Autoclassificação ao abrigo da NIS 2: o silêncio do BSI não é defesa
A maioria das equipas de Mittelstand espera por uma carta que nunca chegará. A NIS 2 coloca em si a obrigação de descobrir se está no âmbito, e o relógio corre, verifique ou não.
O equívoco mais caro
Muitas entidades de Mittelstand tomam a ausência de uma carta do BSI como prova de que não estão no âmbito da NIS 2. Estão erradas. A diretiva e o §33 BSIG colocam o dever de registo na entidade, não na autoridade.
O mecanismo é simples. O Art. 27(1) NIS 2 obriga os Estados-Membros a criar um registo de entidades essenciais e importantes. O §33(1) BSIG transpõe isto: as entidades registam-se no prazo de três meses após cumprirem as condições. O prazo começa quando cumpre os critérios, não quando alguém lhe diz.
Na prática, isto significa que uma empresa de gestão de resíduos com 70 pessoas no Anexo II pode estar discretamente no âmbito durante mais de um ano, acumulando coimas ao abrigo do §65 BSIG e responsabilidade pessoal ao abrigo do §38 BSIG, até que alguém finalmente verifique o Anexo.
Art. 27(1) NIS 2 (dever de registo)
Os Estados-Membros exigem que as entidades essenciais e importantes apresentem, pelo menos, as seguintes informações às autoridades competentes: nome; morada; dados de contacto atualizados; setor e subsetor; lista dos Estados-Membros onde prestam serviços.
O dever corre da entidade para a autoridade, não no sentido inverso. Não há na NIS 2 qualquer disposição que exija que a autoridade identifique primeiro as entidades no âmbito.
§33(1) BSIG (prazo de 3 meses)
Wesentliche und wichtige Einrichtungen registrieren sich innerhalb von drei Monaten nach erstmaligem Eintritt der Voraussetzungen beim Bundesamt.
Três meses a partir do momento em que a entidade cumpre as condições pela primeira vez. Não há período de espera por uma carta do BSI. O relógio corre no calendário da própria entidade.
Art. 2 + Anexo I/II NIS 2 (setor + dimensão)
A presente diretiva aplica-se às entidades públicas ou privadas de um tipo referido no Anexo I ou II que se qualifiquem como médias empresas nos termos do artigo 2.o do anexo da Recomendação 2003/361/CE, ou que excedam os limiares aplicáveis às médias empresas.
Duas perguntas decidem o âmbito: é um tipo no Anexo I ou II e tem pelo menos a dimensão de média empresa (mais de 50 trabalhadores e ou mais de 10M€ de volume de negócios ou mais de 10M€ de balanço). Acrescem as exceções de 'independentemente da dimensão' para serviços de confiança, DNS, registos de TLD, administração pública, prestadores únicos num Estado-Membro.
Confronte os Anexos I e II com o seu negócio
O Anexo I são entidades essenciais (energia, transportes, banca, mercado financeiro, saúde, água potável, águas residuais, infraestrutura digital, gestão de serviços TIC, administração pública, espaço). O Anexo II são entidades importantes (postais, resíduos, produtos químicos, alimentação, indústria transformadora, prestadores digitais, investigação). Faça a correspondência pela atividade real, não pela forma jurídica.
Confronte a dimensão com a definição de PME da UE
Média: 50 a 249 trabalhadores E (volume de negócios ou balanço acima de 10M€). Grande: mais de 250 trabalhadores OU volume de negócios acima de 50M€ OU balanço acima de 43M€. Use a Recomendação 2003/361/CE literalmente, contabilize as empresas associadas e parceiras segundo as regras da recomendação.
Confronte as exceções de independentemente da dimensão
Prestador único de um serviço num Estado-Membro, administrações públicas do governo central, prestadores de serviços DNS, registos de nomes de TLD, prestadores qualificados de serviços de confiança ficam no âmbito independentemente da dimensão. Regra mnemónica: se estiver em qualquer um destes, o limiar de dimensão não se aplica.
Coima administrativa ao abrigo do §65 BSIG
Até 10 milhões de euros ou 2 por cento do volume de negócios anual mundial, consoante o que for mais elevado, para entidades essenciais. Até 7 milhões de euros ou 1,4 por cento para entidades importantes. A coima recai sobre a entidade. A violação não é apenas o atraso no registo; é o incumprimento subjacente das obrigações dos Art. 21 e Art. 23 que se acumulou durante o período de silêncio.
Responsabilidade pessoal do órgão de gestão ao abrigo do §38 BSIG
O Art. 20(1) NIS 2, transposto para o §38 BSIG, torna o órgão de gestão responsável por aprovar e supervisionar as medidas de gestão de risco. A descoberta tardia não é defesa; o órgão deveria ter assegurado que a classificação era feita.
Escalada do poder de supervisão
O Art. 32 NIS 2 permite à autoridade competente impor obrigações, exigir auditorias e, no pior caso, suspender operações. Os retardatários tendem a atrair mais supervisão porque a autoridade precisa de verificar a recuperação do atraso.
Realize hoje a verificação de aplicabilidade
Mapeie a sua atividade ao Anexo I ou II, conte trabalhadores e receitas, percorra as exceções de independentemente da dimensão. Documente o resultado mesmo que seja negativo. Uma análise escrita de 'fora do âmbito' é a única defesa num litígio posterior.
Se estiver no âmbito, registe-se no prazo de três meses
Através do portal do BSI ao abrigo do §33 BSIG. Exige um certificado de organização ELSTER, que por si só demora duas a três semanas. Inicie primeiro o pedido ELSTER se o prazo de registo for apertado.
Repita a verificação anualmente
Os Anexos podem ser alterados (revisão do Art. 6 NIS 2). O seu número de trabalhadores e o seu volume de negócios mudam. Uma posição de 'fora do âmbito' fica desatualizada. Agende uma reverificação anual.
- Diretiva (UE) 2022/2555 (NIS 2), Art. 2, Art. 3, Anexo I, Anexo II, Art. 27, www.eur-lex.europa.eu
- Lei do Serviço Federal para a Segurança da Informação (BSIG), §33, §38, §65, www.gesetze-im-internet.de
- Recomendação 2003/361/CE da Comissão relativa à definição de micro, pequenas e médias empresas, www.eur-lex.europa.eu
- Lei de Implementação da NIS-2 e de Reforço da Cibersegurança (NIS2UmsuCG)
Esta página fornece orientação estruturada com base em fontes publicamente disponíveis (Diretiva NIS 2, BSIG, Recomendação PME da UE). Não constitui aconselhamento jurídico na aceção do §2 RDG. Para casos específicos, consulte um advogado inscrito. Estado a 2026-06-04.