Estado da NIS 2 na Áustria
A Áustria transpõe a Diretiva NIS 2 através de uma alteração à Lei de Segurança de Redes e Sistemas de Informação (NISG). A camada da UE aplica-se em paralelo e é a ela que as suas obrigações remetem em última instância.
O que muda na Áustria
O ponto de partida é europeu. A Diretiva (UE) 2022/2555 (NIS 2) define as obrigações. O Regulamento de Execução (UE) 2024/2690 da Comissão torna os requisitos técnicos e metodológicos para a infraestrutura digital, a gestão de serviços de TIC e os prestadores digitais diretamente aplicáveis em todos os Estados-Membros, sem transposição nacional.
A Áustria implementa a diretiva alterando a sua Lei de Segurança de Redes e Sistemas de Informação existente (Netz- und Informationssystemsicherheitsgesetz, NISG). O NISG original (BGBl I Nr. 111/2018) transpôs a NIS 1. A versão alterada é o veículo para a NIS 2.
Tal como a maioria dos Estados-Membros da UE, a Áustria não cumpriu o prazo de transposição de 17 de outubro de 2024. O processo legislativo da alteração ao NISG está em curso. Até a versão alterada do NISG entrar em vigor, a própria diretiva e o regulamento de execução já moldam aquilo que os supervisores e auditores analisam.
Diretiva da UE
Os Estados-Membros adotam e publicam, até 17 de outubro de 2024, as medidas necessárias para dar cumprimento à presente diretiva.
Diretiva (UE) 2022/2555, Artigo 41.º. A diretiva define o âmbito, os deveres de governação, as medidas de gestão de risco e a notificação de incidentes. Os Estados-Membros tinham de transpor até 17 de outubro de 2024.
Regulamento de execução da UE
O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros.
Regulamento de Execução (UE) 2024/2690 da Comissão, de 17 de outubro de 2024. Define os requisitos técnicos e metodológicos para os tipos de entidade listados no Anexo I ponto 8 (infraestrutura digital), ponto 6 (gestão de serviços de TIC, B2B) e no Anexo II ponto 6 (prestadores digitais). Aplica-se diretamente sem transposição austríaca.
Transposição austríaca
Bundesgesetz, mit dem ein Netz- und Informationssystemsicherheitsgesetz erlassen wird (NISG).
A Áustria transpõe a diretiva alterando o NISG existente. O NISG original (BGBl I Nr. 111/2018) transpôs a NIS 1. O NISG alterado leva as obrigações da NIS 2 para o direito austríaco.
NISG alterado
A alteração ao NISG traduz a diretiva para o direito austríaco. Define as categorias de entidades, os poderes de supervisão, as obrigações de registo, as coimas e a relação com as leis setoriais específicas.
Bundesministerium für Inneres (BMI)
Ao abrigo do NISG existente, o Ministério Federal do Interior é a autoridade central de supervisão dos operadores de serviços essenciais. O NISG alterado mantém este papel para as entidades essenciais e importantes. As autoridades setoriais específicas, como a E-Control (energia) e a FMA (mercado financeiro), conservam os seus papéis.
Prazo da UE já ultrapassado
O prazo da diretiva foi 17 de outubro de 2024. A alteração austríaca está no processo legislativo. Assim que o NISG alterado entrar em vigor, começam a correr as janelas de registo e as obrigações de notificação. O regulamento de execução da UE já se aplica diretamente aos tipos de entidade no âmbito.
O detalhe local segue o mínimo da UE
A diretiva é um piso. A Áustria pode ser mais rigorosa, mas não pode ser mais branda. Se o NISG alterado for omisso quanto a algo que a diretiva exige, a diretiva continua a reger a interpretação. O regulamento de execução aplica-se independentemente do texto nacional.
As leis setoriais mantêm-se em vigor
Os regimes setoriais de finanças, energia e telecomunicações continuam a aplicar-se. As entidades financeiras seguem o DORA (Regulamento (UE) 2022/2554) como lex specialis para a gestão de risco e a notificação de incidentes, mas mantêm-se no âmbito das obrigações de registo do Artigo 27.º NIS 2 através do mecanismo do seu Estado-Membro.
