NIS2 em outubro de 2026: o ponto da transposição

Publicado 19 de outubro de 2026 · Por Dazr

Dois anos após o prazo, quatro Estados-Membros estão perante o Tribunal de Justiça da UE, enquanto Alemanha, Países Baixos e Áustria aplicam a NIS2.

Os Estados-Membros tinham até 17 de outubro de 2024 para transpor a Diretiva NIS2 para o direito nacional. Dois anos depois, a maioria fê-lo, alguns ainda estão a trabalhar nisso e a Comissão Europeia levou quatro deles a tribunal.

Quatro países perante o Tribunal de Justiça

Em 8 de julho de 2026, a Comissão intentou ações no Tribunal de Justiça da UE contra a Irlanda, a Espanha, a França e os Países Baixos por não terem notificado a transposição completa da NIS2. Pediu sanções pecuniárias: uma quantia fixa e sanções diárias até à transposição completa. O procedimento começou com notificações para cumprir em 28 de novembro de 2024, seguidas de pareceres fundamentados em 7 de maio de 2025.

Leis que já se aplicam

Alemanha: a lei de transposição da NIS2 foi publicada no Jornal Oficial federal em 5 de dezembro de 2025 (BGBl. 2025 I Nr. 301) e aplica-se desde 6 de dezembro de 2025. As entidades tinham três meses para se registar no BSI, que indica que o prazo terminou e pede a quem ainda não se registou que o faça de imediato.
Países Baixos: a Cyberbeveiligingswet (Cbw) entrou em vigor em 15 de agosto de 2026, depois da ação no Tribunal, juntamente com a lei sobre a resiliência das entidades críticas (Wwke). Substitui a Wbni, e as entidades têm de se registar no NCSC.
Áustria: a NISG 2026 (BGBl. I Nr. 94/2025) aplica-se desde 1 de outubro de 2026 e substitui a NISG 2018.
Itália: o Decreto Legislativo 138/2024 aplica-se desde 16 de outubro de 2024.

Ainda em curso

França: o projeto de lei sobre a resiliência das infraestruturas críticas e o reforço da cibersegurança, que transpõe a NIS2 juntamente com a Diretiva CER e a Diretiva DORA, foi aprovado em primeira leitura pelo Senado em 12 de março de 2025. A comissão da Assembleia Nacional adotou o seu texto em 10 de setembro de 2025 e o processo legislativo ainda não terminou.
Espanha: o Conselho de Ministros aprovou em 14 de janeiro de 2025 o anteprojeto de Lei de Coordenação e Governação da Cibersegurança. Até ser publicada uma nova lei no BOE, mantém-se em vigor o Real Decreto-ley 12/2018, que transpôs a primeira Diretiva NIS.
Irlanda: o General Scheme do National Cyber Security Bill foi publicado em agosto de 2024. A lei ainda não foi aprovada.

Alterações propostas

Em 20 de janeiro de 2026, a Comissão propôs, num pacote de cibersegurança, alterações específicas à NIS2: regras mais simples sobre o Estado competente, recolha simplificada de dados sobre ataques de ransomware e uma nova categoria de pequenas empresas de média capitalização. Segundo a Comissão, as alterações facilitariam o cumprimento a 28 700 empresas. São propostas: até serem adotadas, aplicam-se a diretiva atual e as leis nacionais.

O que significa na prática

Verifique cada país onde opera. Obrigações de registo, autoridades, prazos e coimas são definidos a nível nacional e diferem.
Primeiro, o registo. Onde já há lei, o registo junto da autoridade nacional é normalmente o primeiro prazo, muitas vezes curto.
Não espere por uma lei atrasada. As suas obrigações decorrem da lei nacional e começam quando esta se aplica. Clientes e compradores públicos já pedem as medidas do artigo 21 e garantias sobre fornecedores, e o Regulamento de Execução (UE) 2024/2690 detalha essas medidas para os prestadores de serviços digitais.

Fontes

Apenas para informação, não constitui aconselhamento jurídico. Última atualização: 19 de outubro de 2026.

Temas: NIS2, UE, Transposição

Também disponível em: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål