O período de tolerância da NIS2 na Bulgária terminou a 1 de junho de 2026: os membros do órgão de gestão passam a estar sujeitos às coimas pessoais na íntegra, e já não beneficiam da redução de 50 % que vigorou até maio. A lei de transposição da Diretiva NIS2 do Luxemburgo entrou em vigor a 10 de maio de 2026, pelo que quatro Estados-Membros continuam sem legislação de transposição. O Grupo de Cooperação NIS da UE adotou modelos comuns de notificação de incidentes que a Comissão pretende tornar obrigatórios através de um ato de execução.
Este artigo reúne todas as atualizações relevantes da NIS2 de maio de 2026: o que mudou, que prazos estão em curso e em que a equipa tem de agir desde já.
Pontos principais
As atualizações da NIS2 de maio de 2026 têm desencadeadores de conformidade concretos: datas e obrigações específicas. Eis o que mudou.
- O regime sancionatório pleno da Bulgária está em vigor. A partir de 1 de junho de 2026, as coimas pessoais aplicáveis aos membros do órgão de gestão correspondem a 100 % dos montantes legais, até 5000 euros por pessoa, independentemente das coimas aplicáveis às entidades, que podem chegar a 10 milhões de euros. A redução transitória de 50 % deixou de existir.
- A lei da NIS2 do Luxemburgo entrou em vigor a 10 de maio de 2026. As entidades abrangidas têm até 10 de julho de 2026 para efetuar o autorregisto junto do ILR. A falta de registo constitui, por si só, uma infração sancionável.
- Quatro Estados-Membros da UE continuam sem transpor a NIS2, mais de 19 meses depois do prazo de outubro de 2024, segundo o levantamento de maio de 2026 da Cullen International.
- Foram adotados modelos comuns de notificação de incidentes em toda a UE. O Grupo de Cooperação NIS acordou formatos normalizados na sua 39.ª reunião plenária, em Chipre, a 26 de maio de 2026. Um ato de execução da Comissão tornará esses modelos obrigatórios.
- O relatório NIS360 2026 da ENISA identifica oito setores em zona de risco. Saúde, transportes ferroviários, transportes marítimos, gestão de serviços de TIC, espaço, administração pública, água potável e águas residuais apresentam a menor maturidade em cibersegurança face à sua criticidade.
- Os Países Baixos fizeram avançar a Cyberbeveiligingswet, que estava atrasada. A Câmara dos Representantes neerlandesa aprovou o projeto de lei a 15 de abril de 2026; a aprovação do Senado continua pendente.
- A Irlanda confirmou a National Cyber Security Bill como instrumento de transposição da NIS2. O Departamento da Justiça está a redigir a legislação e a conferir ao NCSC um enquadramento legal.
- A DigitalEurope defendeu uma harmonização mais profunda da NIS2. A associação do setor publicou uma posição formal que identifica o âmbito de aplicação, os limiares de dimensão, a notificação de incidentes e a avaliação da conformidade como as áreas que mais precisam de normalização entre Estados-Membros.
A fase de aplicação plena na Bulgária começou a 1 de junho de 2026
A aplicação da NIS2 na Bulgária entrou na fase final a 1 de junho de 2026. As coimas e sanções por todas as infrações aplicam-se agora na totalidade dos montantes legais: a redução de 50 % que vigorava para as infrações cometidas antes dessa data deixou de existir.
A legislação de base é a Lei que altera e completa a Lei da Cibersegurança, adotada pela 51.ª Assembleia Nacional a 5 de fevereiro de 2026 e promulgada no jornal oficial búlgaro State Gazette (n.º 17) a 13 de fevereiro de 2026, tendo entrado em vigor na mesma data.
Quem está abrangido
A Lei da Cibersegurança abrange entidades públicas e privadas dos setores dos anexos I e II que atinjam ou ultrapassem os limiares das médias empresas. Determinados prestadores estão abrangidos independentemente da dimensão: redes públicas de comunicações eletrónicas, prestadores de serviços de confiança, registos de nomes de domínio de topo, prestadores de serviços DNS, entidades que sejam o único prestador de um serviço crítico na Bulgária ou cuja perturbação afetaria significativamente a ordem pública, a segurança pública ou a saúde, ou a economia.
