Implementar a NIS2.

A lei alemã de transposição da NIS2 e de reforço da cibersegurança (NIS2UmsuCG) transpõe a Diretiva (UE) 2022/2555 para o direito alemão. Entrou em vigor em 06.12.2025, sem período transitório para as medidas de gestão de riscos. As obrigações constam da nova redação da lei do BSI. O § 28 BSIG define as entidades particularmente importantes ou importantes com base no setor, na dimensão da empresa e em alguns casos especiais.

A obrigação principal consta do § 30 Abs. 1 BSIG: medidas técnicas e organizativas adequadas, proporcionais e eficazes que evitem perturbações da disponibilidade, integridade e confidencialidade dos sistemas utilizados para os serviços e limitem o impacto dos incidentes de segurança. O § 30 Abs. 2 BSIG enumera dez medidas mínimas. Para prestadores de serviços digitais, como serviços na nuvem, centros de dados e serviços geridos, prevalecem os requisitos técnicos do Regulamento de Execução (UE) 2024/2690. Os operadores de instalações críticas têm obrigações adicionais nos termos dos § 31 e § 39 BSIG.

O § 38 Abs. 1 BSIG obriga a direção a implementar as medidas e a supervisionar a sua implementação. Se violar esta obrigação, responde perante a própria entidade pelos danos culposamente causados, nos termos do § 38 Abs. 2 BSIG e das regras do direito societário aplicável (responsabilidade interna). O § 38 Abs. 3 BSIG exige ainda a participação regular dos seus membros em formação. Aplicam-se também a obrigação de registo do § 33 BSIG e as obrigações de notificação do § 32 BSIG.

As infrações aos § 30 e § 32 BSIG, incluindo a falta de documentação prevista no § 30 Abs. 1 Satz 3 BSIG, estão sujeitas a coimas nos termos do § 65 BSIG. O limite máximo é de 10 milhões de euros para entidades particularmente importantes e de 7 milhões de euros para entidades importantes. Se a empresa tiver um volume de negócios total mundial superior a 500 milhões de euros, aplica-se antes o volume de negócios: até 2% para entidades particularmente importantes e até 1,4% para entidades importantes. Acima desse volume de negócios, este valor é sempre o mais elevado.

Na Alemanha, as empresas abrangidas pela NIS2 são classificadas segundo o § 28 BSIG: são determinantes o tipo concreto de entidade, a dimensão da empresa e as regras especiais de inclusão. Os anexos 1 e 2 enumeram as atividades abrangidas. Por isso, a designação do setor, por si só, não responde à questão, tal como o número de trabalhadores sem analisar a atividade.

A análise de aplicabilidade considera cada entidade jurídica e os seus serviços. Segundo o § 28 Abs. 4 BSIG, devem também ser consideradas as empresas parceiras e associadas; a disposição prevê uma exceção para empresas independentes em termos de tecnologias da informação. A análise inclui as regras setoriais especiais do § 28 Abs. 5 e 6 BSIG. O BSI recomenda registar a decisão e os seus fundamentos, mesmo quando a entidade não está abrangida.

O BSIG associa a obrigação de documentação aos poderes de supervisão das autoridades. O § 61 BSIG diz respeito às entidades particularmente importantes; o § 62 BSIG permite avaliar entidades importantes quando existam indícios pertinentes. Um certificado voluntário pode apoiar a documentação, mas, segundo o enquadramento do BSI, não substitui a demonstração de todas as obrigações legais. Continua a ser determinante saber que entidade, serviços e medidas cada evidência efetivamente abrange.

A ISO 27001 e o IT-Grundschutz podem apoiar a organização da segurança da informação; o BSI descreve a certificação ISO como uma base útil para implementar o BSIG. O registo, os canais legais de notificação e as obrigações da direção devem ser considerados separadamente. Para as entidades financeiras sujeitas ao DORA, devem ser verificadas as exceções do § 28 Abs. 6 BSIG.

Uma medida implementada mas não documentada não pode ser comprovada perante o BSI. Por isso, o § 30 Abs. 1 Satz 3 BSIG torna a documentação uma obrigação autónoma. Segundo o seu pacote informativo sobre a obrigação de documentação, o BSI espera que as decisões a favor e contra medidas sejam registadas com fundamentação, que decorram da análise de riscos e que seja visível como a direção supervisionou a implementação.

Para entidades particularmente importantes, o BSI pode ordenar auditorias, avaliações ou certificações e solicitar evidências segundo o § 61 BSIG, nos termos do § 61 Abs. 3 BSIG, no mínimo três anos após a entrada em vigor. Para entidades importantes, avalia segundo o § 62 BSIG quando os factos indiciem uma infração. Ainda não está definido como o BSI examinará as evidências em detalhe. É certo que os documentos a apresentar numa avaliação têm de ter sido produzidos previamente.

A implementação pode ser demonstrada quando três elementos estão ligados: o requisito legal, a medida adotada para o cumprir e a evidência que comprova a implementação, cada um com responsáveis e data.

A certificação ISO/IEC 27001 é uma boa base, mas, segundo o BSI, não comprova a conformidade com a NIS2. O âmbito, o tratamento de riscos, as obrigações de notificação e as obrigações da direção podem diferir e devem ser verificados separadamente.

Se ainda não esclareceu se a sua entidade está abrangida pelo § 28 BSIG, comece pela verificação gratuita de aplicabilidade. Registe o resultado e a fundamentação. No seu pacote informativo sobre a obrigação de documentação, o BSI recomenda documentar a análise mesmo quando o resultado é negativo e pode solicitar essa documentação nos termos do § 33 Abs. 4 BSIG.

Se estiver abrangido e registado, comece pela medida 1. As dez medidas são o conteúdo mínimo; a análise de riscos determina o grau de aprofundamento de cada uma. A verificação de implementação mostra, em poucos minutos, o progresso em cada uma das dez medidas e as lacunas restantes.