NIS2 na Alemanha: o NIS2UmsuCG explicado (2026)

Resumindo: a Alemanha transpôs a NIS2 tarde, mas de forma rigorosa. A Lei de Implementação da NIS2 (NIS2UmsuCG) e a nova Lei do BSI (BSIG) estão em vigor desde 6 de dezembro de 2025, sem período de transição. Cerca de 29 500 organizações estão abrangidas, divididas em entidades «particularmente importantes» (besonders wichtige) e «importantes» (wichtige). Tinham de se registar junto do BSI no prazo de três meses, ou seja, até 6 de março de 2026; em meados de 2026, estima-se que 10 500 ainda não o tivessem feito. O registo continua a ser obrigatório, as multas podem chegar aos 10 milhões de euros ou a 2% do volume de negócios global, e os responsáveis são pessoalmente responsáveis. Este guia explica quem é afetado, o que o BSI espera e o que fazer se estiveres atrasado.

Cronologia: como a Alemanha chegou até aqui

Quem é afetado: o âmbito de aplicação na Alemanha

Fontes oficiais: a página de informação da BSI sobre a NIS2 para empresas reguladas (em alemão) e a sua ferramenta gratuita de autoavaliação da NIS2 (Betroffenheitsprüfung) dizem-te, em dez minutos, se estás abrangido pela regulamentação. O texto legal é a nova BSIG 2025, disponível em gesetze-im-internet.de.

O BSIG segue a lógica da NIS2, mas usa a sua própria terminologia:

• Entidades particularmente importantes (besonders wichtige Einrichtungen): grandes empresas (com mais de 250 colaboradores ou 50 milhões de euros de volume de negócios e 43 milhões de euros de balanço) nos setores de elevada criticidade (energia, transportes, banca, infraestruturas do mercado financeiro, saúde, água, águas residuais, infraestruturas digitais, gestão de serviços de TIC, administração pública, espaço), bem como operadores de infraestruturas críticas (KRITIS), independentemente da dimensão, prestadores de serviços de confiança qualificados, registos de TLD e fornecedores de DNS.
• Entidades importantes (wichtige Einrichtungen): empresas de média dimensão (50 ou mais colaboradores ou 10 milhões de euros de volume de negócios e balanço) nos setores de elevada criticidade, e empresas de média e grande dimensão nos restantes setores críticos (serviços postais e de entregas, resíduos, produtos químicos, alimentação, fabrico de dispositivos médicos, maquinaria, veículos e eletrónica, prestadores de serviços digitais, investigação).
• Administração federal: regulamentada separadamente na BSIG, com as suas próprias obrigações.

O BSI estima que o total seja de cerca de 29 500 organizações, a maioria das quais entidades «importantes» do setor industrial. O BSI disponibiliza uma autoavaliação online (Betroffenheitsprüfung); a lei espera que avalie a tua própria situação, em vez de ficares à espera de uma carta.

As obrigações previstas na BSIG

1. Registo junto do BSI

No prazo de três meses após passares a estar abrangido pelo âmbito de aplicação, através do portal da BSI e da conta empresarial «Mein Unternehmenskonto»: dados da empresa, setor, dados de contacto, intervalos de IP e os Estados-Membros onde operas. As alterações têm de ser comunicadas no prazo de duas semanas. O prazo para as entidades abrangidas desde o primeiro dia era 6 de março de 2026. Se ainda não te registaste, regista-te agora; a obrigação não caduca e o registo voluntário tardio é tratado de forma mais favorável do que ser detetado.

2. Medidas de gestão de risco (§ 30 da BSIG)

As dez medidas mínimas do NIS2, proporcionais ao risco: análise de risco e políticas de segurança, gestão de incidentes, continuidade de atividade e cópias de segurança, segurança da cadeia de abastecimento, aquisição e desenvolvimento seguros, avaliação da eficácia, higiene cibernética e formação em cibersegurança, criptografia, controlo de acesso e gestão de ativos, e autenticação multifator e comunicação segura. As entidades de particular importância também têm de utilizar sistemas de deteção de ataques, caso sejam operadores KRITIS.

3. Comunicação de incidentes (§ 32 da BSIG)

Alerta precoce no prazo de 24 horas, notificação no prazo de 72 horas e relatório final no prazo de um mês, através do portal de notificação do BSI. Consideram-se «significativos» os incidentes que causem graves perturbações operacionais ou prejuízos financeiros, ou que afetem terceiros.

4. Deveres de gestão (§ 38 da BSIG)

A direção tem de aprovar e supervisionar as medidas de gestão de riscos e tem de participar regularmente em formações sobre cibersegurança. Os gestores são pessoalmente responsáveis pelo incumprimento deste dever, nos termos do direito das sociedades alemão; a BSIG exclui explicitamente a possibilidade de a empresa isentar os gestores dessa responsabilidade.

5. Provas e supervisão

A BSI pode pedir informações e provas, mandar fazer auditorias e, no caso de entidades particularmente importantes, exercer uma supervisão proativa. As multas podem ir até 10 milhões de euros ou 2% do volume de negócios global para entidades particularmente importantes e até 7 milhões de euros ou 1,4% para entidades importantes.

Já passou o prazo de inscrição? Faz o seguinte

1. Faz hoje a autoavaliação da BSI e regista o resultado, mesmo que concluas que não te enquadras no âmbito de aplicação.
2. Inscreve-te já, se estiveres abrangido. Mais vale tarde do que nunca, e o registo em si demora menos de uma hora, assim que tiveres a conta empresarial.
3. Avalia as lacunas em relação ao § 30. A maioria das PME alemãs identifica três lacunas: segurança da cadeia de abastecimento, gestão documentada de incidentes e formação sem comprovação.
4. Regista o conselho de administração num registo de formação. O § 38 exige isso, e é a primeira coisa que um auditor pede. Os desafios semanais do Guardey incluem um acompanhamento da gestão e a elaboração de relatórios de conclusão por pessoa.
5. Testa o procedimento de comunicação em 24 horas. Quem repara, quem decide, quem regista? Faz um ensaio.

A formação como prova: o que a BSI aceita

Nem a diretiva nem a BSIG determinam um formato específico, mas a «formação em higiene cibernética e cibersegurança» tem de ser comprovável. Uma apresentação de slides anual com uma folha de presença é uma prova fraca; um programa contínuo com dados de conclusão por colaborador, resultados de simulações de phishing e um registo de formação da gestão é uma prova forte. A formação em sensibilização para a segurança da Guardey está disponível em alemão, demora três minutos por semana, inclui simulações de phishing e gera os relatórios para a NIS2, a ISO 27001 e outras normas.

Perguntas mais frequentes

O NIS2 já está em vigor na Alemanha?

Sim. O NIS2UmsuCG e o novo BSIG estão em vigor desde 6 de dezembro de 2025. Não há período de transição.

Quem tem de se registar no BSI?

Todas as entidades particularmente importantes e importantes têm de o fazer no prazo de três meses após passarem a estar abrangidas pelo âmbito de aplicação. Para as organizações que já estavam abrangidas a 6 de dezembro de 2025, o prazo terminou a 6 de março de 2026. Se não te registaste, ainda tens de o fazer.

Qual é a diferença entre «besonders wichtig» e «wichtig»?

Dimensão e setor. As grandes empresas em setores de elevada criticidade e os operadores KRITIS são «particularmente importantes» (supervisão proativa, coimas mais elevadas); as médias empresas nesses setores e as médias e grandes empresas nos outros setores são «importantes» (supervisão reativa).

A norma NIS2 na Alemanha exige formação para os colaboradores?

Sim. O § 30 da BSIG inclui a higiene cibernética e a formação em cibersegurança entre as medidas obrigatórias, e o § 38 obriga os responsáveis a frequentarem eles próprios a formação.

Onde é que posso encontrar o texto oficial?

A NIS2UmsuCG foi publicada no Jornal Oficial Federal (BGBl. 2025 I n.º 301). As páginas do BSI dedicadas à NIS-2 incluem a autoavaliação, o portal de registo e as perguntas frequentes. Para teres uma visão geral a nível da UE, consulta o nosso guia NIS2 de 2026 e o artigo «NIS1 vs NIS2».