Os organismos da administração pública (incluindo os municípios) são classificados como entidades essenciais nos termos do artigo 4a(1)(4), independentemente da dimensão.
Aplicação plena sem um conjunto completo de regras
Subsiste uma complicação prática. A lei delega expressamente a definição das medidas mínimas de cibersegurança para determinadas categorias de entidades num regulamento secundário do Conselho de Ministros, a propor conjuntamente pela Comissão de Regulação das Comunicações e pelo Ministro do Governo Eletrónico. Esse regulamento ainda não foi publicado. As organizações entraram na fase de aplicação plena sem o conjunto completo de regras operacionais que a própria lei previa.
Isso não suspende as obrigações. A lei principal está em vigor e as sanções são reais. Fazer desde já uma análise de lacunas face ao quadro normativo existente da NIS2 é possível e aconselhável, antes de a pressão da supervisão aumentar. ISO/IEC 27001 e ISO 22301 constituem uma base de trabalho viável a par dos requisitos da Lei da Cibersegurança.
O que os órgãos de gestão têm agora de demonstrar
A Lei da Cibersegurança da Bulgária atribui responsabilidade pessoal explícita a cada membro dos órgãos de gestão, e não apenas à organização enquanto pessoa coletiva. Os órgãos de gestão devem:
- Aprovar formalmente as medidas de gestão dos riscos de cibersegurança exigidas pelo artigo 21.º
- Supervisionar a execução dessas medidas
- Concluir formação em cibersegurança, no mínimo de dois em dois anos
- Organizar formação equivalente para os trabalhadores com regularidade
As medidas que os órgãos de gestão têm de aprovar abrangem a análise de riscos e as políticas de segurança da informação, o tratamento de incidentes, a continuidade das atividades e a gestão de crises, a segurança da cadeia de abastecimento, as práticas de ciber-higiene e a autenticação multifator, quando adequado.
A estrutura das coimas pessoais
Quando um membro do órgão de gestão de uma entidade essencial ou importante infringe estas obrigações de governação, pode ser imposta uma coima pessoal de 500 a 5000 euros. Esta é distinta das sanções ao nível da entidade e acresce a estas: até 10 milhões de euros ou 2 % do volume de negócios mundial para as entidades essenciais, e até 7 milhões de euros ou 1,4 % para as entidades importantes.
A autoridade nacional competente pode ainda solicitar a um tribunal que imponha a uma pessoa singular a proibição temporária de exercer funções de gestão numa entidade essencial.
Implicação prática: um membro do órgão de gestão não pode eximir-se à responsabilidade por via da delegação. A eventual aplicação de uma coima, e a sua gravidade, dependerá da capacidade de a pessoa demonstrar ações concretas: deliberações do órgão de gestão, políticas adotadas, protocolos de auditoria, responsabilidades atribuídas, formação concluída e medidas corretivas documentadas.
Em toda a UE: Modelos comuns de notificação de incidentes adotados
A 26 de maio de 2026, o Grupo de Cooperação NIS adotou modelos comuns para a notificação de incidentes da NIS2 na sua 39.ª reunião plenária, em Chipre. O Grupo reúne os Estados-Membros da UE, a Comissão Europeia e a ENISA.
Os modelos preveem um formato normalizado para a notificação de incidentes de cibersegurança em toda a UE. Até agora, a inexistência de um formato comum obrigava as organizações que operam em vários Estados-Membros a lidar com formulários, conjuntos de campos e portais de submissão nacionais distintos, o que representa um encargo administrativo considerável para qualquer operação transfronteiriça.
A Comissão indicou que pretende adotar estes modelos através de um ato de execução, que os tornaria obrigatórios em todos os Estados-Membros. Quando esse ato entrar em vigor, os modelos estabelecerão um quadro unificado de notificação de incidentes em toda a UE.
