O período de tolerância da NIS2 está a terminar. Segundo notícias do início de outubro de 2026, o Serviço Federal para a Segurança da Informação (BSI) pretende lançar ainda no quarto trimestre de 2026 uma iniciativa para fazer cumprir a obrigação de registo. A partir do primeiro trimestre de 2027, determinadas entidades deverão ainda ser obrigadas a submeter a sua segurança de TI a auditoria e a apresentar evidências. Visadas em primeiro lugar estão as empresas que manifestamente se enquadram na lei, mas que ainda não se registaram junto do BSI.
O que o BSI anunciou
As informações provêm de uma reportagem do Tagesspiegel, retomada pela imprensa especializada. Até ao fecho da edição, o BSI não tinha publicado qualquer comunicado de imprensa próprio sobre o tema. Segundo estas notícias, o BSI planeia duas etapas:
| Período | Iniciativa |
|---|---|
| Quarto trimestre de 2026 | Contacto direto com empresas que deveriam ter-se registado |
| A partir do primeiro trimestre de 2027 | Ordem de auditorias a determinadas entidades, cada uma com um foco temático |
Segundo as notícias, o BSI pretende começar pelas entidades essenciais nos setores em que vê maior necessidade de intervenção. Numa primeira fase, não haverá coima, mas sim uma audição. Contudo, pode seguir-se um processo de contraordenação.
Porquê agora
O prazo legal para o registo nos termos do § 33 BSIG terminou para a maioria das empresas a 6 de março de 2026. O BSI apelou depois a registos tardios até ao final de julho de 2026. Segundo dados citados nas notícias, no final de setembro de 2026 existiam cerca de 20.000 registos, incluindo sucursais. O próprio BSI estima cerca de 30.000 entidades abrangidas. Continua, assim, a faltar uma parte considerável.
Uma visão geral de todas as obrigações encontra-se no nosso artigo NIS2 na Alemanha: o que fazer agora após o arranque.
O que a lei permite ao BSI
As medidas anunciadas assentam em competências previstas na lei do BSI desde dezembro de 2025. Em resumo, por palavras nossas:
- Ordenar auditorias (§ 61, n.º 1, BSIG). Relativamente a determinadas entidades essenciais, o BSI pode ordenar que organismos independentes realizem auditorias, verificações ou certificações. Verifica-se se as medidas do § 30, as obrigações de notificação do § 32 e as obrigações da Administração são cumpridas. Não se aplica qualquer prazo de espera.
- Evidências periódicas (§ 61, n.º 3, BSIG). O BSI só pode exigir evidências de forma generalizada três anos após a entrada em vigor da lei, ou seja, a partir de dezembro de 2028. Para hospitais autorizados aplica-se um prazo mais longo. Isto não contradiz as auditorias a partir de 2027: estas são ordens específicas em casos individuais.
- Entidades importantes (§ 62 BSIG). Neste caso, o BSI só intervém se houver factos que indiquem que as obrigações não estão a ser cumpridas ou não o estão corretamente. Esse motivo pode ser, por exemplo, um incidente notificado.
- Coimas (§ 65 BSIG). Informações em falta, incorretas ou tardias no registo constituem uma contraordenação, para a qual a lei prevê uma coima até 500.000 euros. Para infrações às medidas de segurança e às obrigações de notificação, os limites máximos são bastante mais elevados.
Faz fé o texto legal em gesetze-im-internet.de. A forma como o BSI utilizará as suas competências em concreto só se verá na prática.
Quem estará primeiro na mira
Segundo as informações disponíveis, o BSI concentra-se em dois grupos. Primeiro, empresas que manifestamente se enquadram na NIS2, mas que não efetuaram o registo. Segundo, entidades essenciais em setores de risco elevado. Quem atua nesses setores deve contar com auditorias antes de 2028.
As entidades importantes não estão livres de preocupações. Um incidente de segurança grave ou indicações de terceiros podem bastar para o BSI pedir esclarecimentos. Nesse momento, importa conseguir comprovar as suas medidas.
Como poderá ser uma auditoria ordenada
A lei confere margem de manobra ao BSI. Este pode definir os requisitos que os organismos auditores devem cumprir e exigir os resultados da auditoria, as deficiências detetadas e um plano para a sua correção. Segundo as notícias, cada auditoria terá um foco temático. Ainda não se sabe quais serão os temas. É plausível que sejam as áreas centrais do § 30: análise de risco, gestão de incidentes de segurança, cadeia de abastecimento, controlo de acessos e planeamento de emergência.
Um certificado ISO/IEC 27001 existente não substitui automaticamente uma auditoria deste tipo. Ajuda, no entanto, porque muitas evidências já existem e foram verificadas. Certifique-se de que o âmbito abrange os serviços e locais relevantes para a NIS2.
O que isto significa para a sua organização
- Verificar o registo. Se a sua organização estiver abrangida pela NIS2 e ainda não estiver registada, efetue o registo de imediato através do portal do BSI. Um registo tardio antes de uma audição é uma posição de partida melhor. Verifique também se os dados comunicados continuam corretos.
- Documentar a classificação. Documente porque é uma entidade essencial, importante ou não abrangida. Precisará desta fundamentação se o BSI pedir esclarecimentos.
- Organizar as evidências. Defina, para cada área do § 30, a política, o processo e a evidência correspondentes. Quem organizar isto agora poderá responder a uma ordem dentro do prazo fixado.
- Envolver a Administração. A Administração deve aprovar as medidas, supervisionar a sua implementação e receber formação regular. Registe por escrito as deliberações e as formações.
Na página sobre a NIS2 pode ver como o Sightadel mapeia os requisitos do BSIG controlo a controlo e arquiva as evidências por medida. Se já trabalha segundo a ISO/IEC 27001, encontra na página sobre a ISO/IEC 27001 a ligação entre ambos os frameworks. Pode experimentar o Sightadel gratuitamente durante 14 dias, sem dados de pagamento.
Situação em: 9 de outubro de 2026 · Não constitui aconselhamento jurídico. Prevalece a norma ou a lei na versão em vigor.
