Do prazo perdido ao quase cumprimento universal

A Diretiva (UE) 2022/2555 (NIS2) fixou o prazo de transposição para 17 de outubro de 2024. A maioria dos Estados-Membros não cumpriu: em 28 de novembro de 2024 a Comissão Europeia enviou cartas de notificação formal a 23 Estados-Membros, seguidas de pareceres fundamentados a 19 Estados-Membros em 7 de maio de 2025.

O mecanismo de pressão funcionou. Ao longo do segundo semestre de 2025 e primeiro trimestre de 2026, a maioria dos visados publicou a sua legislação nacional. A 29 de maio de 2026, os trackers ECSO e Cullen International confirmavam 23 dos 27 EM com transposição concluída.

Fonte: Cullen International, relatório de 29 de maio de 2026: "Four member states have not yet transposed NIS2." Confirmado pelo ECSO NIS2 Transposition Tracker, maio 2026.

Portugal: DL 125/2025 em vigor desde 3 de abril de 2026

Portugal publicou o Decreto-Lei n.º 125/2025 em 4 de dezembro de 2025, com 13 meses de atraso face ao prazo europeu mas após a receção do parecer fundamentado da Comissão. A lei estabeleceu uma vacatio legis de 120 dias, terminando a 3 de abril de 2026, data em que o Regime Jurídico da Cibersegurança entrou em vigor (as medidas do art. 27.º, n.os 1 e 2, e os arts. 28.º a 30.º e 33.º produzem efeitos a 22 de junho de 2028, nos termos do art. 10.º, n.º 2).

O CNCS (Centro Nacional de Cibersegurança) é a autoridade competente nacional. O regulamento do CNCS (Regulamento n.º 756/2026), que inclui as regras da plataforma MyCiber, esteve em consulta pública de 10 de março a 22 de abril de 2026 e foi publicado a 22 de junho de 2026.

Os 4 EM que ainda não transpuseram

Quatro Estados-Membros continuavam sem transposição a maio de 2026: Irlanda, Espanha, França e Países Baixos. Em 8 de julho de 2026, a Comissão Europeia referiu os quatro ao Tribunal de Justiça da UE (TJUE), pedindo a aplicação de uma quantia fixa e de sanções pecuniárias diárias até ao cumprimento (comunicado IP/26/1499). Este precedente é relevante: a NIS2 não é uma diretiva de baixa prioridade para Bruxelas.

Consulte o ECSO NIS2 Tracker para a informação mais atualizada.

Implicações para organizações com operações em vários EM

Com 23 regimes nacionais ativos, a harmonização é real mas imperfeita. A NIS2 é uma diretiva de mínimos: cada EM pode impor requisitos adicionais, diferentes prazos de notificação de incidentes (mantendo os 24h/72h/30d como base), ou incluir setores suplementares. O tracker ECSO identifica variantes relevantes em vários países, nomeadamente nos prazos e procedimentos de registo de entidades.

O que os compliance officers de multinacionais devem fazer

  • Mapear a presença geográfica face aos 23 regimes em vigor e identificar obrigações de registo país a país.
  • Verificar se a entidade é considerada "essencial" ou "importante" em cada jurisdição, pois os limiares variam.
  • Articular os processos de notificação de incidentes: embora os prazos base sejam idênticos (24h/72h/30d), os canais e formulários diferem por país.
  • Acompanhar os EM ainda por transpor (Irlanda, Espanha e França a setembro de 2026): quando transpuserem, ativam obrigações para entidades aí sedeadas ou com operações significativas.

Atenção para grupos empresariais: A entidade jurídica que presta o serviço é a que é classificada como essencial ou importante, não o grupo ou a holding. Um grupo pode ter obrigações em vários EM de forma independente, com diferentes autoridades competentes e diferentes prazos.

Linha do tempo: do prazo perdido ao enforcement

Data Evento
17 out 2024 Prazo de transposição NIS2 para todos os EM
28 nov 2024 Cartas de notificação formal a 23 EM em atraso
7 mai 2025 Pareceres fundamentados a 19 EM
4 dez 2025 Portugal publica o DL 125/2025
5 dez 2025 Alemanha publica a lei de transposição (NIS2UmsuCG de 2 dez 2025, cujo artigo 1.º aprova o novo BSI-Gesetz (BSIG); BGBl. 2025 I n.º 301; em vigor 6 dez 2025)
6 mar 2026 Prazo de registo no BSI alemão; início da fase de supervisão
3 abr 2026 DL 125/2025 em vigor em Portugal; lei polaca em vigor (publicada 2 mar 2026)
29 mai 2026 23/27 EM com transposição concluída (Cullen International)
8 jul 2026 Comissão refere Irlanda, Espanha, França e Países Baixos ao TJUE (IP/26/1499)
15 ago 2026 Cyberbeveiligingswet em vigor nos Países Baixos; 24/27 EM com lei publicada (23 em vigor; Áustria em vigor a 1 out 2026)

Atualização (14 de setembro de 2026): A 29 de maio de 2026 nenhum caso tinha ainda sido referido ao TJUE. A referência ocorreu a 8 de julho de 2026 e abrangeu a Irlanda, a Espanha, a França e os Países Baixos (Comissão Europeia, IP/26/1499). Os Países Baixos concluíram entretanto a transposição (lei em vigor a 15 de agosto de 2026); a Polónia já tinha publicado a sua lei a 2 de março de 2026 (em vigor a 3 de abril). A setembro de 2026, 24 dos 27 EM têm lei nacional publicada, 23 delas em vigor (a lei austríaca, NISG 2026, publicada a 23 de dezembro de 2025, entra em vigor a 1 de outubro de 2026); Irlanda, Espanha e França continuam sem lei adotada.