Desde 1 de outubro de 2026 está em vigor na Áustria a nova Lei de Segurança das Redes e dos Sistemas de Informação, abreviada NISG 2026 (Netz- und Informationssystemsicherheitsgesetz). Ela transpõe a Diretiva europeia NIS2 e transforma a cibersegurança numa obrigação legal para milhares de empresas. Segundo a Câmara de Comércio austríaca (Wirtschaftskammer), cerca de 4.000 empresas e entidades de 18 setores são diretamente abrangidas, a que se juntam muitos fornecedores que ficam obrigados através dos seus clientes.
Um dos melhores resumos em língua alemã sobre o tema foi elaborado pelo jurista e consultor de empresas vienense Franz Kopp em https://nis-2-ready.at como complemento ao seu livro „Quick Guide NIS-2 in Österreich“ (Guia rápido da NIS-2 na Áustria, Springer Gabler). Estudei o site e os seus guias e resumo aqui o que os gestores e as gestoras precisam de saber agora: quem é abrangido, que prazos estão a correr, o que deve ser notificado em caso de incidente e que sanções se aplicam. A minha própria empresa está a percorrer este caminho neste momento, por isso acrescento em alguns pontos o que aprendemos na prática.
O que é a NIS2 e o que é a NISG 2026?
A NIS2 é a segunda diretiva da UE relativa à segurança das redes e da informação (Diretiva (UE) 2022/2555). Obriga os Estados-Membros a introduzir normas mínimas vinculativas de cibersegurança para as áreas críticas e importantes da economia. A Áustria fê-lo com a NISG 2026, publicada no Jornal Oficial Federal (BGBl. I Nr. 94/2025). As disposições operacionais aplicam-se desde 1 de outubro de 2026 e o regulamento correspondente, a NISV 2026, desde 2 de outubro de 2026.
O essencial da lei resume-se em quatro frases. As empresas abrangidas têm de se registar. Têm de criar uma gestão de riscos para a sua TI que cubra dez áreas definidas. Têm de notificar incidentes de segurança significativos no prazo de 24 horas. E a gestão é pessoalmente responsável por garantir que tudo isto acontece.
Sou abrangido? As três perguntas-chave
Se uma empresa fica sujeita à NISG 2026 não depende apenas do setor nem apenas da dimensão, mas de ambos em conjunto. A isto acrescem alguns casos especiais que se aplicam independentemente da dimensão.
A primeira pergunta é a dimensão. Em princípio, são abrangidas as médias empresas a partir de 50 trabalhadores ou com mais de 10 milhões de euros de volume de negócios anual e, ao mesmo tempo, mais de 10 milhões de euros de balanço total. Considera-se grande uma empresa a partir de 250 trabalhadores ou com mais de 50 milhões de euros de volume de negócios e mais de 43 milhões de euros de balanço total. Importante: ter menos de 50 trabalhadores não exclui automaticamente a abrangência, porque os indicadores financeiros também contam. Nos grupos empresariais, as empresas parceiras e associadas são em princípio incluídas no cálculo, salvo se a sociedade for de facto independente do ponto de vista organizacional, técnico e operacional.
A segunda pergunta é a atividade. A lei enumera em dois anexos quais os serviços abrangidos. O anexo 1 inclui os setores de elevada criticidade: energia, transportes, setor bancário, infraestruturas do mercado financeiro, saúde, água potável, águas residuais, infraestrutura digital, gestão de serviços de TIC, administração pública e espaço. O anexo 2 inclui outros setores críticos: serviços postais e de estafeta, gestão de resíduos, química, alimentação, indústria transformadora, por exemplo de dispositivos médicos, eletrónica, máquinas e veículos, serviços digitais e investigação. O decisivo é o serviço concreto tal como descrito na lei, e não um rótulo setorial genérico.
A terceira pergunta diz respeito aos clientes. Mesmo quem não é abrangido diretamente pode ficar obrigado através dos seus clientes, porque estes têm de proteger a sua cadeia de abastecimento. Mais sobre isto adiante.
Entidade essencial ou importante?