Bundesministerium für Inneres
O Ministério Federal do Interior é o supervisor NIS central. Regista as entidades, exerce poderes de supervisão, emite instruções e aplica coimas. Ao abrigo do NISG existente, este papel coube ao BMI; o NISG alterado mantém a função central de supervisão no BMI.
GovCERT.AT e CERT.at
A Áustria opera dois CSIRT nacionais. O GovCERT.AT, alojado na Chancelaria Federal, serve o setor público. O CERT.at, operado pela nic.at, serve o setor privado e a comunidade geral da internet. Em conjunto, cobrem as funções de CSIRT nacional exigidas pela diretiva.
ENISA
A Agência da União Europeia para a Cibersegurança não supervisiona. Publica orientação, o Índice de Cibersegurança da UE e os mapeamentos técnicos entre a NIS 2 e a ISO 27001, o NIST CSF 2.0 e outros enquadramentos. Os supervisores e auditores austríacos usam o material da ENISA como referência.
O antigo NISG ainda se aplica, por isso nada muda
O NISG original cobre apenas a NIS 1. A NIS 2 alarga drasticamente o âmbito: 18 setores, âmbito baseado na dimensão, obrigações de registo, deveres de governação para a gestão. Mesmo antes de o NISG alterado estar em vigor, os tipos de entidade no âmbito do regulamento de execução já enfrentam regras diretamente aplicáveis.
Só as grandes empresas estão no âmbito
A diretiva fixa o piso nas entidades de média dimensão ao abrigo da Recomendação 2003/361/CE (50 ou mais trabalhadores, ou mais de 10 milhões de euros de volume de negócios e de total do balanço) nos setores listados. As regras de exclusão do limiar de dimensão no Artigo 2.º captam entidades mais pequenas em casos específicos (prestadores únicos, criticidade, administração pública). A Áustria pode ser mais rigorosa do que este piso, não mais branda.
Só os operadores de infraestrutura crítica são afetados
O modelo NIS 1 da Áustria centrava-se nos operadores de serviços essenciais e nos prestadores de serviços digitais. A NIS 2 substitui isso por entidades essenciais e entidades importantes em 18 setores. Uma empresa de gestão de resíduos de média dimensão, um fabricante de dispositivos médicos ou uma empresa de produção de alimentos pode estar no âmbito sem nunca ter sido rotulada como infraestrutura crítica.
A maioria dos pequenos e médios operadores austríacos faz a mesma primeira pergunta: o NISG alterado já está em vigor? A resposta honesta em meados de 2026 é que o processo legislativo está em curso e o prazo da UE já passou. Isso não suspende o seu trabalho. A diretiva e o regulamento de execução definem a substância. Quando o NISG alterado chegar, confirma a mecânica de supervisão.
Trate o conjunto de obrigações da NIS 2 como o seu documento de referência. Faça a verificação de aplicabilidade contra os Anexos I e II da diretiva mais os limiares de dimensão, não contra a antiga lista de serviços essenciais do NISG. Quando o NISG alterado entrar em vigor, começa a correr a janela de registo; as empresas que já mapearam o âmbito e os ativos estão prontas no primeiro dia.
A nossa verificação de aplicabilidade usa a diretiva e o regulamento de execução como fontes primárias. A camada austríaca é acrescentada onde importa: o NISG, o BMI como supervisor, os contactos de CSIRT. A plataforma não depende de o NISG alterado estar em vigor para produzir um registo de obrigações funcional.
O fluxo de conformidade (ativos, riscos, fornecedores, incidentes, formação, validações) é o mesmo em todos os Estados-Membros. As regras específicas de cada país surgem como perguntas e referências adicionais, nunca como um fluxo de trabalho separado.
- Diretiva (UE) 2022/2555, de 14 de dezembro de 2022 (Diretiva NIS 2)
- Regulamento de Execução (UE) 2024/2690 da Comissão, de 17 de outubro de 2024
- Netz- und Informationssystemsicherheitsgesetz (NISG), BGBl I Nr. 111/2018 (transposição original da NIS 1)
- Parlamento austríaco: página do processo legislativo da alteração ao NISG (parlament.gv.at)
- Bundesministerium für Inneres (BMI), nis.gv.at
- GovCERT.AT (govcert.gv.at) e CERT.at (cert.at)
- Orientação de implementação NIS 2 e mapeamentos de referência da ENISA