NIS-2 em vigência: o que as empresas precisam recuperar

A lei alemã de implementação da NIS-2 (NIS2UmsuCG) está em vigor desde 6 de dezembro de 2025. O prazo legal de registro junto ao BSI expirou em 6 de março de 2026. E o BSI havia comunicado que esperava concluir o registro das empresas afetadas até 31 de julho de 2026 – esse prazo acaba de se esgotar.

Importante para o enquadramento: 31 de julho não é um novo prazo legal, mas o fim de um período de tolerância de fato na aplicação. A obrigação jurídica existe desde março. Quem ainda não está registrado não está “por pouco no prazo”, mas já em atraso – e deve recuperar isso agora de forma ordenada em vez de continuar esperando.

Quem de fato é afetado

A NIS-2 não afeta indiscriminadamente toda empresa a partir de 50 colaboradores. As obrigações só se aplicam nos 18 setores do anexo da lei – entre eles energia, transporte, saúde, infraestrutura digital, mas também a indústria de transformação e o setor químico. Dentro desses setores valem os limiares do § 28 BSIG na nova redação:

Entidades importantes: a partir de 50 colaboradores ou mais de 10 milhões de euros de faturamento e mais de 10 milhões de euros de total do balanço.
Entidades especialmente importantes: a partir de 250 colaboradores ou mais de 50 milhões de euros de faturamento e mais de 43 milhões de euros de total do balanço.

No total, trata-se de cerca de 29.500 a 30.000 entidades na Alemanha – segundo estimativa da OpenKRITIS, aproximadamente 8.250 especialmente importantes e cerca de 21.600 importantes. Para efeito de comparação: sob o antigo regime KRITIS eram cerca de 4.500. O círculo de empresas reguladas, portanto, mais do que sextuplicou. Justamente por isso a NIS-2 agora atinge muitos empresários de médio porte que até agora nunca tinham lidado com o BSI.

A diferença entre as duas categorias é praticamente relevante: entidades especialmente importantes estão sujeitas a uma supervisão proativa pelo BSI, enquanto entidades importantes são verificadas por motivo específico.

O cenário de prazos – e onde as empresas de fato estão

O portal de registro do BSI está liberado desde 6 de janeiro de 2026, o prazo legal terminou em 6 de março de 2026. Até então, apenas cerca de 11.500 das estimadas 29.500 entidades afetadas haviam se registrado – cerca de 39 por cento. Até o início de abril eram cerca de 15.500, até o final de maio quase 18.500.

Isso significa, sobriamente considerado: uma parte considerável das empresas afetadas ainda hoje não está registrada. Quem faz parte disso deveria saber o que está em jogo:

Violações da obrigação de registro podem ser punidas com multas de até 500.000 euros.
Violações das obrigações materiais podem custar até 10 milhões de euros ou 2% do faturamento mundial (entidades especialmente importantes), ou 7 milhões de euros ou 1,4% (entidades importantes) – conforme o valor que for maior.
A direção é obrigada, nos termos do § 38 BSIG, a implementar as medidas de gestão de riscos e a supervisionar sua implementação. Tarefas operacionais podem ser delegadas – a responsabilidade por elas, não.

O que a lei exige em termos de conteúdo

O núcleo é o § 30 BSIG na nova redação: um catálogo de medidas de gestão de riscos que abrange, entre outros, análise de riscos, tratamento de incidentes, gestão de backup e de crises, segurança da cadeia de fornecimento, criptografia e controle de acesso. A isso somam-se obrigações de notificação escalonadas em caso de incidentes de segurança relevantes:

notificação inicial em 24 horas,
notificação atualizada em 72 horas,
relatório final em um mês.

Quem quiser cumprir esses prazos no caso concreto precisa de processos definidos com antecedência – ninguém improvisa isso de forma limpa durante um incidente em curso.

Triagem para retardatários: três passos nesta ordem

1. Verificar a condição de afetado e documentar o resultado

O BSI disponibiliza em betroffenheitspruefung-nis-2.bsi.de uma autoavaliação. Realize essa verificação – hoje, não no Q4 – e documente o resultado por escrito (a autoavaliação não é juridicamente vinculante, mas é valiosa como comprovação de que o tema foi tratado). Também um resultado negativo é uma comprovação: ele atesta que a direção se ocupou da questão.

2. Registrar-se, mesmo que atrasado

Um registro atrasado é melhor do que nenhum. A experiência de iniciativas regulatórias comparáveis indica que uma notificação posterior proativa é avaliada de forma diferente da inatividade que só é percebida em um incidente.

3. Avaliação de lacunas contra o § 30

Compare de forma estruturada a situação atual com o catálogo de medidas. Na prática, as maiores lacunas geralmente estão em três temas: gestão de riscos sólida com participação da direção, tratamento de incidentes exercitado incluindo processo de notificação e backups comprovadamente recuperáveis com plano de contingência. Da avaliação surge um plano de medidas priorizado – não tudo de uma vez, mas tudo com prazo e responsável.

Enquadramento: obrigação com benefício adicional

A NIS-2 não exige em seu núcleo nada de exótico, mas segurança de TI sólida, implementada e documentada de forma consequente. Quem aborda as medidas com seriedade não apenas cumpre uma obrigação legal, mas reduz de fato o risco que os atacantes endereçam diariamente. Por outro lado, vale: uma pasta de certificados sem processos vivenciados não ajuda nem na auditoria nem no incidente. Observação à margem: as obrigações de comprovação KRITIS com auditorias formais só entram em vigor, no mais cedo, no final de 2028 – a pressão aguda por ação está agora no registro e nas medidas básicas.

Como a sector7 apoia

Como empresa de gestão própria, acompanhamos empresas da Renânia do Norte-Vestfália (NRW) na verificação da condição de afetado, no registro e na avaliação de lacunas contra o § 30 – com consultoria de compliance em NIS-2, ISO 27001, DORA e TISAX de uma só fonte. A implementação técnica das medidas, da engenharia de segurança de rede ao monitoramento 24/7 pelo nosso NOC, executamos nós mesmos em vez de repassá-la. Se desejado, a preços mensais fixos, para que a implementação da NIS-2 permaneça orçável.

Este artigo é um enquadramento técnico e não substitui aconselhamento jurídico no caso concreto.

NIS-2 está em plena vigência: o que as empresas precisam recuperar agora