A NISG 2026 distingue duas classes. As grandes empresas de um setor do anexo 1 são, em regra, entidades essenciais. As médias empresas de ambos os anexos, bem como as grandes empresas do anexo 2, são entidades importantes. As obrigações são essencialmente as mesmas, mas as entidades essenciais estão sujeitas a uma supervisão mais rigorosa e a um quadro sancionatório mais elevado.
Independentemente da dimensão, são abrangidos os prestadores qualificados de serviços de confiança, os registos de nomes de domínio de topo, os prestadores de serviços de DNS e determinados fornecedores de serviços de comunicações públicas. Além disso, a autoridade de cibersegurança pode classificar uma empresa por decisão, por exemplo se esta for o único fornecedor de um serviço crítico na Áustria. É exatamente este o caso da minha própria empresa: como operamos serviços de DNS, somos uma entidade essencial apesar da nossa dimensão. Quem oferece alojamento, domínios ou infraestrutura de TI deve, por isso, verificar este ponto com especial cuidado.
Os prazos: registo até 31 de dezembro de 2026
Para as empresas que já cumpriam os requisitos em 1 de outubro de 2026, o roteiro tem quatro etapas.
Primeiro, o registo nos termos do § 29 junto da autoridade de cibersegurança. Tem de ser feito no prazo de três meses a contar da entrada em vigor, ou seja, até ao final de 2026. Devem ser indicados, entre outros, o nome e os contactos, o setor e o tipo de entidade, os Estados da UE em causa, o estabelecimento principal e os limiares. Além disso, deve ser designado um ponto de contacto com número de telefone e endereço de e-mail. Se estes dados mudarem posteriormente, a alteração deve ser comunicada no prazo de duas semanas ou de três meses, consoante o caso. Na prática, o registo é feito através do portal austríaco de serviços para empresas, o Unternehmensserviceportal (USP), na área „NIS2 Services“. Quem só cumprir os requisitos mais tarde, por exemplo por crescimento, tem de se registar no máximo três meses após esse momento.
Segundo, a gestão de riscos nos termos do § 32. Aqui não existe um período de transição geral, pelo que as medidas devem ser implementadas em paralelo com o registo.
Terceiro, a autodeclaração nos termos do § 33, n.º 1. No prazo de doze meses após o surgimento da obrigação de registo, a empresa tem de comunicar à autoridade, de forma estruturada, as medidas que implementou, incluindo a segurança da cadeia de abastecimento e os resultados da análise de riscos. Para a maioria das empresas já abrangidas, isto significa: até ao final de setembro de 2027.
Quarto, a auditoria independente nos termos do § 33, n.º 2. Não acontece automaticamente, mas a pedido da autoridade, no mínimo dois anos após a entrada em vigor. Em princípio, a implementação deve então ser comprovada no prazo de dois anos por um organismo independente. As entidades essenciais, pelo contrário, têm de comprovar a parte operacional e organizacional no prazo de dois meses. Certificados válidos só podem cobrir esta parte operacional e organizacional, e não a técnica.
As dez áreas de medidas do § 32
O coração da lei é o § 32. Exige medidas técnicas, operacionais e organizacionais adequadas e proporcionadas, segundo uma abordagem que abrange todos os riscos. Devem ser cobertas pelo menos dez áreas.
Primeiro, uma análise de riscos e a segurança dos sistemas de informação: que sistemas, serviços e ameaças determinam o próprio risco? Segundo, o tratamento de incidentes de segurança, ou seja, deteção, avaliação, escalonamento e resposta. Terceiro, a continuidade das operações com cópias de segurança, recuperação e gestão de crises. Quarto, a segurança da cadeia de abastecimento e dos prestadores de serviços. Quinto, a segurança na aquisição, no desenvolvimento e na manutenção, incluindo o tratamento de vulnerabilidades. Sexto, procedimentos para avaliar a eficácia das medidas, como indicadores, testes de controlo e auditorias. Sétimo, ciber-higiene e formação. Oitavo, criptografia e cifragem. Nono, segurança dos recursos humanos, controlo de acessos e gestão de ativos. Décimo, autenticação multifator, comunicações seguras e, se necessário, comunicações de emergência.
