Somos uma entidade da administração pública ao abrigo da NIS 2?

Artigo 2.o, n.o 2, alínea f), da Diretiva NIS 2 (2022/2555)

A presente diretiva aplica-se às entidades de um tipo referido no Anexo I ou no Anexo II, independentemente da sua dimensão, sempre que a entidade seja uma entidade da administração pública (i) do governo central, conforme definido por um Estado-Membro nos termos do direito nacional; ou (ii) ao nível regional, conforme definido por um Estado-Membro nos termos do direito nacional que, na sequência de uma avaliação baseada no risco, presta serviços cuja perturbação poderia ter um impacto significativo em atividades societais ou económicas críticas.

Literal do JO L 333/110. Duas metades. O governo central está dentro automaticamente. O governo regional está dentro apenas depois de o Estado-Membro ter feito a avaliação baseada no risco e identificado as entidades. O teste de dimensão do artigo 2.o, n.o 1, não se aplica a nenhum dos dois.

Artigo 2.o, n.o 5, da Diretiva NIS 2 (exclusões)

A presente diretiva não se aplica às entidades da administração pública que exercem as suas atividades nos domínios da segurança nacional, da segurança pública, da defesa ou da aplicação da lei, incluindo a prevenção, a investigação, a deteção e a repressão de infrações penais.

A exclusão é funcional. A exclusão segue a atividade, não a instituição. Uma autoridade policial federal está fora para os seus sistemas de aplicação da lei e dentro para o seu IT empresarial. O artigo 2.o, n.o 7, acrescenta os parlamentos e os bancos centrais. O artigo 2.o, n.o 6, permite aos Estados-Membros isentar as entidades que exercem atividades ao abrigo do artigo 2.o, n.o 5, apenas nesses domínios.

§28 e §29 BSIG (Alemanha)

O §28 BSIG transpõe a regra do governo central e vincula as Einrichtungen der Bundesverwaltung. O §29 BSIG habilita os Länder a trazer as Einrichtungen der Landes- und Kommunalverwaltung para o âmbito através das suas próprias Landes-Cybersicherheitsgesetze, na sequência da avaliação baseada no risco exigida pelo artigo 2.o, n.o 2, alínea f), subalínea ii), da NIS 2.

Dois pontos de ancoragem alemães, não um. A Bundesverwaltung está dentro por lei federal. A Landesverwaltung e a Kommunalverwaltung dependem da legislação dos Länder. Alguns Länder já publicaram projetos de Landes-Cybersicherheitsgesetze; outros não. O estatuto jurídico de um Kommune depende do Land em que se situa.

O BSI é a autoridade competente para a Bundesverwaltung ao abrigo do §28 BSIG. Os ministérios e agências federais estão dentro por lei federal, sem teste de dimensão, sem adesão voluntária. O BSI publica Verwaltungsvorschriften específicas e perfis de IT-Grundschutz para as autoridades federais (Mindeststandards nach §8 BSIG).

O §29 BSIG habilita cada Land a legislar sobre que entidades da Landes- e Kommunalverwaltung estão no âmbito. O Land faz a avaliação baseada no risco que o artigo 2.o, n.o 2, alínea f), subalínea ii), exige. Até essa legislação existir, o BSIG federal não vincula as entidades regionais. Verifique se o seu Land publicou um projeto de Cybersicherheitsgesetz antes de classificar um Kommune.

A ENISA publica uma página de transposição da NIS 2 que enumera as leis nacionais, as autoridades competentes por Estado-Membro e as decisões nacionais de âmbito para a administração pública. É a fonte única mais limpa para autoridades transfronteiriças ou organizações de serviços partilhados que apurem o regulador junto do qual apresentam processos em cada país.

O artigo 2.o, n.o 2, alínea f), vincula a administração pública em toda a UE. Os Países Baixos cobrem-na através da Cyberbeveiligingswet, a França através da Ordonnance n.o 2024-1093, a Áustria através da NISG. A regra independente da dimensão da diretiva é a mesma em todo o lado. Cada Estado-Membro decide o que conta como central e que entidades regionais passam na avaliação baseada no risco.