Estado da NIS 2 na Irlanda
O que a Diretiva exige, onde está a Irlanda na transposição, e quem assegura a supervisão no entretanto.
Panorama
A Diretiva NIS 2 situa-se ao nível da UE. Vincula cada Estado-Membro, incluindo a Irlanda, a um piso único de obrigações para entidades essenciais e importantes. A Irlanda tem de traduzir esse piso em lei irlandesa e estabelecer a supervisão ao seu abrigo.
A Irlanda falhou o prazo de transposição de 17 de outubro de 2024. O General Scheme do National Cyber Security Bill 2024 foi publicado a 30 de agosto de 2024. No início de outubro de 2026, nenhum National Cyber Security Bill tinha sido apresentado no Oireachtas. A 8 de julho de 2026, a Comissão Europeia remeteu a Irlanda, juntamente com a Espanha, a França e os Países Baixos, para o Tribunal de Justiça da UE e pediu ao Tribunal que aplique uma quantia fixa e sanções pecuniárias diárias até a Irlanda notificar a transposição integral. Até a lei estar em vigor, a transposição irlandesa da NIS 1 (as European Union (Measures for a High Common Level of Security of Network and Information Systems) Regulations 2018, S.I. No. 360/2018) continua a aplicar-se.
O National Cyber Security Centre (NCSC-IE) é o CSIRT nacional. Nos termos do General Scheme, vai tornar-se a autoridade competente principal e o ponto de contacto único para a NIS 2, a par das autoridades competentes setoriais: a CRU para a energia, a água potável e as águas residuais, a ComReg para a infraestrutura digital, a gestão de serviços de TIC, o espaço e os prestadores digitais, o Central Bank of Ireland para a banca e as infraestruturas do mercado financeiro (onde o DORA se aplica como lex specialis), e outras autoridades para os transportes e a saúde. Desde 1 de junho de 2025, o NCSC e as funções NIS pertencem ao Department of Justice, Home Affairs and Migration, que as assumiu do Department of the Environment, Climate and Communications.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança da UE. Fixa as obrigações que cada Estado-Membro tem de transpor, incluindo o teste de dimensão e setor para entidades essenciais e importantes. Aplica-se à Irlanda independentemente do estado da transposição nacional.
Ato de execução da UE
Regulamento de Execução (UE) 2024/2690
Requisitos técnicos e metodológicos para os prestadores de DNS, os registos de TLD, os prestadores de serviços de cloud, de centros de dados e de CDN, os prestadores de serviços (de segurança) geridos, os mercados em linha, os motores de pesquisa, as redes sociais e os prestadores de serviços de confiança. Diretamente aplicável na Irlanda, sem necessidade de transposição nacional.
Transposição irlandesa
General Scheme do National Cyber Security Bill 2024 (projeto); até à promulgação: S.I. No. 360/2018 (NIS 1)
O governo aprovou a redação prioritária a 24 de julho de 2024 e publicou o General Scheme a 30 de agosto de 2024. Ainda não foi apresentado nenhum projeto de lei no Oireachtas. O projeto de lei e os regulamentos secundários que se seguirem carregarão o detalhe operacional. Até lá, a transposição da NIS 1 mantém-se em vigor, complementada pela orientação do NCSC-IE.
National Cyber Security Bill
Trará as obrigações da NIS 2 para a lei irlandesa, definirá entidades essenciais e importantes, estabelecerá poderes de supervisão e de aplicação coerciva e ancorará a notificação de incidentes. O detalhe operacional será preenchido por regulamentos secundários e pela orientação do NCSC-IE. Hoje: Heads of Bill publicados, texto final ainda não promulgado.
NCSC-IE como autoridade competente principal
O National Cyber Security Centre é o CSIRT nacional (CSIRT-IE). Nos termos do General Scheme, vai tornar-se a autoridade competente principal e o ponto de contacto único para a NIS 2, com reguladores setoriais como a CRU, a ComReg e o Central Bank como autoridades competentes dos seus setores. Já publica orientação preparatória, incluindo o projeto de orientação Risk Management Measures de junho de 2025, e refere o quadro belga CyFun como base prática.
Registo e notificação
Até 17 de abril de 2025, cada Estado-Membro tinha de estabelecer a sua lista de entidades essenciais e importantes (art. 3.o, n.o 3, da NIS 2). A Irlanda ainda não tem essa base jurídica, e os portais de registo e de notificação de incidentes só abrem quando a lei estiver em vigor. Os incidentes significativos seguirão então a Diretiva: alerta precoce em 24 horas, notificação de incidente em 72 horas, relatório final em um mês.
Em território irlandês, aplica-se a lei irlandesa
A atividade em território irlandês segue a transposição irlandesa. Um diretor-geral alemão com uma filial irlandesa lê o futuro National Cyber Security Act para essa filial, e os Regulamentos NIS 1 de 2018 no entretanto, não a BSIG alemã. As obrigações da diretiva são idênticas. Os procedimentos, os portais e as sanções vivem na lei irlandesa.
A Irlanda não pode ficar abaixo do piso da UE
A Diretiva é harmonização mínima. A Irlanda pode ir mais longe. A Irlanda não pode ficar abaixo da Diretiva, nem nos deveres das entidades essenciais e importantes, nem nos prazos de notificação, nem na responsabilização do órgão de direção. Até a Irlanda transpor, os deveres da Diretiva não vinculam diretamente as empresas irlandesas. Quando a lei estiver em vigor, não poderá fixar um nível inferior ao da Diretiva.
