Estado da NIS 2 na Bélgica
O que a diretiva exige, como a Bélgica a transpõe e onde se situa o CCB neste quadro.
Visão geral
A Diretiva NIS 2 é a camada da UE. Vincula todos os Estados-Membros, incluindo a Bélgica, a um único piso de cibersegurança para as entidades essenciais e importantes. A Bélgica tem de inscrever esse piso no direito belga e exercer um regime de supervisão ao abrigo dele.
A Bélgica transpõe a NIS 2 através da Lei de 26 de abril de 2024 que estabelece um enquadramento para a cibersegurança das redes e dos sistemas de informação de interesse geral para a segurança pública. A lei foi publicada no Moniteur belge / Belgisch Staatsblad a 17 de maio de 2024 e entrou em vigor a 18 de outubro de 2024, juntamente com um Decreto Real que preenche o detalhe operacional. A Bélgica é um dos poucos Estados-Membros que cumpriu o prazo da diretiva de 17 de outubro de 2024.
O Centre for Cybersecurity Belgium (CCB) é a autoridade competente principal. O CERT.be opera como um serviço dentro do CCB. O registo faz-se através do portal Safeonweb@work. Os reguladores setoriais mantêm-se no circuito onde já existem: o Banco Nacional da Bélgica (NBB) e a FSMA para as finanças, onde o DORA atua como lex specialis; o BIPT para as comunicações eletrónicas.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança válida em toda a UE. Define as obrigações que cada Estado-Membro tem de transpor, incluindo os testes de dimensão e de setor para as entidades essenciais e importantes.
Execução da UE
Regulamento de Execução (UE) 2024/2690 da Comissão
Medidas técnicas e metodológicas para os prestadores de infraestrutura digital. Diretamente aplicável na Bélgica sem transposição nacional.
Transposição belga
Lei de 26 de abril de 2024 (lei NIS 2)
A transposição belga da NIS 2, publicada no Moniteur belge a 17 de maio de 2024 e em vigor desde 18 de outubro de 2024. O Decreto Real de execução de junho de 2024 e a orientação do CCB preenchem o detalhe operacional. A lei revoga a Lei de 7 de abril de 2019 (a transposição belga da NIS 1).
Lei de 26 de abril de 2024
Leva as obrigações da NIS 2 para o direito belga. Define as entidades essenciais e importantes, os poderes de supervisão do CCB, os deveres de notificação de incidentes e as sanções. A maior parte do detalhe operacional está no Decreto Real de junho de 2024 e na orientação do CCB.
CCB como supervisor, CERT.be como CSIRT
O Centre for Cybersecurity Belgium exerce a supervisão, as auditorias e as sanções. O CERT.be opera dentro do CCB como CSIRT nacional para o tratamento de incidentes. O Safeonweb@work é o portal público para registo e orientação.
Registo e notificação
Os prestadores do setor digital tinham de se registar no Safeonweb@work até 18 de dezembro de 2024. Todas as restantes entidades essenciais e importantes tinham de se registar até 18 de março de 2025. Os incidentes significativos seguem a cadência da diretiva: alerta precoce em 24h, notificação em 72h e relatório final em um mês.
A lei local aplica-se dentro da Bélgica
As operações em território belga seguem a transposição belga. Um gerente alemão que dirige uma filial belga lê a Lei de 26 de abril de 2024 para essa filial, não o BSIG alemão. As obrigações da diretiva são as mesmas; o procedimento, o portal e as sanções vivem na lei belga.
A Bélgica não pode ficar abaixo do piso da UE
A diretiva é um instrumento de harmonização mínima. A Bélgica pode ser mais rigorosa, e na prática fá-lo através do enquadramento CyberFundamentals e do Decreto Real. Não pode ficar abaixo da diretiva nos deveres das entidades essenciais e importantes, nos prazos de notificação de incidentes ou na responsabilidade do órgão de gestão.
CCB
Centre for Cybersecurity Belgium, a autoridade nacional de cibersegurança sob o gabinete do Primeiro-Ministro. Autoridade competente principal para a NIS 2: supervisão, auditorias, sanções e o portal de registo Safeonweb@work. Publica o enquadramento CyberFundamentals, onde uma implementação validada concede uma presunção de conformidade com as medidas de gestão de risco da NIS 2.
