Estado da NIS 2 na Lituânia
O que a diretiva exige, como a Lituânia a implementa, e onde se situa o NKSC no quadro.
Visão geral
A diretiva NIS 2 é a camada da UE. Vincula todos os Estados-Membros, incluindo a Lituânia, a uma norma mínima única para entidades essenciais e importantes. A Lituânia tem de levar essa norma para a lei lituana e operar um supervisor ao seu abrigo.
A Lituânia transpõe a NIS 2 alterando a Lietuvos Respublikos kibernetinio saugumo įstatymas (Lei da Cibersegurança). A lei de alteração foi adotada em 11 de julho de 2024 e entrou em vigor em 18 de outubro de 2024, um dia depois do prazo da UE. O regulamento governamental de execução seguiu-se em novembro de 2024. A Lituânia está, portanto, entre os Estados-Membros que cumpriram o prazo de transposição de 17 de outubro de 2024 em substância.
O Nacionalinis kibernetinio saugumo centras (Centro Nacional de Cibersegurança, NKSC) sob o Ministério da Defesa Nacional é a autoridade competente, o ponto de contacto único ao abrigo do Artigo 8 NIS 2, e opera o CSIRT nacional sob a marca CERT-LT. O número de entidades obrigadas na Lituânia é estimado publicamente por fontes do NKSC na ordem dos 8.000 a 10.000, dependendo o número exato da avaliação de aplicabilidade por entidade.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança de âmbito europeu. Fixa as obrigações que cada Estado-Membro tem de transpor, incluindo o teste de dimensão e de setor para entidades essenciais e importantes.
Ato de execução da UE
Regulamento de Execução (UE) 2024/2690 da Comissão
Medidas técnicas e metodológicas para os fornecedores de infraestruturas digitais. Diretamente aplicável na Lituânia sem transposição nacional.
Transposição lituana
Lietuvos Respublikos kibernetinio saugumo įstatymas (Lei da Cibersegurança), conforme alterada, em vigor a partir de 18 de outubro de 2024
A transposição lituana da NIS 2. A lei de alteração foi adotada em 11 de julho de 2024. O regulamento governamental de execução seguiu-se em novembro de 2024 com o catálogo de requisitos de cibersegurança para entidades essenciais e importantes.
Lei da Cibersegurança alterada
A lei de alteração de 11 de julho de 2024 traz as obrigações da NIS 2 para a lei lituana. Define as entidades essenciais e importantes, os poderes de supervisão do NKSC, os deveres de notificação de incidentes e as sanções. O detalhe operacional reside no regulamento governamental de execução que entrou em vigor em novembro de 2024.
NKSC como autoridade competente e CSIRT
O NKSC gere a supervisão, as auditorias e as propostas de aplicação coerciva. É também o ponto de contacto único ao abrigo do Artigo 8 NIS 2 e opera o CSIRT nacional, o CERT-LT. Os reguladores setoriais mantêm os seus papéis existentes quando se aplica a lex specialis, por exemplo a DORA nas finanças.
Registo e notificação
A diretiva exige que os Estados-Membros identifiquem as entidades até 17 de abril de 2025. Na Lituânia o NKSC compila esta lista de entidades essenciais e importantes. Os incidentes significativos seguem a diretiva: alerta precoce no prazo de 24 horas, notificação de incidente no prazo de 72 horas, relatório final no prazo de um mês.
Na Lituânia, aplica-se a lei lituana
As atividades em território lituano seguem a transposição lituana. Um diretor-geral alemão com uma filial lituana lê a Lei da Cibersegurança alterada para essa filial, não o BSIG. As obrigações da diretiva são idênticas. O procedimento, o supervisor e as sanções residem na lei lituana.
A Lituânia não pode descer abaixo do piso da UE
A diretiva é de harmonização mínima. A Lituânia pode ir mais longe, e historicamente fê-lo em requisitos cibernéticos de segurança nacional. A Lituânia não pode descer abaixo da diretiva, nem quanto às obrigações das entidades essenciais e importantes, nem quanto aos prazos de notificação, nem quanto à responsabilização do órgão de direção.
