30 de setembro de 2026 · NIS-2 · Regulatorik · Compliance · Meldepflicht · Mittelstand

Registo NIS-2: prazo encerrado – o que vale agora

O prazo de registo da NIS-2 terminou. Como verificar se a sua empresa é afetada, como registar-se com atraso e porque o verdadeiro trabalho começa depois.

Na página do BSI para empresas reguladas pela NIS-2, encontra-se atualmente, logo no topo, uma frase que dispensa interpretação: «O prazo legal de registo já terminou.» Abaixo dela vem a indicação de que quem é afetado e ainda não se registou o deve fazer «agora, imediatamente» no portal do BSI.

Este artigo dirige-se a empresas que ainda não têm certeza sobre esta questão – seja porque nunca verificaram se são afetadas, seja porque adiaram o registo. As duas coisas podem ser recuperadas. Nenhuma das duas deveria esperar mais.

A situação jurídica em três frases

A nova Lei do BSI foi aprovada como artigo 1 da lei de 2 de dezembro de 2025 (BGBl. 2025 I Nr. 301) e entrou em vigor em 6 de dezembro de 2025. O § 33 (1) BSIG obriga as entidades particularmente importantes e importantes a registarem-se junto do BSI, no máximo, três meses depois de passarem a ser consideradas como tais «pela primeira vez ou novamente» («erstmals oder erneut»). Para todos os que estão abrangidos pela lei desde a sua entrada em vigor, esse prazo já expirou há meses.

A expressão «pela primeira vez ou novamente» merece um segundo olhar. O prazo não é uma data-limite única que ficou para trás. Uma empresa que ultrapassa um limiar por crescimento, por uma aquisição ou por uma nova área de negócio tem, a partir desse momento, novamente três meses. A verificação de aplicabilidade, portanto, não é um exercício único, mas faz parte do planeamento anual.

A minha empresa é afetada? O autodiagnóstico

O critério determinante é o § 28 BSIG. Há duas perguntas que têm de ser ambas respondidas com sim.

Primeira: a sua atividade pertence a um dos tipos de entidade dos anexos 1 e 2 da lei? A distinção entre os dois anexos é importante, porque decide a classificação possível. O anexo 1 abrange os setores da energia, transportes e tráfego, finanças, saúde, água, infraestrutura digital e espaço. O anexo 2 vai muito além dos setores KRITIS clássicos e menciona, por exemplo, serviços postais e de estafeta, gestão de resíduos, empresas do setor alimentar no comércio grossista e na produção industrial e, na indústria transformadora, entre outros, a construção de máquinas, o fabrico de equipamento elétrico e o fabrico de veículos automóveis e componentes para automóveis. As atividades comerciais que são insignificantes em relação ao conjunto da atividade da empresa podem ser desconsideradas segundo o § 28 (3).

Segunda: a sua empresa atinge os limiares de dimensão? Para a maioria das empresas vale:

  • Entidade importante (tipos de entidade do anexo 1 ou 2): pelo menos 50 colaboradores ou volume de negócios anual e total do balanço anual, cada um, acima de 10 milhões de euros.
  • Entidade particularmente importante (apenas tipos de entidade do anexo 1): pelo menos 250 colaboradores ou volume de negócios anual acima de 50 milhões de euros e, além disso, total do balanço anual acima de 43 milhões de euros.

Um fabricante de máquinas com 300 colaboradores é, portanto, uma entidade importante, e não particularmente importante – a construção de máquinas está no anexo 2 –, desde que não opere uma instalação crítica nem exerça adicionalmente uma atividade do anexo 1. Só com um tipo de entidade do anexo 1 a mesma dimensão leva à classificação como particularmente importante.

Para alguns tipos de entidade – por exemplo, prestadores de serviços de confiança, fornecedores de serviços de DNS e operadores de telecomunicações – valem regras diferentes, que levam à classificação independentemente da dimensão. Para o cálculo, a lei remete para a recomendação da Comissão Europeia relativa às PME. Os dados de empresas parceiras ou associadas não são somados se a sua empresa for independente delas no que diz respeito aos seus sistemas e processos de TI.

Para uma primeira classificação, o BSI disponibiliza uma verificação de aplicabilidade online. Esta não substitui uma avaliação jurídica. Registe, porém, o resultado por escrito, juntamente com os números em que se baseia. Também um «não afetado» é uma afirmação que deverá poder fundamentar em caso de dúvida.

O que fazer se o prazo foi perdido

Registe-se agora. A lei não prevê nenhum prazo adicional pelo qual se possa esperar. Segundo o § 33 (3), o BSI pode, de comum acordo com a autoridade de supervisão competente, efetuar ele próprio o registo se uma empresa não cumprir a sua obrigação. E, segundo o parágrafo (4): se «factos justificarem a suposição» («Rechtfertigen Tatsachen die Annahme») de que uma entidade não cumpre a sua obrigação de registo, esta deve, mediante pedido, apresentar documentos ao BSI e prestar informações. Quem espera deixa, portanto, o primeiro passo à autoridade.

