Ferramenta · NIS2
Sua empresa está sujeita à NIS2?
Três perguntas sobre casos especiais, setor e porte, com base na transposição alemã da NIS2 na lei do BSI (BSIG). Depois, você fica sabendo se a sua empresa provavelmente será uma entidade importante ou essencial – e o que isso significa. Sem cadastro, nada sai do seu navegador.
Explicação
Como a BSIG classifica as empresas.
Três fatores decidem: o que você faz, qual é o seu porte e se existe um caso especial.
Desde 6 de dezembro de 2025, está em vigor na Alemanha a lei alemã de transposição da NIS2 (NIS2UmsuCG). Ela deu nova redação à lei alemã do BSI (BSIG), que regula o Serviço Federal Alemão de Segurança da Informação (BSI), e ampliou muito o grupo de empresas sujeitas. Antes, o foco eram basicamente os operadores de infraestruturas críticas. Hoje, entram também muitos fabricantes, empresas de logística, empresas do setor alimentício e prestadores de serviços de TI de médio porte. Esta verificação se baseia nas regras alemãs. A NIS2 é uma diretiva da UE que se aplica a empresas na UE e, indiretamente, a seus fornecedores.
Primeira pergunta: o que você faz?
A lei lista em dois anexos as atividades abrangidas. O Anexo 1 inclui setores de alta criticidade: energia, transportes, bancos e infraestruturas do mercado financeiro, saúde, água e esgoto, infraestrutura digital, prestadores de serviços de TI com serviços gerenciados e espaço. O Anexo 2 traz outros setores: serviços postais e de entrega, resíduos, química, alimentos, partes da indústria de transformação, da fabricação de máquinas à de veículos, serviços digitais como marketplaces on-line, e pesquisa. Atividades com peso insignificante no negócio como um todo podem ser desconsideradas na classificação.
Segunda pergunta: qual é o seu porte?
Em regra, só médias e grandes empresas estão sujeitas. É entidade importante quem atua em um setor do Anexo 1 ou 2 e tem pelo menos 50 colaboradores ou, cumulativamente, mais de € 10 milhões de faturamento anual e mais de € 10 milhões de total do balanço. Uma entidade do Anexo 1 passa a ser essencial a partir de 250 colaboradores ou com mais de € 50 milhões de faturamento e, ao mesmo tempo, mais de € 43 milhões de total do balanço. A contagem segue a Recomendação da UE relativa às micro, pequenas e médias empresas, ou seja, incluindo empresas parceiras e coligadas. A BSIG desconsidera esses dados se os seus sistemas de TI forem independentes delas.
Terceira pergunta: existe um caso especial?
Algumas entidades estão sujeitas independentemente do porte. Operadores de instalações críticas, prestadores qualificados de serviços de confiança, registros de domínios de topo e prestadores de serviços de DNS são sempre entidades essenciais. Prestadores não qualificados de serviços de confiança são sempre entidades importantes. Para prestadores de telecomunicações, o limite para entidade essencial já é de 50 colaboradores ou mais de € 10 milhões de faturamento e de total do balanço. Para a administração federal alemã valem regras próprias. As administrações estaduais e municipais são reguladas pelos estados federados.
O que vem depois
As empresas sujeitas precisam se cadastrar no BSI em até três meses. Elas aplicam medidas adequadas de gestão de riscos nas dez áreas do § 30 e as documentam. Notificam incidentes significativos segundo o § 32 em três etapas: uma notificação inicial antecipada em até 24 horas, uma notificação com uma primeira avaliação em até 72 horas e uma notificação final após um mês. A diretoria precisa implementar as medidas, supervisionar sua implementação e participar regularmente de treinamentos (§ 38). As infrações podem sair caras: até € 10 milhões para entidades essenciais e até € 7 milhões para entidades importantes; para grandes empresas, também um percentual do faturamento mundial.
E se a sua empresa não estiver sujeita?
Nesse caso, a BSIG não se aplica diretamente a você. Seus clientes, porém, podem estar sujeitos. Eles precisam levar em conta a segurança da cadeia de suprimentos e, por isso, fazem perguntas aos fornecedores e prestadores de serviços. Quem consegue apresentar suas medidas de forma organizada ganha tempo e confiança.
Mais sobre as obrigações em detalhe na página Implementar a NIS2. Uma lista de trabalho para ir marcando está no checklist NIS2.
Perguntas e respostas
Perguntas sobre a verificação NIS2
Mais em nossas perguntas frequentes ou diretamente pelo nosso formulário de contato.
Quão confiável é o resultado da verificação?
A verificação reproduz de forma simplificada as regras de porte e de setor do § 28 da BSIG. Ela não substitui uma análise jurídica. Casos-limite surgem principalmente com atividades mistas, estruturas de grupo e a questão de saber se uma atividade é insignificante. Nesses casos, vale a pena um segundo olhar de um especialista.
Os colaboradores de subsidiárias e empresas irmãs contam?
Em princípio, sim. O critério é a Recomendação da UE relativa à definição de micro, pequenas e médias empresas, que inclui empresas parceiras e coligadas. A BSIG desconsidera esses dados se a sua empresa for independente em seus sistemas, componentes e processos de TI. Isso precisa poder ser comprovado.
Não estamos sujeitos. Mesmo assim precisamos fazer algo?
Juridicamente, não com base na BSIG. Na prática, muitas vezes sim: clientes sujeitos precisam proteger sua cadeia de suprimentos e repassam requisitos por contrato, questionário ou auditoria. Quem consegue comprovar suas medidas responde mais rápido a essas solicitações.
Até quando precisamos nos cadastrar no BSI?
No máximo três meses depois de a sua empresa passar a ser considerada entidade importante ou essencial. Para todos que já estavam sujeitos na entrada em vigor, em dezembro de 2025, esse prazo terminou em março de 2026. Alterações nos dados informados precisam ser comunicadas em até duas semanas.
Somos uma entidade financeira. A NIS2 se aplica a nós?
Para entidades financeiras sujeitas ao DORA, prevalecem as regras do DORA sobre gestão de riscos, notificação de incidentes e obrigações da diretoria. Algumas obrigações da BSIG, como o cadastro, podem ainda assim existir. Esclareça a questão com a sua autoridade supervisora.
Meus dados são armazenados ou transmitidos?
Não. A avaliação é feita inteiramente no seu navegador. Se você compartilhar o resultado, suas respostas ficam apenas no próprio link, depois do caractere #. Essa parte do endereço não é transmitida ao nosso servidor.
Sujeita à NIS2? Então o que conta é a comprovação.
O Sightadel guia você pelas dez medidas do § 30 da BSIG, prepara a cadeia de notificação e registra a deliberação da diretoria. Teste por 14 dias, sem dados de pagamento.