O que significa „proporcionado“ depende da exposição ao risco, da dimensão, da probabilidade de ocorrência e da possível gravidade de um incidente, incluindo as consequências sociais e económicas. Os custos, por si só, não são motivo de exceção. A NISV 2026 acrescenta que a análise de riscos deve considerar riscos tecnológicos, humanos, relacionados com a cadeia de abastecimento e relacionados com a localização. Quem não puder cumprir um requisito temporariamente ou devido à sua dimensão tem de fundamentar e documentar medidas alternativas e verificar a sua eficácia pelo menos uma vez por ano.
Obrigação de notificação: 24 horas, 72 horas, um mês
Se ocorrer um incidente de segurança significativo, aplica-se um procedimento de notificação em três fases junto do CSIRT (equipa de resposta a incidentes de segurança informática) setorial competente ou, se não existir, junto do CSIRT nacional. Os prazos contam a partir do conhecimento do incidente.
No prazo de 24 horas deve ser enviado um alerta precoce, indicando se se suspeita de um ataque e se outros países podem ser afetados. No prazo de 72 horas segue-se a notificação propriamente dita, com uma primeira avaliação da gravidade e do impacto e, se aplicável, indicadores de comprometimento. O mais tardar um mês depois, é devido um relatório final que descreva as causas, o tipo de ameaça, as medidas corretivas e os efeitos transfronteiriços. Se o incidente ainda estiver em curso, é apresentado primeiro um relatório intercalar. Além disso, os clientes cujos serviços sejam afetados têm de ser informados sem demora. O CSIRT, por seu lado, responde no prazo de 24 horas e presta apoio se solicitado.
Quando é que um incidente é significativo? A NISV 2026 indica critérios em que o é em qualquer caso: uma perda financeira direta superior a 500.000 euros ou a 5 por cento do volume de negócios do ano anterior (conta o valor mais baixo), a fuga de segredos comerciais, a morte ou danos graves para a saúde de uma pessoa, um acesso bem-sucedido e presumivelmente malicioso que provavelmente cause graves perturbações operacionais, uma interrupção para mais de 100.000 utilizadores ou 10 por cento dos utilizadores durante mais de 24 horas, uma interrupção no território de pelo menos um estado federado austríaco durante mais de 24 horas, bem como a ativação de planos de crise ou de emergência. Também incidentes menores repetidos com a mesma causa podem, somados, tornar-se significativos. As manutenções planeadas não contam.
Por experiência própria: estes critérios não devem ser lidos pela primeira vez em plena emergência. Introduzimos para a nossa equipa um processo de notificação escrito com um serviço de prevenção claramente definido e um exercício chamado „significativo ou não?“. Na noite de sábado para domingo ninguém quer ir consultar a lei.
Assunto da chefia: deveres da gestão
O § 31 faz expressamente da NIS2 uma tarefa de liderança. A gerência ou o conselho de administração tem de assegurar que as medidas do § 32 são implementadas e supervisioná-lo de forma contínua. O trabalho operacional pode ser delegado na TI, na segurança da informação, nas compras ou em prestadores externos, mas a responsabilidade permanece no topo.
Além disso, os membros dos órgãos de gestão têm de participar em formações de cibersegurança concebidas especificamente para o nível de liderança. Uma formação geral de sensibilização para colaboradores não é suficiente para isso. A lei não fixa a duração, a frequência nem a forma de comprovar a participação. Conteúdos úteis são, por exemplo, a situação de risco atual, as obrigações legais, situações de decisão durante um incidente, os riscos da cadeia de abastecimento e a questão do que uma prova realmente demonstra. Para os colaboradores, a lei exige adicionalmente formações regulares e adequadas.
Como prova, Franz Kopp recomenda tomar deliberações sobre funções e orçamento, receber relatórios regularmente e documentar as decisões. Um bom relatório de gestão contém a situação de risco, o estado de implementação das dez áreas de medidas, os fornecedores críticos, os incidentes, as medidas em atraso, os resultados das auditorias e o estado da formação.
Sanções e responsabilidade
As coimas são pesadas. Para as entidades essenciais vão até 10 milhões de euros ou 2 por cento do volume de negócios mundial do ano anterior; para as entidades importantes, até 7 milhões de euros ou 1,4 por cento, em cada caso o montante mais elevado. Também a falta de registo ou dados incorretos constituem uma contraordenação, tal como a omissão de uma notificação.
