O portal de notificação do BSI
Uma plataforma, duas obrigações NIS 2: o registo inicial como entidade e a notificação de incidentes significativos. Acesso através do certificado de organização ELSTER.
O que é
O portal do BSI é onde duas das suas obrigações NIS 2 mais importantes se juntam. O registo inicial como entidade de um lado, a notificação de incidentes significativos do outro. Ambos os caminhos ficam atrás do mesmo início de sessão.
Os deveres decorrem dos §32 e §33 BSIG. O §33 diz: três meses para o registo a contar do momento em que entra no âmbito da NIS 2. O §32 diz: num incidente significativo, quatro fases de notificação com prazos rígidos, 24 horas de alerta precoce, 72 horas de seguimento, relatório intermédio a pedido da CSIRT, relatório final no prazo de um mês. Ambos os relógios começam ao tomar conhecimento, não ao ocorrer o dano.
O obstáculo mais comum não é o portal em si, mas o acesso a ele. Precisa de um certificado de organização ELSTER. Chega pelo correio em duas cartas, carta do certificado mais PIN, processamento na prática de duas a três semanas. Se apertar o prazo de três meses do §33 BSIG e iniciar o pedido ELSTER em paralelo, tem um problema de calendário.
§32 BSIG (deveres de notificação) + Art. 23.o da NIS 2
As entidades essenciais e importantes notificam o Serviço Federal de incidentes de segurança significativos sem demora injustificada, o mais tardar no prazo de 24 horas após tomarem conhecimento, através do ponto único de notificação.
O ponto único de notificação é o portal do BSI. O dever aplica-se a todas as entidades essenciais e importantes, independentemente do setor ou da dimensão dentro dos limiares da NIS 2. O relógio começa ao tomar conhecimento, não ao ocorrer o dano.
§33 BSIG (dever de registo) + Art. 27.o da NIS 2
As entidades essenciais e importantes registam-se junto do Serviço Federal no prazo de três meses a contar do momento em que preenchem pela primeira vez as condições. As alterações são notificadas no prazo de duas semanas.
O prazo de três meses aplica-se ao primeiro registo. O prazo de duas semanas ao abrigo do §33(5) BSIG aplica-se a qualquer alteração posterior (pessoa de contacto, setor, atividade). Ambos os passos passam pelo portal.
Registo inicial
Ao abrigo do §33 BSIG: dados-mestre, setor, pessoa de contacto, âmbito de atividade, classe de dimensão. Três meses a contar do momento em que entra pela primeira vez no âmbito da NIS 2.
Alerta precoce, 24 horas
Ao abrigo do §32 BSIG e do Art. 23.o, n.o 4, alínea a) da NIS 2: notificação inicial que indica a suspeita de causa ilícita ou maliciosa e o impacto transfronteiriço. Estes são os únicos elementos de conteúdo que a diretiva nomeia explicitamente para o alerta precoce de 24h.
Notificação, 72 horas
Ao abrigo do §32 BSIG e do Art. 23.o, n.o 4, alínea b) da NIS 2: avaliação inicial da gravidade e do impacto, indicadores de comprometimento quando disponíveis. O relógio de 72h corre a partir do conhecimento, não a partir da marca das 24h.
Relatório intermédio a pedido
Ao abrigo do §32 BSIG e do Art. 23.o, n.o 4, alínea c) da NIS 2: apenas a pedido da CSIRT ou da autoridade competente. Não submete o relatório intermédio por sua própria iniciativa.
Relatório final, 1 mês
Ao abrigo do §32 BSIG e do Art. 23.o, n.o 4, alínea d) da NIS 2: descrição pormenorizada, causa, medidas de mitigação, impacto transfronteiriço. Prazo de um mês a contar da notificação de seguimento de 72h.
Atualização de dados no prazo de 2 semanas
Ao abrigo do §33(5) BSIG e do Art. 27.o, n.o 2 da NIS 2: duas semanas para atualizar os dados de registo. O gatilho mais comum é uma mudança de pessoal na pessoa de contacto.
Acesso a alertas e relatórios de situação
O portal agrega também publicações do BSI, alertas e relatórios de situação setoriais. Útil quando já tem a sessão iniciada.
O pedido faz-se através do Mein Unternehmenskonto em mein-unternehmenskonto.de. Pré-requisito: um número fiscal alemão para a sua organização. O certificado em si chega pelo correio, o PIN de ativação chega numa carta separada. Isto não é aleatório, faz parte da autenticação.
Processamento na prática: duas a três semanas. A maioria das equipas de gestão subestima este passo porque parece uma coisa de TI, mas depende de uma entrega postal. Para cumprir o prazo de três meses do §33 BSIG, peça primeiro o ELSTER e registe-se no BSI depois.
Sem ELSTER, o acesso só é atualmente possível em casos excecionais, por exemplo via delegação eletrónica. O sítio do BSI documenta os caminhos admissíveis em detalhe.
Pedido ELSTER iniciado demasiado tarde
Duas a três semanas de processamento não encurtam se iniciar o pedido perto do prazo. Resultado: prazo do §33 BSIG perdido. Pode seguir-se uma coima ao abrigo do §65 BSIG.
Pessoa de contacto não atualizada
As mudanças de pessoal são a violação silenciosa mais comum da NIS 2. Ao abrigo do §33(5) BSIG e do Art. 27.o, n.o 2 da NIS 2, tem duas semanas para atualizar os dados de registo. Se isso for esquecido, as consultas do BSI não chegam a lado nenhum e só dá por isso na próxima escalada.
Sem ensaio da notificação
24 horas é apertado. Abrir o portal pela primeira vez no meio de um incidente queima horas que não tem. Recomendação: inicie sessão uma vez em condições calmas, percorra a estrutura, guarde contactos, muito antes de precisar de o usar.
- Lei sobre o Serviço Federal para a Segurança da Informação (BSIG), §§32, 33, 65, www.gesetze-im-internet.de
- Diretiva (UE) 2022/2555 (NIS 2), Art. 23.o, Art. 27.o, www.eur-lex.europa.eu
- Mein Unternehmenskonto (certificado de organização ELSTER): mein-unternehmenskonto.de
- Sítio do BSI com ligação ao portal: www.bsi.bund.de
Esta página fornece orientação estruturada baseada em fontes publicamente disponíveis (Diretiva NIS 2, BSIG, documentação ELSTER, publicações do BSI). Não constitui aconselhamento jurídico na aceção do §2 RDG. Os detalhes processuais do portal do BSI e do pedido ELSTER podem mudar; a documentação atual do BSI e do ELSTER é a que vigora. À data de 2026-06-04.