NKSC
Nacionalinis kibernetinio saugumo centras, o Centro Nacional de Cibersegurança sob o Ministério da Defesa Nacional. Autoridade competente, ponto de contacto único ao abrigo do Artigo 8 NIS 2, supervisor, e operador do CSIRT nacional. Mantém o registo das entidades essenciais e importantes.
CERT-LT
O CSIRT nacional, operado dentro do NKSC. Trata das notificações de incidentes, da coordenação técnica e da linha de contacto 24/7 para casos urgentes. Na prática o NKSC e o CERT-LT são uma instituição com dois papéis, não duas autoridades separadas.
ENISA
A agência de cibersegurança da UE. Publica orientações, gere a base de dados europeia de vulnerabilidades e coordena ao nível transfronteiriço. Não é um supervisor das entidades lituanas. Esse papel cabe ao NKSC.
A NIS 2 lituana parece idêntica à NIS 2 alemã.
As obrigações da diretiva são as mesmas. O supervisor, o texto da lei, o regime sancionatório, o canal de registo e os prazos para a regulamentação subsequente não são. Uma entidade lituana lê a Lei da Cibersegurança alterada e a orientação do NKSC. Uma entidade alemã lê o BSIG e a orientação do BSI. Os grupos transfronteiriços têm de mapear cada filial ao seu supervisor nacional.
Como o registo público não é pesquisável, o registo é opcional.
O NKSC mantém o registo das entidades essenciais e importantes, mas a lista não é publicada abertamente. Isso não torna o registo opcional. As entidades que cumprem o teste de dimensão e de setor ao abrigo do Anexo I ou II da diretiva têm de se autoidentificar e fornecer os dados de registo ao NKSC. O Artigo 3.o, n.o 4 NIS 2 também exige que as entidades mantenham os seus dados de registo atualizados.
Só os onze setores do CIR estão no âmbito na Lituânia.
O Regulamento de Execução (UE) 2024/2690 da Comissão define medidas técnicas para um conjunto restrito de fornecedores de infraestruturas digitais. A Lei da Cibersegurança lituana cobre todo o perímetro da NIS 2 do Anexo I e do Anexo II, mais as entidades da administração pública e quaisquer entidades adicionais que a Lituânia designe. Ler apenas a lista do CIR subestima o âmbito numa ordem de grandeza.
A maioria dos operadores lituanos do mercado médio que vemos ainda trata a NIS 2 como uma extensão do antigo regime da NIS 1. Isto está meio certo. O NKSC era o supervisor antes, e continua a sê-lo. O âmbito é mais amplo, a responsabilização do órgão de direção é mais pesada, e o catálogo de requisitos de cibersegurança no regulamento de execução é mais detalhado do que a decisão anterior.
O passo prático é o mesmo que em toda a UE: fazer o teste de aplicabilidade face à diretiva, registar-se junto do supervisor nacional (aqui o NKSC), instituir as quatro obrigações contínuas (manter os dados de registo atualizados, notificação de incidentes, risco da cadeia de fornecimento, supervisão pelo órgão de direção) e documentar o mínimo. A documentação anterior da NIS 1 ajuda como base, mas não substitui o registo de obrigações da NIS 2.
- Diretiva (UE) 2022/2555 (NIS 2). EUR-Lex
- Regulamento de Execução (UE) 2024/2690 da Comissão
- Lietuvos Respublikos kibernetinio saugumo įstatymas (Lei da Cibersegurança), conforme alterada. e-tar.lt (registo de atos legais lituanos)
- Nacionalinis kibernetinio saugumo centras (NKSC). Sítio oficial
- CERT-LT. CSIRT nacional, operado dentro do NKSC
- Comissão Europeia, Moldar o futuro digital da Europa, implementação da diretiva NIS 2 na Lituânia
- Ministério da Defesa Nacional da República da Lituânia. Ministério-mãe do NKSC
Na prática
O que a lei nacional muda, e o que não muda
A lei nacional determina, entre outras coisas, onde se regista e a quem notifica os incidentes. As medidas partem da mesma lista mínima em todos os Estados-Membros (art. 21.º NIS 2). O percurso guiado leva-o por elas passo a passo:
O percurso em si está em alemão e em inglês.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
