Estado da NIS 2 na Hungria
O que a diretiva exige, como a Hungria a transpõe e onde se situam a SZTFH e o NKI neste quadro.
Visão geral
A Diretiva NIS 2 é a camada da UE. Vincula todos os Estados-Membros, incluindo a Hungria, a um único piso de cibersegurança para as entidades essenciais e importantes. A Hungria tem de inscrever esse piso no direito húngaro e exercer um regime de supervisão ao abrigo dele.
A Hungria transpõe a NIS 2 principalmente através da Lei XXIII de 2023 sobre certificação de cibersegurança e supervisão de cibersegurança (2023. evi XXIII. torveny), em conjunto com decretos de execução posteriores. A lei antecede, por desenho, o prazo de outubro de 2024 da diretiva e é o enquadramento que a SZTFH usa hoje para exercer a supervisão.
A SZTFH (Szabalyozott Tevekenysegek Felugyeleti Hatosaga, Autoridade de Supervisão das Atividades Reguladas) é o supervisor principal para a fiscalização, a certificação e as auditorias de cibersegurança. O CSIRT nacional é o NKI (Nemzeti Kibervedelmi Intezet), que está dentro do Serviço Especial de Segurança Nacional sob o Gabinete do Primeiro-Ministro. A 7 de maio de 2025, a Comissão Europeia enviou à Hungria um parecer fundamentado por não notificar a transposição completa, pelo que ainda se esperam mais medidas nacionais.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança válida em toda a UE. Define as obrigações que cada Estado-Membro tem de transpor, incluindo os testes de dimensão e de setor para as entidades essenciais e importantes.
Execução da UE
Regulamento de Execução (UE) 2024/2690 da Comissão
Medidas técnicas e metodológicas para os prestadores de infraestrutura digital. Diretamente aplicável na Hungria sem transposição nacional.
Transposição húngara
Lei XXIII de 2023 sobre certificação de cibersegurança e supervisão de cibersegurança
A transposição húngara da NIS 2. Decretos governamentais e orientação da SZTFH preenchem o detalhe operacional. O Artigo 32.º(2) da lei nomeia a Diretiva NIS 2 como o instrumento da UE que serve. O parecer fundamentado da Comissão de 7 de maio de 2025 indica que ainda podem ser necessárias mais medidas para a transposição completa.
Lei XXIII de 2023
Leva as obrigações da NIS 2 para o direito húngaro. Define o regime de supervisão de cibersegurança, a certificação, os deveres de auditoria e as taxas de supervisão. A maior parte do detalhe operacional é delegada em decretos governamentais e na orientação da SZTFH. A lei entrou em vigor em 2023 e foi aplicada por fases.
SZTFH como supervisor, NKI como CSIRT
A SZTFH exerce a supervisão, a certificação, as auditorias e as taxas para as entidades afetadas. O NKI é o CSIRT nacional, a operar dentro do Serviço Especial de Segurança Nacional sob o Gabinete do Primeiro-Ministro. As duas funções, supervisão e resposta a incidentes, situam-se em instituições diferentes, ao contrário do que sucede em França ou na Alemanha.
Registo e notificação
As entidades afetadas autoclassificam-se e registam-se junto da SZTFH. Os incidentes significativos seguem a cadência da diretiva: alerta precoce de 24 horas, notificação de 72 horas e relatório final de um mês. Os nomes específicos dos portais húngaros e os prazos exatos de registo são regidos pela orientação da SZTFH e devem ser verificados nas publicações atuais da SZTFH.
A lei local aplica-se dentro da Hungria
As operações em território húngaro seguem a transposição húngara. Uma casa-mãe alemã que dirige uma filial húngara lê a Lei XXIII de 2023 para essa filial, não o BSIG alemão. As obrigações da diretiva são as mesmas. O procedimento, o supervisor e as sanções vivem na lei húngara.
A Hungria não pode ficar abaixo do piso da UE
A diretiva é um instrumento de harmonização mínima. A Hungria pode ser mais rigorosa, e na prática a SZTFH já exerce deveres adicionais de certificação e auditoria por cima. Não pode ficar abaixo da diretiva nos deveres das entidades essenciais e importantes, nos prazos de notificação de incidentes ou na responsabilidade do órgão de gestão. É isso que o parecer fundamentado da Comissão de 7 de maio de 2025 está a aferir.
