NIS-2 em vigência: o que as empresas precisam de recuperar

A lei alemã de transposição da NIS-2 (NIS2UmsuCG) está em vigor desde 6 de dezembro de 2025. O prazo legal de registo junto do BSI expirou em 6 de março de 2026. E o BSI tinha comunicado que esperava concluir o registo das empresas afetadas até 31 de julho de 2026 – esse prazo acaba de se esgotar.

Importante para o enquadramento: 31 de julho não é um novo prazo legal, mas o fim de um período de tolerância de facto na aplicação. A obrigação jurídica existe desde março. Quem ainda não está registado não está «mesmo à justa dentro do prazo», mas já em atraso – e deve recuperar isso agora de forma ordenada em vez de continuar à espera.

Quem é de facto afetado

A NIS-2 não afeta indiscriminadamente todas as empresas a partir de 50 colaboradores. As obrigações só se aplicam nos 18 setores do anexo da lei – entre eles energia, transportes, saúde, infraestrutura digital, mas também a indústria transformadora e o setor químico. Dentro desses setores valem os limiares do § 28 BSIG na nova redação:

Entidades importantes: a partir de 50 colaboradores ou mais de 10 milhões de euros de volume de negócios e mais de 10 milhões de euros de total do balanço.
Entidades especialmente importantes: a partir de 250 colaboradores ou mais de 50 milhões de euros de volume de negócios e mais de 43 milhões de euros de total do balanço.

No total, trata-se de cerca de 29.500 a 30.000 entidades na Alemanha – segundo estimativa da OpenKRITIS, aproximadamente 8.250 especialmente importantes e cerca de 21.600 importantes. Para efeitos de comparação: sob o antigo regime KRITIS eram cerca de 4.500. O círculo de empresas reguladas, portanto, mais do que sextuplicou. É precisamente por isso que a NIS-2 atinge agora muitas médias empresas que até aqui nunca tinham lidado com o BSI.

A diferença entre as duas categorias tem relevância prática: as entidades especialmente importantes estão sujeitas a uma supervisão proativa pelo BSI, enquanto as entidades importantes são verificadas por motivo específico.

O cenário de prazos – e onde as empresas estão de facto

O portal de registo do BSI está disponível desde 6 de janeiro de 2026, o prazo legal terminou em 6 de março de 2026. Até então, apenas cerca de 11.500 das estimadas 29.500 entidades afetadas se tinham registado – cerca de 39 por cento. No início de abril eram cerca de 15.500, no final de maio quase 18.500.

Isto significa, sobriamente considerado: uma parte considerável das empresas afetadas ainda hoje não está registada. Quem faz parte delas deveria saber o que está em jogo:

As violações da obrigação de registo podem ser punidas com coimas até 500.000 euros.
As violações das obrigações materiais podem custar até 10 milhões de euros (entidades especialmente importantes) ou 7 milhões de euros (entidades importantes). Para entidades com volume de negócios total mundial superior a 500 milhões de euros, estes valores são substituídos por um teto de 2% ou 1,4% do volume de negócios total (§ 65 (6) e (7) BSIG).
A direção é obrigada, nos termos do § 38 BSIG, a implementar as medidas de gestão de riscos e a supervisionar a sua implementação. As tarefas operacionais podem ser delegadas – a responsabilidade por elas, não.

O que a lei exige em termos de conteúdo

O núcleo é o § 30 BSIG na nova redação: um catálogo de medidas de gestão de riscos que abrange, entre outros, análise de riscos, tratamento de incidentes, gestão de backups e de crises, segurança da cadeia de abastecimento, criptografia e controlo de acessos. A isto somam-se obrigações de notificação escalonadas em caso de incidentes de segurança relevantes:

notificação inicial em 24 horas,
notificação atualizada em 72 horas,
relatório final em um mês.

Quem quiser cumprir estes prazos no caso concreto precisa de processos definidos com antecedência – ninguém improvisa isso de forma limpa durante um incidente em curso.

Triagem para retardatários: três passos por esta ordem

1. Verificar a condição de afetado e documentar o resultado

O BSI disponibiliza em betroffenheitspruefung-nis-2.bsi.de uma autoavaliação. Realize esta verificação – hoje, não no Q4 – e documente o resultado por escrito (a autoavaliação não é juridicamente vinculativa, mas é valiosa como comprovação de que o tema foi tratado). Também um resultado negativo é uma comprovação: atesta que a direção se ocupou da questão.

2. Registar-se, mesmo que com atraso

Um registo tardio é melhor do que nenhum. A experiência de iniciativas regulatórias comparáveis indica que uma notificação posterior proativa é avaliada de forma diferente da inatividade que só é detetada num incidente.

3. Avaliação de lacunas face ao § 30

Compare de forma estruturada a situação atual com o catálogo de medidas. Na prática, as maiores lacunas estão geralmente em três temas: gestão de riscos sólida com participação da direção, tratamento de incidentes exercitado, incluindo o processo de notificação, e backups comprovadamente recuperáveis com plano de contingência. Da avaliação resulta um plano de medidas priorizado – não tudo de uma vez, mas tudo com prazo e responsável.

Enquadramento: obrigação com benefício adicional

A NIS-2 não exige no seu núcleo nada de exótico, mas sim segurança de TI sólida, implementada e documentada de forma consequente. Quem aborda as medidas com seriedade não só cumpre uma obrigação legal, como reduz de facto o risco que os atacantes visam diariamente. Por outro lado, vale o seguinte: uma pasta de certificados sem processos vividos não ajuda nem na auditoria nem no incidente. Nota à margem: as obrigações de comprovação KRITIS com auditorias formais só entram em vigor, o mais cedo, no final de 2028 – a pressão aguda para agir está agora no registo e nas medidas básicas.

Como a sector7 apoia

Como empresa gerida pelo proprietário, acompanhamos empresas da Renânia do Norte-Vestefália (NRW) na verificação da condição de afetado, no registo e na avaliação de lacunas face ao § 30 – com consultoria de compliance em NIS-2, ISO 27001, DORA e TISAX de uma só fonte. A implementação técnica das medidas, da engenharia de segurança de rede à monitorização 24/7 pelo nosso NOC, executamo-la nós próprios em vez de a passar a terceiros. Se desejado, a preços mensais fixos, para que a implementação da NIS-2 continue previsível no orçamento.

Este artigo é um enquadramento técnico e não substitui aconselhamento jurídico no caso concreto.

Correção de 1 de outubro de 2026: Na primeira versão, afirmava-se que a coima máxima era de 10 ou 7 milhões de euros ou de 2% ou 1,4% do volume de negócios mundial – consoante o valor que fosse mais elevado. No entanto, segundo o § 65 (6) e (7) do BSIG, as percentagens aplicam-se apenas a entidades com volume de negócios total superior a 500 milhões de euros e, nesse caso, substituem os valores fixos. Corrigimos a passagem em conformidade.

NIS-2 está em plena vigência: o que as empresas precisam de recuperar agora