Contexto: o BSIG e o prazo de registo
A Alemanha transpôs a Diretiva NIS2 através da lei de transposição NIS2UmsuCG (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz), que alterou a lei do BSI, o BSI-Gesetz (BSIG). A lei foi publicada no Bundesgesetzblatt (BGBl. 2025 I n.º 301) a 5 de dezembro de 2025 e entrou em vigor a 6 de dezembro de 2025. O § 33 BSIG obrigou as entidades abrangidas a registarem-se junto do Bundesamt für Sicherheit in der Informationstechnik (BSI) no prazo de três meses, que terminou a 6 de março de 2026.
O registo é obrigatório para as entidades "particularmente importantes" (besonders wichtige Einrichtungen) e "importantes" (wichtige Einrichtungen) nos setores cobertos pelo BSIG, incluindo energia, saúde, infraestrutura digital, telecomunicações e administração pública federal. A lei alinha-se com a Diretiva (UE) 2022/2555, mas inclui especificidades do sistema federal alemão.
Prazo já decorrido: O registo no BSI era obrigatório até 6 de março de 2026. Segundo fontes sectoriais alemãs, o BSI comunicou às associações empresariais um período de tolerância para registos tardios até 31 de julho de 2026; não localizámos uma comunicação oficial do BSI sobre este prazo. Entidades que ainda não se registaram estão em situação de contraordenação.
A supervisão: o que se sabe
Terminado o prazo, o BSI pode impor sanções pecuniárias compulsórias para forçar o registo e instaurar processos de contraordenação. O registo tardio é a infração mais diretamente verificável prevista no § 65 BSIG, com moldura de coima até 500 000 euros. Não é necessário provar dano ou incidente para a coima ser aplicada: basta não estar registado dentro do prazo.
Não existe, até à data desta notícia, qualquer coima NIS2 publicada pelo BSI. Os comentadores jurídicos alemães esperam que as primeiras coimas surjam no segundo semestre de 2026, a começar pelos incumprimentos do registo. A fase de supervisão inclui também a verificação das medidas técnicas e organizacionais exigidas pelo § 30 BSIG (equivalente ao art. 21.º da Diretiva NIS2 e ao art. 27.º do DL 125/2025 em Portugal).
Moldura de coimas no regime alemão (§ 65 BSIG)
| Infração | Coima máxima |
|---|---|
| Falta de registo no BSI (§ 33 BSIG) | até 500 000 euros |
| Incumprimento das medidas de gestão de risco (§ 30 BSIG) | Até 10 000 000 euros (entidades particularmente importantes) ou 7 000 000 euros (entidades importantes) |
| Incumprimento das obrigações de notificação de incidentes (§ 32 BSIG) | Até 10 000 000 euros (entidades particularmente importantes) ou 7 000 000 euros (entidades importantes) |
Para empresas com volume de negócios anual superior a 500 milhões de euros, o máximo passa a 2 % (particularmente importantes) ou 1,4 % (importantes) do volume de negócios mundial, nos termos dos n.os 6 e 7 do § 65 BSIG.
Implicações para Portugal: o paralelo com o registo no CNCS
Em Portugal, o Decreto-Lei n.º 125/2025, em vigor desde 3 de abril de 2026, estabelece um regime semelhante. O art. 8.º determina a identificação e o registo das entidades essenciais e importantes na plataforma eletrónica do CNCS (MyCiber): 60 dias após a disponibilização da plataforma (art. 8.º, n.º 1), contados pelo CNCS em dias úteis desde 23 de junho de 2026, prazo que terminou a 15 de setembro de 2026.
A experiência alemã é um sinal claro: o registo não é uma formalidade burocrática de baixo risco. É a primeira linha de supervisão, verificável de forma direta pelo regulador, e a primeira infração que pode ser documentada e sancionada.
Atenção: No DL 125/2025, a falta de identificação na plataforma (art. 8.º) é contraordenação grave (art. 62.º, n.º 1, al. a)): até 5 milhões de euros ou 1% do volume de negócios para entidades essenciais e até 3,5 milhões de euros ou 0,7% para entidades importantes. Os máximos de 10 milhões de euros ou 2% e 7 milhões de euros ou 1,4% aplicam-se às contraordenações muito graves (art. 61.º), como a falta de notificação de incidentes.
Prazos relevantes em Portugal
| Marco | Prazo | Referência legal |
|---|---|---|
| DL 125/2025 em vigor | 3 de abril de 2026 | Art. 1.º DL 125/2025 |
| Designação do responsável de cibersegurança e do ponto de contacto permanente | 20 dias úteis após a notificação da qualificação da entidade | Arts. 31.º e 32.º DL 125/2025; Reg. 756/2026, arts. 14.º e 15.º |
| Registo na plataforma MyCiber do CNCS | 60 dias após a disponibilização da plataforma, contados pelo CNCS em dias úteis desde 23 de junho de 2026, até 15 de setembro de 2026 | Art. 8.º, n.º 1, DL 125/2025 |
| Os n.os 1 e 2 do art. 27.º, os arts. 28.º a 30.º e o art. 33.º produzem efeitos | 22 de junho de 2028 (24 meses após a publicação do Reg. 756/2026) | Art. 10.º, n.º 2, DL 125/2025 |
O que fazer agora
- Verificar se a organização está abrangida (Anexos I ou II do DL 125/2025) usando a calculadora de classificação.
- Confirmar o registo e a autoidentificação na plataforma MyCiber (art. 8.º do DL 125/2025 e Regulamento n.º 756/2026 do CNCS).
- Iniciar a gap analysis face ao art. 27.º do DL 125/2025 com a checklist do art. 21.º.
- Estimar o impacto financeiro potencial com a calculadora de coimas.
- Preparar o processo de notificação de incidentes com o simulador de notificação CNCS.