O registo realiza-se em duas etapas:

  1. Pedir o certificado organizacional ELSTER através do serviço «Mein Unternehmenskonto». O pré-requisito é um número de identificação fiscal alemão. Parte dos dados de ativação chega por correio; o BSI indica para isso, em regra, pelo menos cinco dias úteis. Quem começa hoje estará no portal, portanto, o mais cedo na próxima semana.
  2. Registo no portal do BSI com esse certificado. São pedidos, entre outros, o setor e o tipo de entidade, os Estados-Membros da UE em que a empresa atua, as autoridades de supervisão competentes e um ponto de contacto NIS-2. O § 33 (1) exige, além disso, os intervalos de endereços IP públicos.

Duas observações práticas. O BSI recomenda um certificado organizacional ELSTER por cada pessoa que deva ter acesso ao portal; quem se regista primeiro torna-se automaticamente administrador. Preveja, portanto, pelo menos um substituto – e não só quando o único titular do certificado estiver de férias e for preciso notificar um incidente. E: se os dados mudarem depois, as alterações devem ser comunicadas, segundo o § 33 (5), sem demora, mas no máximo em duas semanas a partir do conhecimento.

Quanto pode custar uma omissão. Quem não transmite um dado exigido pelo § 33, ou não o transmite a tempo, comete uma contraordenação segundo o § 65 BSIG; a coima pode chegar a 500.000 euros. É bem mais elevada nas obrigações materiais: para violações das obrigações de gestão de risco ou de notificação, a lei prevê até 10 milhões de euros para entidades particularmente importantes e até 7 milhões de euros para entidades importantes. Com um volume de negócios total superior a 500 milhões de euros, podem ser, em vez disso, até 2% ou 1,4% do volume de negócios mundial, respetivamente.

O registo é só o primeiro passo

Com o registo, a empresa fica inscrita junto do BSI. Nenhuma das obrigações que realmente importam fica cumprida com isso.

Gestão de risco segundo o § 30. As entidades afetadas têm de adotar medidas técnicas e organizativas adequadas, proporcionais e eficazes – e documentar o seu cumprimento. O catálogo mínimo abrange dez pontos, entre eles análise de risco, tratamento de incidentes de segurança, gestão de backups e recuperação, segurança da cadeia de abastecimento, gestão de vulnerabilidades, formações, criptografia, controlo de acessos e autenticação multifator.

Obrigações de notificação segundo o § 32. Os incidentes de segurança significativos devem ser notificados por etapas: uma notificação inicial antecipada, no máximo, 24 horas após tomar conhecimento, uma notificação com primeira avaliação, no máximo, após 72 horas e uma notificação final um mês após a notificação das 72 horas (em caso de incidente em curso, primeiro uma notificação intercalar). O BSI esclarece que se trata de prazos máximos, que não deveriam ser esgotados. Importante para quem está atrasado: quem ainda não está registado e sofre um incidente significativo notifica-o, segundo o BSI, através de um formulário online no portal de notificação e informação. A falta de registo não dispensa da notificação.

Obrigações da direção segundo o § 38. A direção tem de implementar as medidas de gestão de risco, supervisionar a sua implementação e participar regularmente em formações. Por danos causados de forma culposa, responde segundo as regras do direito societário aplicáveis à sua forma jurídica. O trabalho pode ser delegado; a responsabilidade, não.

Uma sequência realista

Para uma empresa que constata hoje que é afetada, recomendamos esta sequência: esta semana, pedir o certificado ELSTER e documentar a aplicabilidade; após a receção do certificado, registar-se; em paralelo, definir um processo de notificação que funcione também numa sexta-feira à noite – quem deteta, quem avalia, quem notifica, com substituição. Depois vem um levantamento estruturado face ao catálogo do § 30, com um plano de medidas priorizado. O roteiro do BSI «#nis2know» organiza este procedimento em seis fases e é um referencial útil.

Como a sector7 apoia

O registo em si resolve-se em poucos passos. No que vem depois, nós apoiamos: com um levantamento estruturado das suas medidas, um roteiro priorizado e a implementação técnica – mais sobre isto em Regulação e compliance. Como encarregado externo de segurança da informação, mantemos também, se o desejar, os seus canais de notificação para o caso de emergência; as medidas técnicas encontram-se em Cibersegurança.

Este artigo é uma classificação técnica e não substitui aconselhamento jurídico no caso concreto.

Fontes

Vamos falar sobre a sua situação.

Marcar uma conversa+49 212 240915 0