← Artigos e guias sobre fraudes, cibersegurança, LGPD e lavagem

NIS2 explicada: quem está coberto, obrigações, multas e transposição

Guia da diretiva NIS2 da UE: entidades essenciais e importantes, prazos de 24h/72h, multas de até 2% do faturamento e quais países ainda não a transpuseram.

2026-10-10

A Diretiva (UE) 2022/2555, conhecida como NIS2, é hoje a principal lei horizontal de cibersegurança da União Europeia. Ela substituiu a primeira diretiva NIS, ampliou o número de setores cobertos e trouxe multas no estilo do GDPR. Quase dois anos depois do prazo de transposição, porém, o mapa europeu ainda é desigual, e Bruxelas já propôs ajustes no texto.

Para empresas brasileiras e americanas que prestam serviços na Europa, entender a NIS2 deixou de ser opcional: a diretiva alcança entidades que atuam no mercado europeu, e a Comissão quer estender a obrigação de nomear um representante na UE.

Quem está coberto

A NIS2 divide as organizações em duas categorias. Segundo o resumo do escritório Freshfields, as entidades essenciais atuam em setores altamente críticos, como energia, transporte, bancos, água, infraestruturas do mercado financeiro, saúde, infraestrutura digital, gestão de serviços de TIC entre empresas, administração pública e espaço. As entidades importantes estão em outros setores críticos, como produção e distribuição de alimentos, indústria, químicos e provedores digitais.

O enquadramento depende de três fatores: setor, porte e criticidade do serviço prestado, como explica o escritório irlandês McCann FitzGerald. Por isso, cada empresa precisa fazer sua própria avaliação, país a país.

Supervisão diferente para cada grupo

As entidades essenciais ficam sujeitas a supervisão proativa (ex ante): inspeções no local, auditorias regulares e direcionadas e varreduras de vulnerabilidade. As importantes são supervisionadas de forma reativa (ex post), quando há indícios de descumprimento.

As principais obrigações

A diretiva exige medidas técnicas, operacionais e organizacionais "apropriadas e proporcionais" para gerenciar riscos aos sistemas de rede e informação. A lista mínima, que não é exaustiva, inclui:

políticas de análise de risco e de segurança dos sistemas de informação;
tratamento de incidentes;
continuidade de negócios e gestão de crises;
segurança da cadeia de suprimentos, incluindo diligência sobre fornecedores e exigências contratuais de segurança.

Um ponto que mudou a conversa nos conselhos: os órgãos de administração precisam aprovar as medidas de gestão de risco e supervisionar sua implementação, e podem ser responsabilizados por infrações da entidade.

Prazos de notificação de incidentes

Para incidentes significativos, a NIS2 criou um rito em três etapas:

Prazo	O que enviar
24 horas	Alerta inicial (early warning)
72 horas	Notificação do incidente
1 mês	Relatório final

Ameaças cibernéticas significativas também devem ser comunicadas, sem demora indevida, aos destinatários de serviços potencialmente afetados.

Multas

As sanções são definidas pelas leis nacionais, mas a diretiva fixa pisos para o valor máximo:

Entidades essenciais: pelo menos o maior valor entre € 10 milhões ou 2% do faturamento anual mundial;
Entidades importantes: pelo menos o maior valor entre € 7 milhões ou 1,4% do faturamento anual mundial.

Status da transposição

Os Estados-membros tinham até 17 de outubro de 2024 para transpor a diretiva, e a maioria perdeu o prazo. De acordo com o rastreador da consultoria Wavestone, a Comissão Europeia enviou cartas de notificação em novembro de 2024 e, em maio de 2025, emitiu pareceres fundamentados a 19 países.

Na atualização de janeiro de 2026, a Wavestone contava 20 dos 27 países com transposição concluída. Ficavam de fora Irlanda, Luxemburgo, França, Espanha, Holanda, Polônia e Bulgária. Alguns marcos citados:

Bélgica: lei em vigor desde 18 de outubro de 2024;
Itália: decreto legislativo em vigor desde 16 de outubro de 2024;
Alemanha: lei publicada em 5 de dezembro de 2025, em vigor no dia seguinte;
Áustria: NISG 2026 publicada em 23 de dezembro de 2025;
França: projeto aprovado pelo Senado em março de 2025, ainda em tramitação na Assembleia no início de 2026.

A Wikipedia registra ainda a lei tcheca (em vigor desde 1º de novembro de 2025) e a lei sueca de cibersegurança (2025:1506). Em maio de 2026, a Cullen International informava que restavam quatro Estados-membros sem transposição e que a lei de Luxemburgo havia entrado em vigor em 10 de maio de 2026.

O que vem por aí: a NIS2 revisada

Em 20 de janeiro de 2026, a Comissão apresentou um pacote de cibersegurança com emendas pontuais à NIS2, segundo o blog Inside Privacy, do escritório Covington. Entre as mudanças propostas:

uma nova categoria de "small mid-caps" (menos de 750 empregados e faturamento inferior a € 150 milhões), tratadas em regra como entidades importantes;
notificações de ransomware com informações sobre vetor de ataque e, a pedido da autoridade, valor e meio de pagamento do resgate;
veto a exigências técnicas nacionais adicionais quando houver ato de execução da Comissão;
exclusão da "distribuição" de químicos do anexo II e regras de porte para provedores de DNS.

O escritório DLA Piper acrescenta que operadores de cabos submarinos e provedores das carteiras europeias de identidade digital entrariam como entidades essenciais. A aprovação é esperada para o fim de 2026 ou, mais provavelmente, 2027, com 12 meses de prazo para os países implementarem.

Checklist: por onde começar

Mapeie em quais países da UE sua empresa presta serviços e verifique a lei nacional de cada um.
Confirme se a organização é essencial, importante ou está fora do escopo.
Faça o registro junto à autoridade nacional, quando exigido.
Leve a política de gestão de riscos à aprovação formal do conselho ou da diretoria.
Ensaie o fluxo 24h/72h/1 mês com jurídico, TI e comunicação.
Revise contratos com fornecedores críticos para incluir cláusulas de segurança.