Estado da NIS 2 em Malta
O que a diretiva exige, como Malta a transpõe, e onde se situa a autoridade nacional.
Visão geral
A Diretiva NIS 2 é a camada da UE. Vincula todos os Estados-Membros, Malta incluída, com um único piso mínimo para entidades essenciais e importantes. Malta tem de levar esse piso ao direito maltês e operar uma autoridade competente ao seu abrigo.
Malta transpõe a NIS 2 através do Legal Notice 71 of 2025, a Measures for a High Common Level of Cybersecurity across the European Union (Malta) Order, publicada no Government Gazette em 8 de abril de 2025 e mantida como legislação subsidiária 460.41. Malta não cumpriu o prazo da UE de 17 de outubro de 2024, mas transpôs antes de a Comissão Europeia escalar para um parecer fundamentado em maio de 2025, altura em que Malta não constava da lista de dezanove Estados-Membros que o receberam.
A unidade Critical Information Infrastructure Protection no Ministry for Home Affairs and National Security é listada pela Comissão Europeia como o ponto de contacto único e a autoridade competente para entidades essenciais e importantes. O CSIRTMalta é o CSIRT nacional para o tratamento e a coordenação de incidentes.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança à escala da UE. Fixa as obrigações que cada Estado-Membro tem de transpor, incluindo o teste de dimensão e de setor para entidades essenciais e importantes.
Implementação da UE
Regulamento de Execução (UE) 2024/2690 da Comissão
Medidas técnicas e metodológicas para os prestadores de infraestrutura digital. Diretamente aplicável em Malta, sem transposição nacional exigida.
Transposição maltesa
Legal Notice 71 of 2025 (SL 460.41), publicado em 8 de abril de 2025
A transposição maltesa da NIS 2, formalmente a Measures for a High Common Level of Cybersecurity across the European Union (Malta) Order. Como legislação subsidiária, assenta abaixo de uma lei-mãe; o detalhe operacional vem através da orientação da autoridade competente.
Legal Notice 71 of 2025
Traz as obrigações da NIS 2 ao direito maltês como legislação subsidiária 460.41. Define as categorias de entidade essencial e importante, os poderes da autoridade competente, os deveres de comunicação e as sanções. Como Legal Notice, pode ser atualizado mais depressa do que a legislação primária, pelo que os profissionais devem acompanhar a entrada em legislation.mt em vez de confiar numa versão impressa estática.
Autoridade competente e ponto de contacto único
A Comissão Europeia lista a unidade Critical Information Infrastructure Protection no Ministry for Home Affairs and National Security como a autoridade competente e o ponto de contacto único de Malta ao abrigo da NIS 2. É o canal para a coordenação transfronteiriça com outros Estados-Membros, a ENISA e o grupo de cooperação.
Registo e comunicação
A diretiva exige que os Estados-Membros identifiquem as entidades essenciais e importantes até 17 de abril de 2025. O Legal Notice de Malta entrou em vigor perto dessa janela. Os incidentes significativos seguem a cadência da diretiva: alerta precoce no prazo de 24 horas, notificação no prazo de 72 horas, relatório final no prazo de um mês. Onde a ordem maltesa especifique um portal ou formulário de contacto nacional, a autoridade competente publica o canal.
Em solo maltês, aplica-se o direito maltês
A atividade em território maltês segue a transposição maltesa. Uma empresa-mãe estrangeira com uma filial maltesa lê o Legal Notice 71 of 2025 para essa filial, não o BSIG nem o direito de qualquer outro Estado-Membro. As obrigações da diretiva são idênticas. O procedimento, o canal de registo e as sanções residem no direito maltês.
Malta não pode descer abaixo do piso da UE
A diretiva é harmonização mínima. Malta pode ir mais longe. Malta não pode descer abaixo da diretiva, nem nos deveres das entidades essenciais e importantes, nem nos prazos de comunicação de incidentes, nem na responsabilização do órgão de gestão.
Unidade Critical Information Infrastructure Protection
A autoridade competente e o ponto de contacto único listados pela Comissão Europeia, alojados no Ministry for Home Affairs and National Security. Coordena a supervisão das entidades essenciais e importantes, cumpre o papel transfronteiriço de ponto de contacto único, e canaliza a aplicação ao abrigo do Legal Notice 71 of 2025.
