Estado da NIS 2 nos Países Baixos
Os Países Baixos transpuseram a Diretiva NIS 2 da UE através da Cyberbeveiligingswet (Cbw). A lei chegou tarde e aplica-se desde 15 de agosto de 2026, sem período de transição.
Visão geral
A base jurídica é a Diretiva NIS 2 da UE (2022/2555). Define o piso das obrigações de cibersegurança em todos os Estados-Membros. Os Países Baixos inscreveram esse piso no direito nacional através da Cyberbeveiligingswet (Cbw), que substituiu a antiga Wbni (Wet beveiliging netwerk- en informatiesystemen) que implementou a NIS 1.
O prazo de transposição da UE de 17 de outubro de 2024 foi falhado pelos Países Baixos e pela maioria dos Estados-Membros, incluindo a Alemanha. O projeto de lei neerlandês passou por consulta pública em 2024, foi submetido à Tweede Kamer em junho de 2025 e foi adotado como Lei de 8 de julho de 2026 (Staatsblad 2026, 187). A Comissão remeteu os Países Baixos para o Tribunal de Justiça da UE em 8 de julho de 2026, um mês antes de a Cbw produzir efeitos em 15 de agosto de 2026.
A Cbw e o seu decreto de execução, o Cyberbeveiligingsbesluit (Staatsblad 2026, 189), entraram em vigor em 15 de agosto de 2026 sem período de transição, à semelhança do que a Alemanha fez com o BSIG. A Cbw adotada, juntamente com a diretiva da UE, é agora a referência ao definir o âmbito do trabalho.
Diretiva da UE
Diretiva (UE) 2022/2555 relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança em toda a União (NIS 2).
Define as obrigações de gestão de risco (Art. 21), a notificação de incidentes (Art. 23), a responsabilidade do órgão de gestão (Art. 20) e o registo das entidades (Art. 3.o, n.o 4). Os Estados-Membros têm de transpor para o direito nacional, mas não podem ficar abaixo do piso.
Regulamento de execução da UE
Regulamento de Execução (UE) 2024/2690 da Comissão, de 17 de outubro de 2024 (CIR).
Especifica em detalhe o aspeto das medidas do Art. 21 para prestadores de DNS, registos de TLD, prestadores de nuvem, de centros de dados e de CDN, prestadores de serviços (de segurança) geridos, mercados em linha, motores de pesquisa, redes sociais e prestadores de serviços de confiança. Diretamente aplicável nos Países Baixos sem ato nacional adicional.
Transposição neerlandesa
Cyberbeveiligingswet (Cbw), Lei de 8 de julho de 2026 (Staatsblad 2026, 187), em vigor desde 15 de agosto de 2026; substituiu a Wbni.
A Cbw atribui os papéis de supervisão e de CSIRT, define as entidades essenciais e importantes para os Países Baixos e acrescenta especificidades nacionais como taxas, procedimentos de designação e transições setoriais. O seu decreto de execução, o Cyberbeveiligingsbesluit (Staatsblad 2026, 189), entrou em vigor com ela em 15 de agosto de 2026.
Cyberbeveiligingswet (Cbw)
Transpõe a NIS 2 para o direito neerlandês e aplica-se desde 15 de agosto de 2026. Define as entidades essenciais (essentiële) e importantes (belangrijke), estabelece poderes de supervisão, coimas e procedimentos de notificação de incidentes, e integra o CIR da UE por remissão.
RDI, reguladores setoriais, NCSC-NL
A supervisão está repartida por setor: a Rijksinspectie Digitale Infrastructuur (RDI) para infraestrutura digital, prestadores digitais, gestão de serviços de TIC, energia e administração pública; a ILT para transportes, água e produtos químicos; o DNB para a banca; a AFM para as infraestruturas dos mercados financeiros; a NVWA para os alimentos. O NCSC é o CSIRT para a maioria dos setores.
Prazo da UE falhado, registo através do portal neerlandês
O prazo da UE de 17 de outubro de 2024 passou sem transposição neerlandesa. Desde 15 de agosto de 2026, as entidades abrangidas têm de se registar no registo nacional de entidades no MijnNCSC (mijn.ncsc.nl), iniciando sessão com o eHerkenning, e comunicar as alterações sem demora e no prazo de duas semanas. Os incidentes significativos seguem para o CSIRT e para o supervisor em 24 horas (alerta precoce) e 72 horas (notificação completa), em linha com o Art. 23 NIS 2.
A lei nacional segue o local de estabelecimento
Uma entidade fica sujeita ao país onde está estabelecida. Só alguns prestadores digitais (nuvem, centros de dados, prestadores de serviços geridos, mercados em linha e semelhantes) ficam sujeitos ao país do seu estabelecimento principal na UE, e os prestadores de telecomunicações ficam sujeitos a cada país onde prestam serviços (Art. 26, n.o 1 NIS 2).
A diretiva é o piso, nunca o teto
A Cbw não pode ficar abaixo da NIS 2. Pode ser mais rigorosa nas especificidades nacionais (procedimentos de designação, taxas, listas setoriais). Para as medidas de gestão de risco e a notificação de incidentes, o texto da UE e o CIR definem a substância; o ato neerlandês acrescenta o invólucro processual.
