Estado da NIS 2 na Suécia
O que a diretiva exige, como a Suécia a transpôs tarde, e onde o NCSC da FRA e o CERT-SE se situam no quadro.
Panorama
A diretiva NIS 2 é a camada da UE. Vincula cada Estado-Membro, incluindo a Suécia, a um piso único de cibersegurança para entidades essenciais e importantes. A Suécia tem de colocar esse piso na lei sueca e operar um regime de supervisão ao seu abrigo.
A Suécia falhou o prazo de transposição da UE de 17 de outubro de 2024. A Comissão Europeia emitiu um parecer fundamentado em 7 de maio de 2025 por falta de notificação da transposição integral. Só a Cybersäkerhetslagen (SFS 2025:1506), emitida em 11 de dezembro de 2025 e em vigor desde 15 de janeiro de 2026, levou finalmente a diretiva para a lei sueca.
Desde 1 de julho de 2026, a Försvarets radioanstalt (FRA, o Estabelecimento Nacional de Rádio de Defesa), através do seu National Cyber Security Centre (NCSC), é o ponto de contacto único e o CSIRT para a NIS 2. O MCF (Myndigheten för civilt försvar, anteriormente MSB) exerceu estas funções de 15 de janeiro a 30 de junho de 2026. O CERT-SE continua a ser o nome do CSIRT nacional e faz agora parte do NCSC. A supervisão é descentralizada: PTS para a infraestrutura digital, os prestadores digitais, a gestão de serviços de TIC, os serviços postais e o espaço; Energimyndigheten para a energia; Transportstyrelsen para os transportes e o fabrico de veículos; Finansinspektionen para a banca e as infraestruturas do mercado financeiro; IVO para os prestadores de cuidados de saúde e Läkemedelsverket para o resto da saúde; Livsmedelsverket para a água potável, as águas residuais e os alimentos; e seis conselhos administrativos de condado para os resíduos, a investigação, a administração pública, os produtos químicos e a indústria transformadora.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança à escala da UE. Fixa as obrigações que cada Estado-Membro tem de transpor, incluindo os testes de dimensão e setor para entidades essenciais e importantes. O prazo de transposição foi 17 de outubro de 2024.
Implementação da UE
Regulamento de Execução da Comissão (UE) 2024/2690
Requisitos técnicos e metodológicos para os prestadores de DNS, os registos de TLD, os prestadores de serviços de cloud, de centros de dados e de CDN, os prestadores de serviços (de segurança) geridos, os mercados em linha, os motores de pesquisa, as redes sociais e os prestadores de serviços de confiança. Diretamente aplicável na Suécia sem transposição nacional.
Transposição sueca
Cybersäkerhetslagen (SFS 2025:1506), em vigor desde 15 de janeiro de 2026
A transposição sueca da NIS 2. Emitida em 11 de dezembro de 2025 com base na Proposition 2025/26:28 'Ett starkt skydd för nätverks- och informationssystem'. Acompanhada pela Cybersäkerhetsförordning (SFS 2025:1507) e por regras emitidas pelas autoridades. Revoga a lei NIS 1 de 2018 (2018:1174), que continua a aplicar-se a violações cometidas antes de 15 de janeiro de 2026.
Cybersäkerhetslagen (SFS 2025:1506)
Leva as obrigações da NIS 2 para a lei sueca. A Comissão tinha aberto um processo por infração com um parecer fundamentado em 7 de maio de 2025. Com a Cybersäkerhetslagen, em vigor desde 15 de janeiro de 2026, a Suécia está formalmente transposta. A Cybersäkerhetsförordning que a acompanha e as regras dos reguladores setoriais preenchem o detalhe operacional.
NCSC na FRA como SPOC e CSIRT, reguladores setoriais como supervisores
A Suécia opera um modelo de supervisão descentralizado. Desde 1 de julho de 2026, a FRA, através do seu National Cyber Security Centre (NCSC), é o ponto de contacto único e o CSIRT (CERT-SE). Antes disso, a partir de 15 de janeiro de 2026, o MCF exercia ambas as funções. A supervisão cabe às autoridades setoriais enumeradas na Cybersäkerhetsförordning: PTS, Energimyndigheten, Transportstyrelsen, Finansinspektionen, IVO, Läkemedelsverket, Livsmedelsverket e seis conselhos administrativos de condado.
Registo e notificação
As entidades abrangidas têm de se registar junto do ponto de contacto único o mais depressa possível. O registo abriu a 2 de fevereiro de 2026. Desde 1 de julho de 2026, o endereço é o NCSC na FRA, por correio eletrónico para nis2anmalan@ncsc.se. As alterações têm de ser comunicadas no prazo de 14 dias. Os incidentes significativos são comunicados ao NCSC através do CERT-SE, via cyberportal.ncsc.se, segundo a cadência da diretiva: alerta precoce de 24 horas, notificação de 72 horas, relatório final de um mês. Para os prestadores de serviços de confiança, a notificação do incidente é devida no prazo de 24 horas.
A lei local aplica-se dentro da Suécia
As operações em território sueco seguem a transposição sueca. Um Geschäftsführer alemão que gere uma filial sueca lê a Cybersäkerhetslagen (SFS 2025:1506) para essa filial, não a BSIG alemã. As obrigações da diretiva são as mesmas; o procedimento, o endereço de registo e as sanções vivem na lei sueca.