Esta evolução liga-se também à proposta mais ampla do Digital Omnibus, que inclui um ponto de entrada único para a notificação de incidentes. Os modelos comuns foram concebidos para se alinharem com essa futura arquitetura.
O que isto significa para o processo de resposta a incidentes: Se a equipa tiver criado fluxos de notificação com base no formulário atual de um Estado-Membro específico, esses fluxos terão de ser atualizados quando o ato de execução for publicado. Os prazos centrais da NIS2 previstos no artigo 23.º (alerta precoce em 24 horas, notificação do incidente em 72 horas, relatório final no prazo de um mês) não se alteram. O formato de submissão, sim.
ENISA NIS360 2026: Oito setores ainda em zona de risco
A ENISA publicou a terceira edição do seu relatório NIS360 a 28 de maio de 2026. O relatório avalia a maturidade em cibersegurança e a criticidade de todos os setores de elevada criticidade enumerados no anexo I da NIS2.
A avaliação de 2026 abrange todo o ecossistema de cada setor (autoridades nacionais, entidades regulamentadas e legislação da UE aplicável), e não organizações individuais. Identifica os setores em que a maturidade melhorou e aqueles em que a diferença entre a criticidade e a postura de segurança real continua grande.
Oito setores são identificados como zonas de risco: saúde, transportes ferroviários, transportes marítimos, gestão de serviços de TIC, espaço, administração pública, água potável e águas residuais. São setores em que as consequências de um ataque bem-sucedido são graves, mas em que a base de segurança do setor continua abaixo do que o nível de ameaça exige.
Para os responsáveis de TI e de segurança destes setores, a avaliação NIS360 é uma referência útil. Se o setor constar da lista de zonas de risco, é de esperar maior atenção supervisora por parte das autoridades nacionais competentes: não porque o relatório desencadeie diretamente medidas de aplicação, mas porque os reguladores utilizam os dados de maturidade por setor para definir prioridades nos seus calendários de auditoria e inspeção.
Luxemburgo: Lei da NIS2 em vigor, prazo de registo a 10 de julho de 2026
O Luxemburgo publicou a sua lei de transposição da NIS2 a 6 de maio de 2026 no Journal officiel du Grand-Duché de Luxembourg. A lei entrou em vigor a 10 de maio de 2026 e substituiu a lei NIS1 de 28 de maio de 2019.
Quem está abrangido
No Luxemburgo, a NIS2 aplica-se às organizações com 50 ou mais trabalhadores ou volume de negócios anual superior a 10 milhões de euros, que operem num dos 18 setores críticos. Os limiares de dimensão são avaliados ao nível do grupo consolidado: uma filial com 40 trabalhadores pode continuar abrangida se o grupo-mãe exceder os limiares.
A estrutura de dois níveis
Entidades essenciais: as organizações de grande dimensão dos setores do anexo I, com mais de 250 trabalhadores e um volume de negócios de 50 milhões de euros ou um balanço de 43 milhões de euros, estão sujeitas a supervisão proativa e a sanções até 10 milhões de euros ou 2 % do volume de negócios mundial. Entidades importantes: as organizações de média dimensão do anexo I e todas as entidades do anexo II que cumpram os critérios estão sujeitas a supervisão reativa e a sanções até 7 milhões de euros ou 1,4 % do volume de negócios mundial.
Os dois níveis têm de aplicar as mesmas dez categorias de medidas previstas no artigo 12.º: análise de riscos, tratamento de incidentes, continuidade das atividades, segurança da cadeia de abastecimento, desenvolvimento seguro, avaliação da eficácia, ciber-higiene, criptografia, controlo de acessos e autenticação multifator.
Prazos de notificação de incidentes
O Luxemburgo segue a estrutura do artigo 23.º da NIS2 na íntegra: alerta precoce em 24 horas, notificação formal em 72 horas, relatório final no prazo de um mês. O incumprimento de qualquer prazo constitui, por si só, uma infração sancionável.
O prazo de autorregisto de 10 de julho de 2026
As entidades têm até 10 de julho de 2026 para efetuar o autorregisto junto da respetiva autoridade competente. O ILR (Institut Luxembourgeois de Régulation) é a autoridade competente para a maioria dos setores; a CSSF supervisiona a banca e as infraestruturas dos mercados financeiros. A falta de registo é uma infração sancionável nos termos do artigo 11.º.