SZTFH
Autoridade competente principal para a supervisão de cibersegurança ao abrigo da Lei XXIII de 2023. Exerce a supervisão, as auditorias, a certificação e o regime de taxas de supervisão. Publica a orientação operacional húngara para as entidades afetadas.
NKI
CSIRT nacional. Opera dentro do Serviço Especial de Segurança Nacional sob o Gabinete do Primeiro-Ministro. Recebe notificações de incidentes, coordena a resposta técnica e atua como ponto de contacto húngaro na cooperação de CSIRT ao nível da UE. Contactável em csirt@nki.gov.hu.
ENISA
A agência de cibersegurança da UE. Publica orientação, gere a base de dados europeia de vulnerabilidades e apoia a coordenação transfronteiriça. Não é supervisor das entidades húngaras. É a SZTFH.
A nossa casa-mãe alemã já tem o BSIG tratado, por isso a filial húngara está bem.
As obrigações da diretiva são as mesmas, mas o supervisor, o procedimento e as sanções vivem na lei húngara. Uma filial húngara regista-se junto da SZTFH, submete relatórios de incidentes através do NKI e segue os prazos da Lei XXIII de 2023. A validação BSIG em Bona não substitui o registo húngaro.
A Hungria falhou o prazo de outubro de 2024, por isso ainda nada está em vigor.
A Lei XXIII de 2023 estava em vigor antes do prazo de transposição da diretiva. A supervisão da SZTFH já está a funcionar. O parecer fundamentado da Comissão de 7 de maio de 2025 é sobre lacunas na transposição completa, não sobre se o supervisor existe. As entidades não podem esperar por mais legislação para agir.
Só os onze setores CER desencadeiam a NIS 2 na Hungria.
Os testes de dimensão e de setor decorrem dos Anexos I e II da Diretiva NIS 2, dezoito setores no total. O âmbito CER é mais estreito e situa-se no seu próprio enquadramento nacional. Confundir os dois é uma razão comum para as entidades se autoclassificarem mal.
A maioria dos operadores húngaros com quem falamos assume que a NIS 2 começa quando for aprovada uma nova lei abrangente. Não começa. A supervisão da SZTFH ao abrigo da Lei XXIII de 2023 já está ativa, as auditorias estão a acontecer, e a validação pelo órgão de gestão já é uma questão que a SZTFH pode colocar. O parecer fundamentado da Comissão de 7 de maio de 2025 aumenta a pressão política, mas não recua a data de início do supervisor.
O passo prático é o mesmo de toda a UE. Confirmar o âmbito ao abrigo da diretiva, registar-se junto do supervisor nacional (aqui a SZTFH), estabelecer as quatro obrigações contínuas (manutenção do registo, notificação de incidentes via NKI, risco da cadeia de abastecimento, supervisão pelo órgão de gestão) e documentar o mínimo. Os reguladores setoriais húngaros mantêm-se competentes onde se aplica lex specialis, em particular as finanças sob o MNB.
- Diretiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regulamento de Execução (UE) 2024/2690 da Comissão
- Lei XXIII de 2023 sobre certificação de cibersegurança e supervisão de cibersegurança (2023. evi XXIII. torveny), Nemzeti Jogszabalytar
- SZTFH (Szabalyozott Tevekenysegek Felugyeleti Hatosaga), sítio oficial, sztfh.hu
- NKI (Nemzeti Kibervedelmi Intezet), CSIRT nacional, nki.gov.hu
- Comissão Europeia, estado de transposição da NIS 2, Hungria, parecer fundamentado de 7 de maio de 2025
- MNB (Magyar Nemzeti Bank), autoridade competente para o DORA no setor financeiro
Na prática
O que a lei nacional muda, e o que não muda
A lei nacional determina, entre outras coisas, onde se regista e a quem notifica os incidentes. As medidas partem da mesma lista mínima em todos os Estados-Membros (art. 21.º NIS 2). O percurso guiado leva-o por elas passo a passo:
O percurso em si está em alemão e em inglês.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