A Suécia não pode descer abaixo do piso da UE
A diretiva é um instrumento de harmonização mínima. A Suécia pode ir mais longe e usou parte dessa margem, em particular através de uma abordagem de 'entidade integral' que capta toda a organização e não apenas a parte que presta o serviço. A Suécia não pode descer abaixo da diretiva nos deveres das entidades essenciais e importantes, nos prazos de notificação de incidentes ou na responsabilização do órgão de direção.
NCSC na FRA (até 30 de junho de 2026: MCF)
O National Cyber Security Centre na Försvarets radioanstalt (FRA). Ponto de contacto único e CSIRT para a NIS 2 desde 1 de julho de 2026, e o endereço para registos e notificações de incidentes. De 15 de janeiro a 30 de junho de 2026, estas funções estiveram a cargo do MCF (Myndigheten för civilt försvar, chamado MSB até 31 de dezembro de 2025). A supervisão setorial não cabe aqui; cabe às autoridades setoriais.
CERT-SE
O CSIRT nacional da Suécia, parte do National Cyber Security Centre na FRA desde 1 de julho de 2026 (antes disso, no MCF). Recebe notificações de incidentes significativos ao abrigo da NIS 2 via cyberportal.ncsc.se, apoia as entidades 24/7 e troca informação dentro da Rede de CSIRT da UE. Contactável em cert@cert.se.
ENISA
A agência de cibersegurança da UE. Publica orientação, gere a base de dados europeia de vulnerabilidades e apoia a coordenação transfronteiriça. Não é supervisor das entidades suecas; são-no as autoridades setoriais.
A Suécia e a Alemanha regulam isto da mesma forma.
As obrigações da diretiva são idênticas, as estruturas não. A Alemanha centraliza a supervisão através do BSI ao abrigo da BSIG. A Suécia divide os papéis: o NCSC na FRA é o ponto de contacto único e gere o CERT-SE, enquanto a supervisão cabe a um conjunto de autoridades setoriais. Uma empresa-mãe alemã com uma filial sueca precisa da autoridade setorial como endereço de supervisão dessa filial, não do NCSC.
Enquanto ninguém me contactar, estou fora de âmbito.
Como a maioria dos Estados-Membros, a Suécia opera um modelo de autoclassificação. Uma entidade que cumpre o teste de dimensão e setor da diretiva é uma entidade obrigada, independentemente de alguma autoridade publicar uma lista. As entidades tinham de se registar o mais depressa possível a partir de 2 de fevereiro de 2026, desde 1 de julho de 2026 junto do NCSC na FRA. A ausência de uma carta das autoridades não é defesa contra sanções.
Só lidamos com o nosso regulador setorial.
A autoridade setorial é o supervisor, e o NCSC na FRA é tanto o endereço de registo como, através do CERT-SE, o canal de incidentes. Na prática, o trabalho de NIS 2 toca ambos: registo e notificações de incidentes ao NCSC, supervisão contínua pela PTS, Energimyndigheten, Finansinspektionen ou outra autoridade setorial. Tratar qualquer um deles como a única contraparte é ler mal a arquitetura sueca.
A maioria dos operadores suecos que vemos passou todo o ano de 2025 num limbo. Até meados de dezembro de 2025, a Cybersäkerhetslagen estava no Riksdag como Proposition 2025/26:28 e nada mais. A consequência: muitos diretores-gerais pausaram o seu trabalho de NIS 2 e depois tiveram de comprimir a notificação e a primeira documentação na janela logo após 15 de janeiro de 2026.
O passo prático é o mesmo que em todo o resto da UE: confirmar o âmbito ao abrigo da diretiva, registar-se junto do NCSC na FRA, estabelecer as quatro obrigações contínuas (manutenção do registo, notificação de incidentes, risco da cadeia de abastecimento, supervisão pelo órgão de direção) e documentar o mínimo. O regulador setorial mantém-se como o endereço de supervisão; o NCSC e o CERT-SE são os canais operacionais.
- Diretiva (UE) 2022/2555 (NIS 2). EUR-Lex
- Regulamento de Execução da Comissão (UE) 2024/2690
- Cybersäkerhetslagen (SFS 2025:1506). Sveriges riksdag
- Proposition 2025/26:28 'Ett starkt skydd för nätverks- och informationssystem'. Sveriges riksdag
- National Cyber Security Centre (NCSC) na FRA: ncsc.se (registo e notificação de incidentes ao abrigo da Cybersäkerhetslagen)
- CERT-SE: CSIRT nacional sueco (parte do NCSC na FRA desde 1 de julho de 2026)
- Comissão Europeia. Implementação da Diretiva NIS2 na Suécia (digital-strategy.ec.europa.eu)
- PTS, Energimyndigheten, Transportstyrelsen, Finansinspektionen, IVO, Livsmedelsverket. reguladores setoriais
- SFS 2026:623, alteração à Cybersäkerhetsförordning (2025:1507)
Na prática
O que a lei nacional muda, e o que não muda
A lei nacional determina, entre outras coisas, onde se regista e a quem notifica os incidentes. As medidas partem da mesma lista mínima em todos os Estados-Membros (art. 21.º NIS 2). O percurso guiado leva-o por elas passo a passo:
O percurso em si está em alemão e em inglês.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
