O período de tolerância da NIS2 está chegando ao fim. Segundo relatos da imprensa do início de outubro de 2026, o Escritório Federal de Segurança da Informação (BSI) pretende lançar ainda no quarto trimestre de 2026 uma iniciativa para fazer cumprir a obrigação de registro. A partir do primeiro trimestre de 2027, entidades individuais também deverão ser obrigadas a submeter sua segurança de TI a auditoria e apresentar evidências. Inicialmente, são afetadas as empresas que claramente se enquadram na lei, mas ainda não estão registradas no BSI.
O que o BSI anunciou
As informações vêm de uma reportagem do Tagesspiegel, repercutida pela mídia especializada. Até o fechamento desta edição, o BSI não havia publicado comunicado de imprensa próprio sobre o tema. Segundo essas reportagens, o BSI planeja duas etapas:
| Período | Plano |
|---|---|
| Quarto trimestre de 2026 | Contato direto com empresas que deveriam ter se registrado |
| A partir do primeiro trimestre de 2027 | Determinação de auditorias em entidades individuais, cada uma com foco temático |
Segundo as reportagens, o BSI pretende começar pelas entidades essenciais nos setores em que vê maior necessidade de ação. No início, não haverá multa, mas sim uma audiência. Um processo de multa, porém, pode vir em seguida.
Por que justamente agora
O prazo legal para registro conforme o § 33 BSIG terminou para a maioria das empresas em 6 de março de 2026. Depois disso, o BSI convocou registros tardios até o fim de julho de 2026. Segundo dados citados nas reportagens, no fim de setembro de 2026 havia cerca de 20.000 registros, incluindo filiais. O próprio BSI estima quase 30.000 entidades afetadas. Assim, ainda falta uma parcela considerável.
Uma visão geral de todas as obrigações está em nosso artigo NIS2 na Alemanha: o que fazer agora após o início.
O que a lei permite ao BSI
As medidas anunciadas baseiam-se em poderes previstos na Lei do BSI desde dezembro de 2025. Em resumo, com nossas palavras:
- Determinar auditorias (§ 61, parágrafo 1, BSIG). Em relação a entidades essenciais individuais, o BSI pode determinar que organismos independentes realizem auditorias, verificações ou certificações. Verifica-se se as medidas do § 30, as obrigações de notificação do § 32 e as obrigações da diretoria foram cumpridas. Não há período de carência para isso.
- Evidências periódicas (§ 61, parágrafo 3, BSIG). O BSI só pode exigir evidências de forma geral três anos após a entrada em vigor da lei, ou seja, a partir de dezembro de 2028. Para hospitais credenciados, vale um prazo mais longo. Isso não contradiz as auditorias a partir de 2027: estas são determinações direcionadas em casos individuais.
- Entidades importantes (§ 62 BSIG). Aqui o BSI só atua se houver fatos indicando que as obrigações não estão sendo cumpridas ou não corretamente. Um motivo assim pode ser, por exemplo, um incidente notificado.
- Multas (§ 65 BSIG). Informações ausentes, incorretas ou atrasadas no registro constituem infração administrativa, para a qual a lei prevê multa de até 500.000 euros. Para violações das medidas de segurança e das obrigações de notificação, os limites máximos são bem mais altos.
O texto determinante é o da lei em gesetze-im-internet.de. Como o BSI usará seus poderes em detalhe só ficará claro na prática.
Quem entra primeiro no radar
Pelas informações disponíveis até agora, o BSI se concentra em dois grupos. Primeiro, empresas que claramente se enquadram na NIS2, mas não fizeram registro. Segundo, entidades essenciais em setores de alto risco. Quem atua nesses setores deve contar com auditorias antes de 2028.
Entidades importantes não estão livres. Um incidente de segurança grave ou indicações de terceiros podem bastar para que o BSI faça questionamentos. Nesse caso, o que conta é se você consegue comprovar suas medidas.
Como uma auditoria determinada deve ser
A lei dá margem ao BSI. Ele pode definir quais requisitos os organismos auditores devem cumprir e exigir resultados da auditoria, deficiências identificadas e um plano para corrigi-las. Segundo as reportagens, cada auditoria terá um foco temático. Quais serão os temas ainda não se sabe. Os mais prováveis são as áreas centrais do § 30: análise de riscos, tratamento de incidentes de segurança, cadeia de suprimentos, controle de acesso e planejamento de emergências.
Um certificado ISO/IEC 27001 existente não substitui automaticamente essa auditoria. Mas ajuda, pois muitas evidências já existem e foram verificadas. Certifique-se de que o escopo abranja os serviços e locais relevantes para a NIS2.
O que isso significa para você
- Verifique o registro. Se você se enquadra na NIS2 e ainda não está registrado, faça-o imediatamente pelo portal do BSI. Registrar-se antes de uma audiência é a melhor posição de partida. Verifique também se as informações enviadas ainda estão corretas.
- Documente a classificação. Registre por que você é entidade essencial, importante ou nenhuma delas. Você precisará dessa justificativa se o BSI questionar.
- Organize as evidências. Defina para cada área do § 30 qual política, qual processo e qual comprovante correspondem. Quem organizar isso agora poderá responder a uma determinação dentro do prazo fixado.
- Envolva a diretoria. A diretoria deve aprovar as medidas, supervisionar sua implementação e receber treinamento regularmente. Registre por escrito decisões e treinamentos.
Na página sobre NIS2, você vê como a Sightadel mapeia os requisitos do BSIG controle por controle e armazena evidências por medida. Se você já trabalha com a ISO/IEC 27001, encontra na página sobre ISO/IEC 27001 a conexão entre os dois frameworks. Você pode testar a Sightadel gratuitamente por 14 dias, sem dados de pagamento.
Atualizado em: 9 de outubro de 2026 · Não constitui consultoria jurídica. Vale a norma ou a lei na versão em vigor.
