NIS2 na Alemanha
A Alemanha transpôs a Diretiva NIS2 para o direito nacional através do NIS2UmsuCG, revendo a Lei Federal de Cibersegurança (BSIG). Todas as obrigações aplicam-se desde 6 de dezembro de 2025.
| Data | Evento |
|---|---|
| 27 dez 2022 | Diretiva NIS2 publicada no Jornal Oficial da UE L 333 (adotada em 14 dez 2022) |
| 16 jan 2023 | NIS2 entra em vigor ao nível da UE |
| 17 out 2024 | Prazo de transposição da UE (a Alemanha não o cumpriu) |
| 13 nov 2025 | Bundestag aprova o NIS2UmsuCG |
| 21 nov 2025 | Bundesrat aprova |
| 5 dez 2025 | Publicado no Bundesgesetzblatt |
| 6 dez 2025 | A nova BSIG entra em vigor, todas as obrigações aplicam-se de imediato |
| 6 jan 2026 | Portal de registo do BSI entra em funcionamento |
| 6 mar 2026 | Prazo para o registo junto do BSI |
| ~2028 | Operadores KRITIS: primeira prova de conformidade devida |
Não há período de transição. As medidas de gestão de risco, o reporte de incidentes e a responsabilidade da gestão aplicaram-se desde o dia em que a lei entrou em vigor.
| Termo UE | Termo Alemão | Abreviatura |
|---|---|---|
| Entidade essencial | Besonders wichtige Einrichtung | bwE |
| Entidade importante | Wichtige Einrichtung | wE |
| Operador de infraestrutura crítica | Betreiber kritischer Anlagen | KRITIS |
A hierarquia: KRITIS ⊂ entidades essenciais ⊂ todas as entidades NIS2. Os operadores KRITIS são automaticamente classificados como entidades essenciais.
Sanções
| Categoria | Coima Máxima | Alternativa Baseada no Volume de Negócios |
|---|---|---|
| Entidades essenciais | EUR 10.000.000 | 2% do volume de negócios anual mundial do grupo |
| Entidades importantes | EUR 7.000.000 | 1,4% do volume de negócios anual mundial do grupo |
| Infração | Coima Máxima |
|---|---|
| Não implementação de medidas de cibersegurança (§30) | EUR 10M / EUR 7M |
| Não reporte de incidentes (§32) | EUR 10M / EUR 7M |
| Incumprimento de diretivas do BSI | EUR 10M / EUR 7M |
| KRITIS: falha no reporte de componentes críticos | EUR 5.000.000 |
| KRITIS: falha nos procedimentos de prova de auditoria | EUR 2.000.000 |
| Infrações de registo, não notificação ao BSI | EUR 500.000 |
| Obstrução de inspeções do BSI | EUR 500.000 |
| Falhas de acessibilidade do contacto | EUR 100.000 |
Três Deveres Fundamentais
Aprovação (Billigung)
A gestão tem de aprovar formalmente as medidas de gestão de risco de cibersegurança nos termos da Secção 30 BSIG.
Fiscalização (Überwachung)
Acompanhamento ativo da implementação, não conhecimento passivo. A gestão tem de verificar que as medidas estão efetivamente a ser implementadas.
Formação (Schulung)
Participação pessoal obrigatória em formação de cibersegurança, no mínimo a cada 3 anos. Este dever não pode ser delegado.
Os administradores respondem pessoalmente perante a sua própria empresa quando violam culposamente estes deveres. A delegação de tarefas operacionais é permitida, mas a responsabilidade estratégica e a fiscalização permanecem com a gestão. A gestão não pode invocar falta de conhecimento técnico como defesa.
A Secção 38 BSIG proíbe expressamente renúncias contratuais de responsabilidade por parte dos sócios que sejam desproporcionadas face à incerteza existente quanto aos direitos.
Prazo: 6 de março de 2026 (3 meses após a entrada em vigor da BSIG).
O registo segue um processo de dois passos: primeiro criar uma conta através do Mein Unternehmenskonto (MUK/ELSTER), depois registar-se através do portal do BSI (em funcionamento desde 6 de janeiro de 2026).
O registo é uma obrigação de autoidentificação, não há notificação do BSI. As empresas têm de determinar por si próprias se estão no âmbito. O BSI também pode ordenar a uma empresa que se registe se determinar que esta se enquadra no âmbito.
| Aspeto | Essencial | Importante |
|---|---|---|
| Supervisão | Proativa (ex ante), o BSI pode auditar a qualquer momento | Reativa (ex post), apenas mediante prova de incumprimento |
| Coima máxima | EUR 10M ou 2% do volume de negócios mundial | EUR 7M ou 1,4% do volume de negócios mundial |
| Requisitos de auditoria | Verificações pontuais baseadas no risco pelo BSI | Apenas mediante suspeita fundamentada |
| Ciclo de auditoria KRITIS | A cada 3 anos (se for operador KRITIS) | N/A |