MonEspaceNIS2), emite orientações e conduz auditorias. Nos termos do projeto, a ANSSI supervisiona e remete as infrações para uma comissão de sanções (commission des sanctions), que aplica coimas até 10 milhões de EUR ou 2 % do volume de negócios mundial para as entidades essenciais e até 7 milhões de EUR ou 1,4 % para as entidades importantes. Detém a doutrina histórica dos OIV que alimentará a supervisão da NIS 2.
CNIL
A autoridade francesa de proteção de dados. Não é o regulador da NIS 2. Mantém-se competente para a comunicação de violações de dados pessoais ao abrigo do GDPR. Um incidente NIS 2 que toca em dados pessoais é frequentemente uma dupla notificação: ANSSI e CNIL.
ENISA
A agência de cibersegurança da UE. Publica orientações, gere a base de dados europeia de vulnerabilidades e apoia a coordenação transfronteiriça. Não é supervisor das entidades francesas; a ANSSI é.
Já somos OIV, por isso a NIS 2 está tratada.
As classificações OIV e OSE ao abrigo do atual Code de la défense e do quadro da NIS 1 não transitam automaticamente como entidades essenciais ou importantes (EE ou EI) ao abrigo da NIS 2. O perímetro é diferente, os limiares setoriais são diferentes, e as entidades têm de verificar o seu estatuto face aos novos critérios. Muitos OIV são também entidades essenciais da NIS 2, mas o conjunto de obrigações e o canal de comunicação mudam.
A NIS 2 em França só se aplica aos grandes operadores.
O teste de dimensão limita-se, por defeito, às empresas de média e grande dimensão, mas a diretiva apanha as pequenas entidades quando são o único prestador, quando a perturbação tem impacto transfronteiriço, ou quando o direito francês as acrescenta. As administrações públicas e certos prestadores digitais estão dentro de âmbito independentemente da dimensão. A verificação de aplicabilidade tem de ser feita caso a caso, não apenas pela dimensão da empresa.
O MonEspaceNIS2 e a ANSSI só aceitam francês.
O portal e a orientação oficial são primeiro em francês. As empresas-mãe estrangeiras não devem assumir que precisam de uma tradução francesa integral de cada política interna para se registarem ou apresentarem um relatório de incidente.
A maioria dos operadores franceses equivalentes ao Mittelstand que vemos ainda trata a NIS 2 como uma extensão do antigo regime OIV / OSE. Isso está meio certo. Nos termos do projeto de lei, a supervisão e o canal de incidentes situam-se dentro da ANSSI como antes, mas o âmbito é mais amplo e a validação do órgão de gestão é mais pesada. Quando a lei se aplicar, o equivalente ao Geschäftsführer (président, directeur général, gérant) é pessoalmente responsável pela aprovação da gestão de risco e pela formação.
O movimento prático é o mesmo que em toda a UE: confirmar o âmbito ao abrigo da diretiva, fazer o pré-registo voluntário junto da ANSSI (messervices.cyber.gouv.fr/nis2, antes MonEspaceNIS2) e registar-se quando a lei for adotada, estabelecer os quatro deveres contínuos (manutenção do registo, comunicação de incidentes, risco da cadeia de fornecimento, supervisão do órgão de gestão), e documentar o mínimo. O aparelho OIV ajuda, mas não substitui os deveres da NIS 2.
- Diretiva (UE) 2022/2555 (NIS 2). EUR-Lex
- Regulamento de Execução (UE) 2024/2690 da Comissão
- Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité: Assemblée nationale, dossier legislativo
- Code de la défense, artigos L.1332-1 et suivants (OIV). Légifrance
- ANSSI. Agence nationale de la sécurité des systèmes d'information, sítio oficial
- Pré-registo NIS 2 da ANSSI: messervices.cyber.gouv.fr/nis2 (antes MonEspaceNIS2)
- ACPR / Banque de France. Autoridade competente para o DORA no setor financeiro
Na prática
O que a lei nacional muda, e o que não muda
A lei nacional determina, entre outras coisas, onde se regista e a quem notifica os incidentes. As medidas partem da mesma lista mínima em todos os Estados-Membros (art. 21.º NIS 2). O percurso guiado leva-o por elas passo a passo:
O percurso em si está em alemão e em inglês.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