CSIRTMalta
O CSIRT nacional de Malta para o tratamento e a coordenação de incidentes ao abrigo da NIS 2. Recebe as notificações de incidentes significativos, apoia as entidades afetadas, e participa na Rede de CSIRT da UE. O canal exato de comunicação da NIS 2 e qualquer portal técnico residem no CSIRTMalta e na autoridade competente; consulte a sua orientação publicada para o formulário de apresentação atual.
ENISA
A agência de cibersegurança da UE. Publica orientações, gere a base de dados europeia de vulnerabilidades e coordena entre fronteiras. Não é o supervisor das entidades maltesas. Esse papel cabe à autoridade nacional competente.
Seguimos o que a nossa empresa-mãe alemã faz, por isso a NIS 2 está coberta.
As obrigações da diretiva são idênticas, o procedimento nacional não. Uma filial maltesa regista-se em Malta junto da autoridade competente maltesa, comunica os incidentes através do CSIRTMalta e enfrenta sanções ao abrigo do direito maltês. O BSIG alemão conduz a entidade alemã. O Legal Notice 71 of 2025 maltês conduz a entidade maltesa. A conformidade ao nível do grupo não substitui a apresentação maltesa.
Ainda não há um canal de registo NIS 2 maltês, por isso esperamos.
As obrigações da diretiva aplicam-se a partir do momento em que a entidade está dentro de âmbito, não a partir do momento em que um portal parece acabado. Onde Malta ainda não montou um registo em linha, a autoridade competente publica um percurso de contacto provisório. Ficar de fora não é uma defesa ao abrigo do artigo 21.º da diretiva uma vez cumprido o teste de dimensão e de setor.
A NIS 2 em Malta só atinge os setores críticos óbvios.
O teste de dimensão e de setor limita-se, por defeito, às empresas de média e grande dimensão, mas a diretiva também apanha entidades mais pequenas quando são prestadores únicos, operam transfronteiras, ou são nomeadas no direito nacional. As administrações públicas e certos prestadores digitais estão dentro de âmbito independentemente da dimensão. A verificação de aplicabilidade tem de correr caso a caso, não apenas pela dimensão da empresa.
A maioria dos operadores malteses que encontramos trata a NIS 2 como o próximo dossiê de conformidade depois do GDPR. Isso está bem como enquadramento de projeto. A substância é diferente: a diretiva fala de continuidade do serviço, risco da cadeia de fornecimento e responsabilização da gestão, não apenas de dados pessoais. Os administradores de uma empresa maltesa ao abrigo da NIS 2 validam pessoalmente a linha de base de gestão de risco e a sua própria formação. Essa validação não é delegável no grupo-mãe nem num consultor externo.
A sequência prática é a mesma em toda a UE: fazer a verificação de aplicabilidade face à diretiva, registar-se junto da autoridade nacional competente assim que o canal estiver aberto, estabelecer os quatro deveres contínuos (manter os dados de registo atualizados, comunicação de incidentes, risco da cadeia de fornecimento, supervisão do órgão de gestão), e documentar o mínimo. Onde o CSIRTMalta ou a autoridade competente publica orientação setorial, use-a. Onde não publica, o texto da diretiva e o regulamento de execução são a alternativa.
- Diretiva (UE) 2022/2555 (NIS 2). EUR-Lex
- Regulamento de Execução (UE) 2024/2690 da Comissão
- Legal Notice 71 of 2025, Measures for a High Common Level of Cybersecurity across the European Union (Malta) Order. legislation.mt (SL 460.41)
- Comissão Europeia, página de implementação da NIS 2 para Malta. digital-strategy.ec.europa.eu
- Comissão Europeia, pareceres fundamentados de maio de 2025 sobre a transposição da NIS 2 (Malta não listada)
- CSIRTMalta. CSIRT nacional de Malta
- ENISA. Agência da União Europeia para a Cibersegurança
Na prática
O que a lei nacional muda, e o que não muda
A lei nacional determina, entre outras coisas, onde se regista e a quem notifica os incidentes. As medidas partem da mesma lista mínima em todos os Estados-Membros (art. 21.º NIS 2). O percurso guiado leva-o por elas passo a passo:
O percurso em si está em alemão e em inglês.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
