Desde 6 de dezembro de 2025 está em vigor a lei alemã de transposição da NIS2 (NIS2UmsuCG). Esta lei reformulou profundamente a lei alemã do BSI (BSIG) e alargou muito o universo de empresas reguladas na Alemanha. Em vez de alguns milhares de operadores de infraestruturas críticas, passam a estar abrangidas também muitas médias empresas de numerosos setores, da energia e da saúde à logística e ao setor alimentar, passando pelos serviços digitais e por partes da indústria transformadora. Dez meses após o arranque, as bases já deviam estar implementadas. Este artigo resume onde as empresas deviam estar agora.
A sua empresa está abrangida?
A lei distingue entre entidades essenciais e entidades importantes. São decisivas duas perguntas: exerce atividade num dos setores enumerados e atinge o limiar de dimensão? Em termos gerais, podem estar abrangidas as médias empresas a partir de 50 trabalhadores ou com mais de 10 milhões de euros de volume de negócios anual e de balanço total. Para alguns serviços, por exemplo determinadas infraestruturas digitais, a lei aplica-se independentemente da dimensão. Cada entidade faz a sua própria classificação. Não existe uma confirmação por parte do Serviço Federal Alemão de Segurança da Informação (BSI). Por isso, registe a sua avaliação por escrito, com a respetiva justificação.
Registo nos termos do § 33 da BSIG
As entidades abrangidas têm de se registar junto do BSI, o mais tardar três meses depois de ficarem abrangidas pela lei pela primeira vez. Para todas as que já estavam abrangidas à data da entrada em vigor, este prazo terminou a 6 de março de 2026. Como se registaram muito menos empresas do que o esperado, o BSI apelou a que o registo fosse feito até ao final de julho de 2026. Também essa data já passou.
Quem ainda não estiver registado deve fazê-lo sem mais demora. O registo é feito através do portal do BSI. É necessário um acesso através da «Mein Unternehmenskonto» (conta de empresa alemã), que assenta num certificado ELSTER (o sistema eletrónico da administração fiscal alemã). Conte com alguns dias para isso, porque parte das credenciais de acesso chega por correio. Se os dados comunicados se alterarem, por exemplo o ponto de contacto, tem de o comunicar ao BSI com brevidade.
Medidas nos termos do § 30 da BSIG
O núcleo da lei são medidas de gestão de riscos adequadas. O § 30 enumera dez domínios que têm de ser abrangidos, no mínimo. Resumidos por palavras nossas:
- Políticas de análise de riscos e de segurança dos sistemas de informação
- Gestão de incidentes de segurança
- Continuidade das operações, cópias de segurança e recuperação, gestão de crises
- Segurança da cadeia de fornecimento
- Segurança na aquisição, no desenvolvimento e na manutenção, incluindo o tratamento de vulnerabilidades
- Avaliação da eficácia das medidas
- Ciber-higiene e formação
- Criptografia e cifragem
- Segurança dos recursos humanos, controlo de acessos e gestão de ativos
- Autenticação multifator e comunicações seguras
Adequado significa: as medidas devem ser proporcionais ao risco, à dimensão da entidade e aos custos e ter em conta o estado da técnica. A lei não exige certificação. Mas, em caso de necessidade, tem de conseguir demonstrar o que implementou.
Obrigações de notificação nos termos do § 32 da BSIG
Os incidentes de segurança significativos têm de ser notificados ao BSI em três fases: uma primeira notificação no prazo de 24 horas após ter tomado conhecimento, uma notificação mais detalhada no prazo de 72 horas e um relatório final no prazo de um mês após essa notificação. Estes prazos só podem ser cumpridos se estiver definido previamente quem decide se um incidente é significativo, quem notifica e quem substitui. Uma cadeia de notificação que só é desenhada durante o incidente chega tarde demais.
Deveres da administração nos termos do § 38 da BSIG
O § 38 dirige-se diretamente à administração. Esta tem de aplicar as medidas do § 30 e supervisionar a sua aplicação. Além disso, os membros da administração têm de participar regularmente em formações, para conseguirem identificar riscos e avaliar medidas. A tarefa não pode ser totalmente delegada na área de TI. Se a administração violar culposamente os seus deveres, pode ser responsabilizada perante a entidade. Por isso, documente as decisões, os relatórios apresentados à administração e as evidências de formação.
Prioridades para as próximas semanas
- Verificar e documentar a classificação. Com justificação, setor e critérios de dimensão.
- Fazer o registo em falta ou verificar os dados. O ponto de contacto e os dados continuam corretos?
- Definir e testar a cadeia de notificação. Responsáveis, substitutos, critérios de significância, modelos para as três fases de notificação.
- Análise de lacunas relativa ao § 30. Onde está nos dez domínios? O que faltar entra num plano de ação, com prazo e responsáveis.
- Envolver a administração. Relatórios regulares, decisões documentadas e uma primeira formação da administração.
O que isto significa para a sua empresa
Se estiver abrangido, as obrigações já se aplicam. O registo e a cadeia de notificação têm prioridade, porque aqui há prazos a correr e as falhas estão sujeitas a coimas. Segue-se a implementação gradual das medidas. Quem já tem um SGSI segundo a ISO 27001 tem muito disto feito e completa sobretudo o registo, os canais de notificação e o papel da administração.
No Sightadel, as medidas do § 30 estão organizadas em pontos de controlo, a cadeia de notificação está disponível como modelo, e as deliberações e formações da administração ficam registadas como evidência. Mais informações na página sobre a NIS2. Para experimentar: Experimente grátis durante 14 dias. Para a avaliação jurídica do seu caso concreto, recorra ao seu consultor jurídico.
Situação em: 7 de outubro de 2026 · Não constitui aconselhamento jurídico. Prevalece a norma ou a lei na versão em vigor.