Os órgãos de gestão têm de aprovar formalmente as medidas de cibersegurança, supervisionar a sua execução e frequentar formação regularmente. No caso das entidades essenciais, os quadros superiores podem ficar sujeitos a uma proibição temporária de exercer funções de gestão em caso de falhas graves.
Países Baixos: Cyberbeveiligingswet chega à fase de plenário do Senado
A Câmara dos Representantes neerlandesa aprovou a Cyberbeveiligingswet (a lei de transposição da NIS2 dos Países Baixos) a 15 de abril de 2026, por 140 votos contra 10. O projeto de lei avançou agora para a fase de plenário do Senado.
Situação do projeto de lei
A Tweede Kamer aprovou o projeto com amplo apoio transpartidário; apenas dois partidos votaram contra. As comissões do Senado responsáveis pela digitalização e pela justiça concluíram a sua análise escrita a 19 de maio de 2026. Entretanto, o projeto passou à fase de plenário do Senado, onde aguarda votação final.
O projeto está a ser tratado em paralelo com legislação distinta que transpõe a Diretiva CER da UE relativa à resiliência das entidades críticas.
Contexto
Os Países Baixos apresentaram o projeto ao parlamento a 2 de junho de 2025, falhando o prazo de transposição da UE, 17 de outubro de 2024, em mais de um ano. O projeto esteve quase dez meses em tramitação na câmara baixa antes de ser aprovado.
Principais disposições
Em vez de criar uma autoridade nacional única de cibersegurança, a lei atribui a aplicação a reguladores setoriais já existentes: o regulador da energia para as empresas de energia, o regulador da saúde para os hospitais, e assim por diante. A data exata de entrada em vigor da lei será fixada por decreto governamental após a aprovação do Senado, e diferentes disposições podem produzir efeitos em datas diferentes.
O que se segue
A aprovação do Senado é o último passo legislativo. Depois de a votação ser aprovada e de o Governo fixar uma data de entrada em vigor, as organizações abrangidas ficarão sujeitas a obrigações de conformidade imediatas: medidas de gestão de riscos, notificação de incidentes e requisitos de responsabilização da gestão.
Irlanda: National Cyber Security Bill confirmada como instrumento da NIS2
Numa resposta parlamentar escrita à Dáil Éireann (a câmara baixa do parlamento irlandês) a 13 de maio de 2026, o ministro da Justiça, dos Assuntos Internos e da Migração da Irlanda confirmou que o Departamento da Justiça está a elaborar a National Cyber Security Bill como instrumento legislativo para a transposição da NIS2.
O projeto de lei consta como prioritário para publicação no programa legislativo do verão de 2026. Designará o National Cyber Security Centre (NCSC) como autoridade nacional competente e como equipa de resposta a incidentes de segurança informática da Irlanda (CSIRT). Conferirá também ao NCSC, pela primeira vez, um enquadramento legal: atualmente, o centro funciona sem base legislativa específica.
A Irlanda não cumpriu o prazo de transposição da UE de 17 de outubro de 2024. Uma decisão do Conselho de Ministros em julho de 2024 determinou a redação prioritária da legislação, e os trabalhos têm avançado desde então. O projeto de lei ainda não foi publicado, mas o Governo divulgou em setembro de 2024 o General Scheme da National Cyber Security Bill, que define a estrutura prevista.
Responsabilidade da gestão
Nos termos do artigo 20.º da NIS2, tal como refletido no Head 28 do General Scheme, os órgãos de gestão serão obrigados a aprovar e supervisionar as medidas de gestão dos riscos de cibersegurança e a frequentar formação regular em cibersegurança, podendo ainda incorrer em responsabilidade pessoal por incumprimentos, incluindo proibições temporárias e coimas administrativas. O General Scheme define «órgão de gestão» como «um órgão ou grupo de pessoas investido da autoridade e da responsabilidade pela supervisão, orientação e controlo de uma entidade».
