Ferramenta · NIS2
A sua empresa é abrangida pela NIS2?
Três perguntas sobre casos especiais, setor e dimensão, com base na transposição alemã da NIS2 na lei do BSI (BSIG). Depois, fica a saber se a sua empresa será previsivelmente uma entidade importante ou essencial – e o que isso implica. Sem registo, nada sai do seu browser.
Explicação
Como a BSIG classifica as empresas.
Três fatores decidem: o que faz, qual a sua dimensão e se existe um caso especial.
Desde 6 de dezembro de 2025 está em vigor na Alemanha a lei alemã de transposição da NIS2 (NIS2UmsuCG). Deu nova redação à lei alemã do BSI (BSIG), que regula o Serviço Federal Alemão de Segurança da Informação (BSI), e alargou muito o círculo de empresas abrangidas. Antes tratava-se essencialmente de operadores de infraestruturas críticas. Hoje incluem-se também muitos fabricantes, empresas de logística, empresas do setor alimentar e prestadores de serviços de TI de média dimensão. Esta verificação baseia-se nas regras alemãs; Portugal transpõe a Diretiva NIS2 através de legislação própria, cujos critérios não são aqui reproduzidos.
Primeira pergunta: o que faz?
A lei enumera em dois anexos as atividades abrangidas. O Anexo 1 inclui setores de criticidade elevada: energia, transportes, bancos e infraestruturas do mercado financeiro, saúde, água e águas residuais, infraestruturas digitais, prestadores de serviços de TI com serviços geridos e espaço. O Anexo 2 indica outros setores: serviços postais e de estafeta, resíduos, química, alimentar, partes da indústria transformadora, do fabrico de máquinas ao de veículos, serviços digitais como mercados em linha, e investigação. Atividades com peso insignificante no conjunto do negócio podem ser ignoradas na classificação.
Segunda pergunta: qual a sua dimensão?
Em regra, só estão abrangidas médias e grandes empresas. É entidade importante quem atua num setor do Anexo 1 ou 2 e tem pelo menos 50 colaboradores ou, cumulativamente, mais de 10 milhões de € de volume de negócios anual e mais de 10 milhões de € de balanço total. Uma entidade do Anexo 1 passa a ser essencial a partir de 250 colaboradores ou com mais de 50 milhões de € de volume de negócios e, simultaneamente, mais de 43 milhões de € de balanço total. A contagem segue a Recomendação da UE relativa às micro, pequenas e médias empresas, ou seja, incluindo empresas parceiras e associadas. A BSIG ignora estes dados se os seus sistemas de TI forem independentes delas.
Terceira pergunta: existe um caso especial?
Algumas entidades estão abrangidas independentemente da sua dimensão. Os operadores de instalações críticas, os prestadores qualificados de serviços de confiança, os registos de nomes de domínio de topo e os prestadores de serviços de DNS são sempre entidades essenciais. Os prestadores não qualificados de serviços de confiança são sempre entidades importantes. Para os prestadores de telecomunicações, o limiar de entidade essencial situa-se já nos 50 colaboradores ou em mais de 10 milhões de € de volume de negócios e de balanço total. Para a administração federal alemã aplicam-se regras próprias. As administrações estaduais e municipais são reguladas pelos estados federados.
O que se segue
As empresas abrangidas têm de se registar junto do BSI no prazo de três meses. Aplicam medidas adequadas de gestão de riscos nas dez áreas do § 30 e documentam-nas. Notificam incidentes significativos segundo o § 32 em três fases: uma notificação inicial precoce no prazo de 24 horas, uma notificação com uma primeira avaliação no prazo de 72 horas e uma notificação final ao fim de um mês. A administração tem de aplicar as medidas, supervisionar a sua aplicação e participar regularmente em formações (§ 38). As infrações podem sair caras: até 10 milhões de € para entidades essenciais e até 7 milhões de € para entidades importantes; para grandes empresas, também uma percentagem do volume de negócios mundial.
E se a sua empresa não for abrangida?
Nesse caso, a BSIG não se lhe aplica diretamente. Os seus clientes podem, no entanto, ser abrangidos. Têm de ter em conta a segurança da sua cadeia de abastecimento e, por isso, fazem perguntas aos fornecedores e prestadores de serviços. Quem consegue apresentar as suas medidas de forma organizada ganha tempo e confiança.
Mais sobre as obrigações em detalhe na página Implementar a NIS2. Uma lista de trabalho para ir assinalando está na lista de verificação NIS2.
Perguntas e respostas
Perguntas sobre a verificação NIS2
Mais nas nossas perguntas frequentes ou diretamente através do nosso formulário de contacto.
Qual a fiabilidade do resultado da verificação?
A verificação reproduz de forma simplificada as regras de dimensão e de setor do § 28 da BSIG. Não substitui uma análise jurídica. Os casos-limite surgem sobretudo com atividades mistas, estruturas de grupo e a questão de saber se uma atividade é insignificante. Aí vale a pena um segundo olhar de um especialista.
Os colaboradores de filiais e empresas irmãs contam?
Em princípio, sim. Determinante é a Recomendação da UE relativa à definição de micro, pequenas e médias empresas, que inclui empresas parceiras e associadas. A BSIG ignora estes dados se a sua empresa for independente nos seus sistemas, componentes e processos de TI. Isso tem de poder ser comprovado.
Não somos abrangidos. Temos mesmo assim de fazer alguma coisa?
Juridicamente, não ao abrigo da BSIG. Na prática, muitas vezes sim: os clientes abrangidos têm de proteger a sua cadeia de abastecimento e transmitem requisitos por contrato, questionário ou auditoria. Quem consegue comprovar as suas medidas responde mais depressa a esses pedidos.
Até quando temos de nos registar junto do BSI?
O mais tardar três meses depois de a sua empresa passar a ser considerada entidade importante ou essencial. Para todos os que já estavam abrangidos na entrada em vigor, em dezembro de 2025, este prazo terminou em março de 2026. As alterações aos dados comunicados têm de ser comunicadas no prazo de duas semanas.
Somos uma entidade financeira. A NIS2 aplica-se-nos?
Para as entidades financeiras abrangidas pelo DORA, prevalecem as regras do DORA sobre gestão de riscos, notificação de incidentes e obrigações da administração. Algumas obrigações da BSIG, como o registo, podem ainda assim existir. Esclareça a questão com a sua autoridade de supervisão.
Os meus dados são guardados ou transmitidos?
Não. A avaliação é feita inteiramente no seu browser. Se partilhar o resultado, as suas respostas ficam apenas na própria ligação, depois do carácter #. Esta parte do endereço não é transmitida ao nosso servidor.
Abrangido? Então conta a comprovação.
O Sightadel guia-o pelas dez medidas do § 30 da BSIG, prepara a cadeia de notificação e regista a deliberação da administração. Experimente durante 14 dias, sem dados de pagamento.