Desde 6 de dezembro de 2025, está em vigor a lei alemã de transposição da NIS2 (NIS2UmsuCG). Essa lei reformulou profundamente a lei alemã do BSI (BSIG) e ampliou muito o universo de empresas reguladas na Alemanha. Em vez de alguns milhares de operadores de infraestruturas críticas, passam a ser abrangidas também muitas empresas de médio porte de diversos setores, de energia e saúde a logística e alimentos, passando por serviços digitais e partes da indústria de transformação. Dez meses após o início, as bases já deveriam estar implementadas. Este artigo resume onde as empresas deveriam estar agora.
A sua empresa é afetada?
A lei distingue entre entidades essenciais e entidades importantes. Duas perguntas são decisivas: você atua em um dos setores listados e atinge o limite de porte? Em termos gerais, podem ser afetadas as empresas de médio porte a partir de 50 funcionários ou com mais de 10 milhões de euros de faturamento anual e de ativo total. Para alguns serviços, por exemplo determinadas infraestruturas digitais, a lei se aplica independentemente do porte. Cada entidade faz a sua própria classificação. Não existe uma confirmação por parte do Serviço Federal Alemão de Segurança da Informação (BSI). Por isso, registre a sua avaliação por escrito, com a respectiva justificativa.
Registro nos termos do § 33 da BSIG
As entidades afetadas precisam se registrar no BSI, no máximo, três meses depois de ficarem sujeitas à lei pela primeira vez. Para todas as que já estavam sujeitas na data da entrada em vigor, esse prazo terminou em 6 de março de 2026. Como muito menos empresas do que o esperado se registraram, o BSI pediu que o registro fosse feito até o final de julho de 2026. Essa data também já passou.
Quem ainda não se registrou deve fazer isso sem mais demora. O registro é feito pelo portal do BSI. É necessário um acesso pela “Mein Unternehmenskonto” (conta empresarial alemã), que se baseia em um certificado ELSTER (o sistema eletrônico da administração tributária alemã). Reserve alguns dias para isso, porque parte das credenciais de acesso chega pelo correio. Se os dados informados mudarem, por exemplo o ponto de contato, você precisa comunicar isso ao BSI rapidamente.
Medidas nos termos do § 30 da BSIG
O núcleo da lei são medidas adequadas de gestão de riscos. O § 30 lista dez domínios que precisam ser cobertos, no mínimo. Resumidos com as nossas palavras:
- Políticas de análise de riscos e de segurança dos sistemas de informação
- Gestão de incidentes de segurança
- Continuidade das operações, backup e recuperação, gestão de crises
- Segurança da cadeia de suprimentos
- Segurança na aquisição, no desenvolvimento e na manutenção, incluindo o tratamento de vulnerabilidades
- Avaliação da eficácia das medidas
- Higiene cibernética e treinamento
- Criptografia e encriptação
- Segurança de recursos humanos, controle de acesso e gestão de ativos
- Autenticação multifator e comunicação segura
Adequado significa: as medidas devem ser proporcionais ao risco, ao porte da entidade e aos custos e considerar o estado da técnica. A lei não exige certificação. Mas, se necessário, você precisa conseguir comprovar o que implementou.
Obrigações de notificação nos termos do § 32 da BSIG
Os incidentes de segurança significativos precisam ser notificados ao BSI em três etapas: uma primeira notificação em até 24 horas após a tomada de conhecimento, uma notificação mais detalhada em até 72 horas e um relatório final em até um mês após essa notificação. Esses prazos só podem ser cumpridos se estiver definido previamente quem decide se um incidente é significativo, quem notifica e quem substitui. Uma cadeia de notificação que só é desenhada durante o incidente chega tarde demais.
Deveres da diretoria nos termos do § 38 da BSIG
O § 38 se dirige diretamente à diretoria. Ela precisa implementar as medidas do § 30 e supervisionar a sua implementação. Além disso, os membros da diretoria precisam participar regularmente de treinamentos, para conseguir identificar riscos e avaliar medidas. A tarefa não pode ser totalmente delegada à área de TI. Se a diretoria violar os seus deveres de forma culposa, ela pode ser responsabilizada perante a entidade. Por isso, documente as decisões, os relatórios apresentados à diretoria e as evidências de treinamento.
Prioridades para as próximas semanas
- Verificar e documentar a classificação. Com justificativa, setor e critérios de porte.
- Fazer o registro pendente ou verificar os dados. O ponto de contato e os dados continuam corretos?
- Definir e testar a cadeia de notificação. Responsáveis, substitutos, critérios de significância, modelos para as três etapas de notificação.
- Análise de lacunas em relação ao § 30. Onde você está nos dez domínios? O que faltar entra em um plano de ação, com prazo e responsáveis.
- Envolver a diretoria. Relatórios regulares, decisões documentadas e um primeiro treinamento da diretoria.
O que isso significa para a sua empresa
Se você é afetado, as obrigações já valem. O registro e a cadeia de notificação têm prioridade, porque aqui há prazos correndo e as falhas estão sujeitas a multas. Em seguida vem a implementação gradual das medidas. Quem já tem um SGSI segundo a ISO 27001 já tem muito disso pronto e complementa principalmente o registro, os canais de notificação e o papel da diretoria.
No Sightadel, as medidas do § 30 estão organizadas em pontos de controle, a cadeia de notificação está disponível como modelo, e as deliberações e os treinamentos da diretoria ficam registrados como evidência. Mais informações na página sobre a NIS2. Para testar: Teste grátis por 14 dias. Para a avaliação jurídica do seu caso concreto, consulte o seu assessor jurídico.
Atualizado em: 7 de outubro de 2026 · Não constitui consultoria jurídica. Vale a norma ou a lei na versão em vigor.