CERT.be
A equipa nacional de resposta a incidentes de segurança informática. Opera como um serviço dentro do CCB, e não como uma agência separada. Trata as notificações de incidentes, a coordenação técnica e a cooperação operacional com outros CSIRT da UE.
ENISA
A agência de cibersegurança da UE. Publica orientação, gere a base de dados europeia de vulnerabilidades e apoia a coordenação transfronteiriça. Não é supervisor das entidades belgas; o CCB é.
A Bélgica segue o mesmo calendário que a Alemanha.
A Bélgica cumpriu o prazo de 17 de outubro de 2024. A Lei de 26 de abril de 2024 foi publicada no Moniteur belge a 17 de maio de 2024 e entrou em vigor a 18 de outubro de 2024, com prazos de registo que já passaram em dezembro de 2024 e março de 2025. A Alemanha, em contraste, ainda está a finalizar o seu NIS2UmsuCG. As entidades belgas não podem usar o atraso alemão como cobertura; o seu supervisor está ativo e o registo está em atraso se não foi feito.
Ainda não há um portal de registo funcional.
O Safeonweb@work está ativo e operacional. Os prestadores do setor digital tinham de se registar até 18 de dezembro de 2024; todas as restantes entidades essenciais e importantes até 18 de março de 2025. O registo tardio é uma lacuna de conformidade sobre a qual o CCB pode atuar, e os dados de registo têm de ser mantidos atualizados ao abrigo do Artigo 27.º da diretiva.
Só os setores que já tinham um regulador NIS 1 estão no âmbito.
A NIS 2 alarga o perímetro muito para lá da lista de OES da NIS 1. Os novos setores incluem administrações públicas, indústria transformadora, alimentação, serviços postais e de correio, gestão de resíduos e químicos, entre outros. O teste de dimensão limita-se por norma às médias e grandes empresas, mas as pequenas entidades podem ser captadas quando são prestadores únicos ou quando a lei as acrescenta. A verificação de aplicabilidade tem de ser feita caso a caso.
A Bélgica é o raro país da UE onde a NIS 2 é operacional, não teórica. O CCB tem pessoal, o portal de registo funciona, o Decreto Real está em vigor, e o enquadramento CyberFundamentals dá às entidades um caminho de implementação concreto com uma presunção de conformidade incorporada. Os operadores belgas que ainda não se registaram não estão à frente da curva, estão atrás dela.
O passo prático é o mesmo de toda a UE: confirmar o âmbito ao abrigo da diretiva, registar-se no Safeonweb@work, estabelecer as quatro obrigações contínuas (manutenção do registo, notificação de incidentes, risco da cadeia de abastecimento, supervisão pelo órgão de gestão) e documentar o mínimo. O enquadramento CyFun ajuda com os controlos substantivos, mas não substitui o registo de obrigações NIS 2.
Construímos o registo de obrigações NIS 2 sobre a camada da UE, não sobre qualquer transposição nacional isolada. A mesma lista de verificação serve uma filial belga que usa a Lei de 26 de abril de 2024, uma casa-mãe alemã que usa o BSIG e uma irmã neerlandesa que usa a Cyberbeveiligingswet. As referências de artigos mudam por localidade; as obrigações substantivas não.
Para o âmbito belga, começa com a verificação de aplicabilidade, depois avança para o registo no Safeonweb@work, a cadência de notificação de incidentes, as cláusulas de cadeia de abastecimento e a validação do órgão de gestão. Onde o CCB publica orientação CyFun, referenciamo-la; não a duplicamos.
- Diretiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regulamento de Execução (UE) 2024/2690 da Comissão
- Lei de 26 de abril de 2024 que estabelece um enquadramento para a cibersegurança das redes e dos sistemas de informação de interesse geral para a segurança pública, Moniteur belge / Belgisch Staatsblad, 17 de maio de 2024
- Decreto Real de junho de 2024 que executa a lei NIS 2, Moniteur belge / Belgisch Staatsblad
- Centre for Cybersecurity Belgium (CCB), ccb.belgium.be
- Safeonweb@work, atwork.safeonweb.be (portal de registo NIS 2)
- CERT.be, CSIRT nacional, a operar dentro do CCB
- Enquadramento CyberFundamentals (CyFun), CCB