Reguladores setoriais já em atividade
Os reguladores setoriais já foram designados autoridades nacionais competentes e preparam-se para assumir funções de supervisão e aplicação. Os portais de registo e de notificação de incidentes da NIS2 ainda não estão ativos (abrirão quando a legislação for promulgada), mas o NCSC publicou um projeto de orientações sobre medidas de gestão de riscos e o quadro Cyber Fundamentals (CyFun) para ajudar as organizações a preparar-se entretanto.
O projeto de lei está também a ser elaborado em conjunto com a terceira Estratégia Nacional de Cibersegurança da Irlanda, coordenada por um Comité Interdepartamental presidido pelo Departamento da Justiça.
Para as organizações com operações na Irlanda, a inexistência de legislação promulgada não elimina a obrigação de se preparar. As autoridades nacionais competentes setoriais já estão ativas e a promulgação do projeto de lei é descrita como uma prioridade do Governo.
DigitalEurope: A NIS2 continua a precisar de maior harmonização
A 13 de maio de 2026, a DigitalEurope publicou uma posição formal sobre o pacote de cibersegurança da UE, que abrange a proposta de Cybersecurity Act 2 (CSA2), o quadro de segurança da cadeia de abastecimento de TIC e as alterações específicas à NIS2.
Quanto à NIS2 em particular, a posição da DigitalEurope é direta: as alterações específicas propostas no pacote atual respondem «minimamente» às preocupações que o setor tem manifestado ao longo de vários anos. As áreas que exigem uma harmonização mais rigorosa são:
- Âmbito: A NIS2 deve centrar-se apenas nas atividades principais, excluindo as operações acessórias que criam obrigações desproporcionadas
- Limiares de dimensão: As divergências nacionais na aplicação dos limiares criam uma cobertura incoerente entre Estados-Membros
- Notificação de incidentes: Os campos de notificação, os prazos e os processos de submissão continuam a variar a nível nacional, um problema que os modelos comuns (ver acima) resolvem em parte
- Regras sobre o estabelecimento principal: As organizações que operam em vários Estados-Membros enfrentam incerteza quanto à autoridade nacional com competência primária
- Avaliação da conformidade: Os requisitos diferem consoante o Estado-Membro, o que cria complexidade de conformidade para as operações transfronteiriças
A DigitalEurope pediu também que a ENISA realize avaliações de impacto para toda a legislação da UE relevante em matéria de cibersegurança e coordene a implementação de forma mais ativa, posicionando a agência como centro de coordenação e não como um organismo meramente consultivo.
Para os responsáveis de conformidade que acompanham a trajetória regulamentar: as lacunas de harmonização identificadas pela DigitalEurope são pontos reais de fricção operacional. Os modelos comuns de notificação de incidentes adotados a 26 de maio são um passo para eliminar um deles. Os restantes exigirão atos de execução ou o processo de alteração da NIS2 para serem resolvidos.
O que isto significa agora para a equipa
Os desenvolvimentos de maio de 2026 seguem um padrão constante desde o início da aplicação: o texto da diretiva é estável, mas a camada de implementação nacional continua em movimento. O regime sancionatório pleno da Bulgária, o prazo de registo já em curso no Luxemburgo e a votação pendente no Senado neerlandês representam desencadeadores de conformidade concretos, cada um com uma data específica.
Os modelos comuns de notificação de incidentes são a evolução mais relevante do ponto de vista operacional a nível da UE no período. Quando o ato de execução da Comissão for publicado, o fluxo de notificação de incidentes de todas as organizações terá de ser atualizado para corresponder ao formato normalizado. Convém incluir essa atualização desde já no planeamento da resposta a incidentes, antes que um incidente real obrigue a fazê-lo sob pressão.
A lista de zonas de risco do NIS360 da ENISA merece ser levada a sério se a organização operar na saúde, na administração pública ou em qualquer outro dos setores assinalados. A atenção da supervisão acompanha as lacunas de maturidade, e a avaliação da ENISA influencia diretamente a forma como as autoridades nacionais competentes definem as prioridades dos seus calendários de auditoria.
