NIS2: o período de tolerância na Alemanha está a terminar

O período de tolerância termina a 31 de julho de 2026

A lei alemã de transposição da NIS2, a NIS2UmsuCG, está em vigor desde dezembro de 2025, sem período de transição. As entidades abrangidas tinham de se registar junto do BSI, a autoridade federal alemã de cibersegurança, no prazo de três meses; esse prazo terminou a 6 de março de 2026. O resultado foi preocupante: das cerca de 29 500 empresas abrangidas na Alemanha, apenas cerca de 11 500 se tinham registado até à data-limite.

O BSI deixou entretanto claro que espera os registos em falta até 31 de julho de 2026. Este período de tolerância é uma oportunidade, e não um salvo-conduto: a obrigação de registo existe desde março, e o seu incumprimento, por si só, pode ser punido com coimas até 500 000 euros.

• Lei em vigor desde dezembro de 2025, prazo de registo terminado a 6 de março de 2026
• Apenas cerca de um terço das empresas abrangidas se registou a tempo
• O BSI espera os retardatários até 31 de julho de 2026

Quem é abrangido e como o descobrir

A NIS2 distingue entidades essenciais e importantes em 18 setores, desde a energia, os transportes e a saúde até às infraestruturas digitais e à indústria transformadora. Como regra prática, as empresas destes setores com 50 ou mais trabalhadores ou com um volume de negócios anual e um balanço total superiores a 10 milhões de euros podem ficar abrangidas; algumas entidades são abrangidas independentemente da sua dimensão. Para os grupos internacionais, note que uma filial alemã pode ficar abrangida mesmo que a empresa-mãe seja regulada noutro país.

Não confie em regras práticas. O BSI disponibiliza uma verificação oficial da aplicabilidade da NIS2 que permite determinar e documentar a sua classificação de forma estruturada. Esta avaliação é uma responsabilidade da gestão; mesmo uma conclusão documentada de «não abrangido» deve ser conservada com a respetiva fundamentação.

Como funciona o registo

O registo é feito através do portal de notificação do BSI, o portal MUK. A autenticação exige um certificado de organização ELSTER, a credencial da administração fiscal alemã. Se a sua organização não tiver um, peça-o de imediato: a emissão demora normalmente vários dias e torna-se um estrangulamento mesmo antes dos prazos.

Para o registo propriamente dito, tenha à mão os dados de base: entidade e setor, dados de contacto de um ponto de contacto contactável, intervalos de endereços IP e os Estados-Membros onde os serviços são prestados. Com uma boa preparação, o processo fica concluído rapidamente.

Depois do registo, começa o verdadeiro trabalho

A lei exige que as entidades abrangidas mantenham um conjunto sólido de medidas de gestão do risco: da análise de riscos e do tratamento de incidentes às cópias de segurança, à gestão de crises e à segurança da cadeia de abastecimento. A isto juntam-se obrigações de notificação faseadas para incidentes significativos (uma notificação inicial no prazo de 24 horas, uma atualização no prazo de 72 horas e um relatório final ao fim de um mês), bem como deveres pessoais dos órgãos de gestão, que têm de aprovar e supervisionar as medidas e receber formação.

Em caso de incumprimento destas obrigações, os limites das coimas vão muito além da sanção pelo registo: até 10 milhões de euros ou 2 % do volume de negócios anual a nível mundial para as entidades essenciais, e até 7 milhões de euros ou 1,4 % para as entidades importantes.

• Gestão do risco alinhada com o estado da técnica, incluindo a cadeia de abastecimento
• Processos de notificação capazes de cumprir efetivamente prazos de 24 horas
• Governação demonstrável: a responsabilidade cabe aos órgãos de gestão

Do prazo à estrutura

A data-limite de julho é uma boa ocasião para tratar a NIS2 não como um formulário a preencher, mas como uma tarefa estrutural: requisitos, medidas, responsáveis e evidências devem estar permanentemente interligados, e não em folhas de cálculo dispersas que são reorganizadas antes de cada auditoria.

É exatamente para isso que estamos a construir a Secani: um espaço de trabalho onde os requisitos de referenciais como a NIS2 ou o IT-Grundschutz++ estão disponíveis de forma estruturada e onde a implementação e as evidências são documentadas de forma rastreável. Se quiser aproveitar o período de tolerância para mais do que o próprio registo, fale connosco.