É sancionada em primeiro lugar a própria empresa. A lei não prevê uma coima pessoal automática para os gestores. No entanto, as consequências no plano societário, civil e dos seguros devem ser analisadas separadamente, e quem não conseguir documentar o seu dever de supervisão fica em má posição em caso de litígio. Para as entidades essenciais existe ainda um nível de escalonamento nos termos do § 39: se a empresa não cumprir atempadamente uma decisão de correção, a autoridade pode proibir temporariamente os órgãos de gestão de exercerem as suas funções de gestão até que as medidas estejam implementadas. Não se trata de uma proibição geral de exercer a profissão. Ainda assim, recomendo que, neste contexto, analise também o seu seguro D&O e o seu seguro cibernético.
NIS2 na cadeia de abastecimento: o que espera os fornecedores
Muitas empresas mais pequenas não vão sentir a NIS2 através da lei, mas através dos seus clientes. As entidades essenciais e importantes têm de ter em conta, na sua própria gestão de riscos, a segurança da sua cadeia de abastecimento e dos seus prestadores de serviços diretos. Isto não faz automaticamente de um fornecedor uma entidade abrangida pela NISG. Mas surgem para ele obrigações vinculativas através de contratos e concursos.
O grau de exigência depende do risco. Um serviço em nuvem com acesso administrativo é verificado de forma diferente de um fornecedor de material de escritório. Provas típicas são uma descrição do serviço e das suas dependências técnicas, um ponto de contacto para incidentes de segurança, regras de acesso e de autenticação multifator, um processo de correções e vulnerabilidades, um conceito de cópias de segurança e de recuperação testado, um processo de incidentes com informação ao cliente, uma lista dos subcontratados essenciais, bem como relatórios de auditoria ou certificados com o âmbito adequado.
Uma frase como „O contratante cumpre a NIS2“ é demasiado vaga como cláusula contratual. Bons contratos regulam concretamente que medidas de segurança se aplicam, quem informa quem sobre incidentes e em que prazo, que provas são aceites, como decorrem as auditorias e como são tratados os subcontratados e as deficiências. Passámos exatamente por isto com grandes clientes: questionários, testes de intrusão, novos testes. Quem se prepara cedo ganha confiança e, por vezes, também contratos.
O que deve fazer agora em concreto
Verifique e documente se é abrangido: dimensão incluindo empresas associadas, atividades segundo os anexos 1 e 2, casos especiais independentes da dimensão. Registe o resultado por escrito e peça à gerência que o assine.
Se for abrangido, registe-se através do USP até 31 de dezembro de 2026 e designe um ponto de contacto contactável.
Elabore um plano de medidas segundo as dez áreas do § 32, peça à gerência que o aprove e arquive desde o início a prova de cada medida. Este dossiê é a base para a autodeclaração no outono de 2027.
Redija um processo de notificação e escalonamento para 24 e 72 horas e pratique-o. Forme a gerência e a equipa. E reveja os seus principais prestadores de serviços e contratos com clientes quanto a requisitos de segurança.
A minha conclusão
A NIS2 não é um projeto de TI que se entrega ao departamento técnico, mas uma tarefa de liderança com prazos claros. A boa notícia: quem já gere a sua TI de forma organizada tem muito feito e precisa sobretudo de o tornar comprovável. A má: sem documentação, nada disso conta em caso de incidente.
Para começar, recomendo o site https://nis-2-ready.at com a sua breve verificação de abrangência e os seus seis guias. Vinculativas são as fontes primárias no sistema federal austríaco de informação jurídica (RIS). Este artigo é o meu resumo enquanto empresário e não substitui aconselhamento jurídico.
Terei todo o gosto em aconselhá-lo
A minha empresa acabou de implementar a NISG 2026 como entidade essencial: classificação, registo, plano de medidas, processo de notificação e de emergência, formação da gerência e da equipa, provas para a cadeia de abastecimento. Partilho esta experiência com todo o gosto. Se quiser saber se a sua empresa é abrangida ou procura um caminho pragmático para a implementação, terei todo o gosto em aconselhá-lo pessoalmente. Basta escrever-me: https://www.mariokoerbler.com/pt/contato