Perguntas frequentes
O que aconteceu com a NIS2 em maio de 2026?
Maio de 2026 trouxe quatro desenvolvimentos significativos da NIS2: a lei de transposição do Luxemburgo entrou em vigor a 10 de maio; o Grupo de Cooperação NIS adotou modelos comuns de notificação de incidentes a 26 de maio; a ENISA publicou a avaliação da maturidade setorial NIS360 2026 a 28 de maio; e os Países Baixos fizeram avançar a Cyberbeveiligingswet na Câmara dos Representantes. A fase sancionatória plena da Bulgária começou a 1 de junho de 2026, logo a seguir ao período de maio.
Qual é o prazo de autorregisto da NIS2 no Luxemburgo?
A lei de transposição da NIS2 do Luxemburgo, que entrou em vigor a 10 de maio de 2026, exige que todas as entidades abrangidas efetuem o autorregisto junto da respetiva autoridade competente até 10 de julho de 2026. O ILR (Institut Luxembourgeois de Régulation) é a principal autoridade competente. A falta de registo é uma infração sancionável nos termos do artigo 11.º da lei de transposição.
Quais são os novos modelos de notificação de incidentes da NIS2?
A 26 de maio de 2026, o Grupo de Cooperação NIS adotou modelos comuns para a notificação de incidentes da NIS2 na sua 39.ª reunião plenária, em Chipre. Os modelos preveem um formato normalizado para a notificação de incidentes de cibersegurança em todos os Estados-Membros da UE. A Comissão Europeia pretende torná-los obrigatórios através de um ato de execução. Os prazos do artigo 23.º da NIS2 (alerta precoce em 24 horas, notificação em 72 horas, relatório final no prazo de um mês) mantêm-se inalterados.
Que setores identifica o NIS360 2026 da ENISA como de maior risco?
O relatório NIS360 2026 da ENISA, publicado a 28 de maio de 2026, identifica oito setores como zonas de risco em que a maturidade em cibersegurança continua baixa face à criticidade: saúde, transportes ferroviários, transportes marítimos, gestão de serviços de TIC, espaço, administração pública, água potável e águas residuais. Todos são setores do anexo I da NIS2 e estão sujeitos a supervisão proativa enquanto entidades essenciais.
Quais são as regras de responsabilidade pessoal dos gestores no âmbito da NIS2 na Bulgária?
Nos termos da Lei da Cibersegurança alterada da Bulgária, os membros do órgão de gestão das entidades essenciais e importantes ficam sujeitos a coimas pessoais de 500 a 5000 euros por incumprimento das obrigações de governação, independentemente das coimas aplicáveis às entidades. A partir de 1 de junho de 2026, estas coimas aplicam-se na totalidade dos montantes legais; a redução transitória de 50 % que se aplicava às infrações anteriores a junho deixou de existir. A autoridade competente pode ainda solicitar a um tribunal a proibição temporária de um gestor exercer funções de gestão.
Quantos Estados-Membros da UE transpuseram a NIS2?
No final de maio de 2026, 23 dos 27 Estados-Membros da UE tinham transposto a NIS2 para o direito nacional, segundo o levantamento de maio de 2026 da Cullen International. A transposição do Luxemburgo entrou em vigor a 10 de maio de 2026, o que elevou o total para 23. Quatro Estados-Membros continuam em processo legislativo, mais de 19 meses depois do prazo de transposição de outubro de 2024.
O que é a Cyberbeveiligingswet dos Países Baixos?
A Cyberbeveiligingswet é a legislação nacional dos Países Baixos que transpõe a NIS2. A Câmara dos Representantes neerlandesa aprovou o projeto de lei em 2026, depois de os Países Baixos terem falhado o prazo de transposição original da UE, outubro de 2024. O projeto ainda necessita da aprovação do Senado antes de poder entrar em vigor. O modelo neerlandês assenta numa estrutura de supervisão descentralizada, em que os reguladores setoriais tratam da aplicação.
Alex Muntyan
Alex Muntyan
Alex Muntyan