Rijksinspectie Digitale Infrastructuur (RDI)
O supervisor para infraestrutura digital, prestadores digitais, gestão de serviços de TIC, energia, espaço, serviços postais, indústria transformadora e administração pública. A autoridade competente na lei é o ministro responsável. Sucessora da Agentschap Telecom; está sob o Ministério dos Assuntos Económicos.
NCSC-NL (Nationaal Cyber Security Centrum)
CSIRT nacional sob o Ministério da Justiça e Segurança. Recebe notificações de incidentes ao abrigo do Art. 23, emite avisos setoriais e coordena-se com a ENISA e outros CSIRT nacionais. Desde 1 de janeiro de 2026, o Digital Trust Center faz parte do NCSC, que é agora o ponto de contacto único para a resiliência digital e o CSIRT para a maioria dos setores da Cbw. Gere o registo de entidades no MijnNCSC.
ENISA
Emite orientação ao nível da UE e relatórios técnicos de execução. Não é um regulador das entidades neerlandesas. A sua Technical Implementation Guidance sobre o CIR (com correspondências para a ISO 27001) foi escrita para os prestadores digitais que o CIR abrange; as outras entidades podem usá-la como referência.
A NIS 2 neerlandesa espelha o BSIG alemão um para um.
Ambos transpõem a mesma diretiva, mas os textos diferem. Os Países Baixos mantêm um modelo de regulador setorial mais forte e usam a RDI como supervisor horizontal; a Alemanha canaliza quase tudo através do BSI. Os níveis de sanção, a mecânica de registo e os deveres de formação da gestão estão redigidos de forma diferente. Leia a Cbw nos seus próprios termos, não como uma tradução do BSIG.
Ainda não há obrigação de registo neerlandesa, por isso podemos esperar.
O Art. 3.o, n.o 4 NIS 2 exige que todos os Estados-Membros mantenham um registo e que as entidades forneçam os seus dados. O registo é obrigatório nos Países Baixos desde 15 de agosto de 2026, sem período de tolerância: as entidades abrangidas registam-se no registo nacional de entidades no MijnNCSC, mantido pelo Ministro da Justiça e Segurança (Art. 43 Cbw). As alterações devem ser comunicadas sem demora e, em qualquer caso, no prazo de duas semanas a contar da data da alteração (Art. 44, n.o 2 Cbw).
O meu regulador setorial trata de tudo, a RDI não é relevante.
A supervisão ao abrigo da Cbw está repartida por setor: o DNB para a banca, a AFM para as infraestruturas dos mercados financeiros, a ILT para transportes, água e produtos químicos, a NVWA para os alimentos e a RDI para infraestrutura digital, energia, administração pública e vários outros setores. Para as entidades financeiras abrangidas pelo DORA, o DORA atua como lex specialis em cibersegurança, mas o registo NIS 2 ao abrigo do Art. 3.o, n.o 4 continua a aplicar-se.
A maioria das entidades neerlandesas no âmbito já sabia que ia estar no âmbito. A Cbw aplica-se desde 15 de agosto de 2026 sem período de transição, pelo que duas coisas contam agora: o registo no registo de entidades no MijnNCSC e qualquer comunicação do supervisor do seu setor que esclareça o âmbito.
Operacionalmente, aplicam-se quatro deveres constantes ao abrigo da Cbw, que transpõe estes artigos da UE: governar a segurança com responsabilidade da gestão (Art. 20), executar medidas de gestão de risco (Art. 21), notificar incidentes significativos no relógio das 24 horas e das 72 horas (Art. 23) e registar-se e manter o registo atualizado (Art. 3.o, n.o 4).
- Diretiva (UE) 2022/2555 (NIS 2), EUR-Lex, JO L 333, 27 de dezembro de 2022
- Regulamento de Execução (UE) 2024/2690 da Comissão, de 17 de outubro de 2024
- Cyberbeveiligingswet (Cbw), Lei de 8 de julho de 2026, Staatsblad 2026, 187; Cyberbeveiligingsbesluit, Staatsblad 2026, 189
- Wbni: Wet beveiliging netwerk- en informatiesystemen (transposição da NIS 1, substituída pela Cbw em 15 de agosto de 2026)
- Rijksinspectie Digitale Infrastructuur (RDI), rdi.nl, informação de supervisão NIS 2
- NCSC-NL, ncsc.nl, notificação de incidentes e orientação CSIRT
- ENISA, NIS 2 Technical Implementation Guidance, versão 1.0, junho de 2025 (tabela de correspondências versão 1.2, setembro de 2025)
Na prática
O que a lei nacional muda, e o que não muda
A lei nacional determina, entre outras coisas, onde se regista e a quem notifica os incidentes. As medidas partem da mesma lista mínima em todos os Estados-Membros (art. 21.º NIS 2). O percurso guiado leva-o por elas passo a passo:
O percurso em si está em alemão e em inglês.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