NCSC-IE
National Cyber Security Centre. CSIRT nacional (CSIRT-IE) e, nos termos do General Scheme, futura autoridade competente principal e ponto de contacto único para a NIS 2. Publica orientação preparatória, abrirá os portais de registo e de notificação quando a lei estiver em vigor e coordena com a ENISA e outros Estados-Membros.
Department of Justice, Home Affairs and Migration
Ministério responsável pela transposição. A 1 de junho de 2025, o governo transferiu as funções de cibersegurança, incluindo as previstas nos NIS 1 Regulations (S.I. No. 360/2018), do Department of the Environment, Climate and Communications para o Department of Justice (S.I. No. 234/2025). O NCSC é um braço operacional deste ministério. O General Scheme do National Cyber Security Bill 2024 está publicado; o projeto de lei em si ainda não foi apresentado no Oireachtas.
ENISA
A agência de cibersegurança da UE. Publica orientação, opera a base de dados europeia de vulnerabilidades e coordena entre fronteiras. Não é supervisor das entidades irlandesas. Nos termos do General Scheme, esse papel caberá ao NCSC-IE e às autoridades competentes setoriais quando a lei estiver em vigor.
Até a Irlanda transpor, aplicam-se as regras alemãs, porque a nossa empresa-mãe fica na Alemanha.
Não. A NIS 2 segue o princípio do estabelecimento. Uma filial irlandesa é regulada na Irlanda, uma alemã na Alemanha. A empresa-mãe alemã pode apoiar internamente a filial irlandesa, mas o dever legal de registar, notificar e supervisionar cabe à entidade irlandesa e corre para o NCSC-IE assim que a lei estiver em vigor. Até lá, a NIS 1 (S.I. No. 360/2018) rege para os setores já cobertos.
Enquanto o portal não estiver ativo, não tenho de fazer nada.
Os deveres de registo e de notificação da NIS 2 só chegam a uma empresa irlandesa através da lei irlandesa, que ainda não está em vigor. Até lá, aplica-se a NIS 1 (S.I. No. 360/2018) aos operadores de serviços essenciais já designados ao seu abrigo. Preparar-se continua a compensar: a gestão de risco, um processo de incidentes, as cláusulas da cadeia de abastecimento e a formação do órgão de direção levam meses a montar, e a lei fixará o prazo de registo quando o NCSC-IE abrir o portal.
Só os antigos OES da NIS 1 são apanhados pela NIS 2.
Não. A NIS 2 alarga substancialmente o catálogo de setores e dimensões. Os Operadores de Serviços Essenciais ao abrigo da NIS 1 continuam normalmente apanhados pela NIS 2, mas o perímetro é mais amplo e distingue agora entre entidades essenciais e importantes. As entidades médias e grandes listadas nos Anexos I e II da Diretiva estão no âmbito, tal como alguns pequenos prestadores com um papel particular, mais partes da administração pública.
A maioria dos operadores do mid-market irlandês que encontramos trata a NIS 2 como um prazo adiado e espera pelo National Cyber Security Bill. Juridicamente isso mantém-se por agora: uma diretiva vincula o Estado, não a empresa, pelo que, até a lei estar em vigor, só se aplicam os NIS 1 Regulations, e apenas aos operadores já designados ao seu abrigo. Na prática, o trabalho leva meses, por isso quem começar agora recebe a lei com a documentação já pronta.
O passo prático é o mesmo que em toda a UE: fazer o teste de aplicabilidade face à Diretiva, usar a orientação preparatória do NCSC-IE (o projeto Risk Management Measures, o CyFun) como orientação, estabelecer os quatro deveres contínuos (manter os dados de registo atualizados, notificação de incidentes, risco da cadeia de abastecimento, supervisão pelo órgão de direção) e documentar o mínimo. Assim que a lei estiver em vigor, o trabalho restante é sobretudo encaixar a documentação concluída nos procedimentos irlandeses.
- Diretiva (UE) 2022/2555 (NIS 2). EUR-Lex
- Regulamento de Execução (UE) 2024/2690
- General Scheme do National Cyber Security Bill 2024: Department of Justice, Home Affairs and Migration (gov.ie)
- European Union (Measures for a High Common Level of Security of Network and Information Systems) Regulations 2018 (S.I. No. 360/2018). Irish Statute Book
- NCSC-IE. National Cyber Security Centre, estado e orientação NIS 2 (ncsc.gov.ie)
- NCSC-IE. Draft Risk Management Measures Guidance (junho de 2025)
- ComReg: no General Scheme, autoridade competente para a infraestrutura digital, a gestão de serviços de TIC, o espaço e os prestadores digitais
- Central Bank of Ireland. autoridade competente para o DORA no setor financeiro
- S.I. No. 234/2025, Cyber Security (Transfer of Departmental Administration and Ministerial Functions) Order 2025: Irish Statute Book
- Comissão Europeia, 8 de julho de 2026: a Comissão remete a Irlanda, a Espanha, a França e os Países Baixos para o Tribunal de Justiça (digital-strategy.ec.europa.eu)
Na prática
O que a lei nacional muda, e o que não muda
A lei nacional determina, entre outras coisas, onde se regista e a quem notifica os incidentes. As medidas partem da mesma lista mínima em todos os Estados-Membros (art. 21.º NIS 2). O percurso guiado leva-o por elas passo a passo:
O percurso em si está em alemão e em inglês.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
