Estado da NIS 2 na Bulgária
O que a Diretiva exige, como a Bulgária a transpõe, e onde se situa a Agência Estatal de Administração Eletrónica no quadro.
Visão geral
A Diretiva NIS 2 é a camada da UE. Vincula todos os Estados-Membros, incluindo a Bulgária, com um patamar único de cibersegurança para entidades essenciais e importantes. A Bulgária tem de inscrever esse patamar na lei búlgara e gerir um regime de supervisão ao seu abrigo.
A Bulgária transpõe a NIS 2 alterando a sua Lei da Cibersegurança existente (Закон за киберсигурност, ZKS), a mesma lei que sustentava o regime NIS 1. Em junho de 2026, a transposição não está completa. A Comissão Europeia enviou um parecer fundamentado em 7 de maio de 2025 por falta de notificação da transposição completa, o passo anterior a um recurso para o Tribunal de Justiça.
A Agência Estatal de Administração Eletrónica (Държавна агенция Електронно управление, abreviada SEGA ou ДАЕУ) é o ponto de contacto único nacional para a NIS 2. O CSIRT nacional, o CERT Bulgária, opera em govcert.bg. As autoridades competentes setoriais estão repartidas por ministérios: Energia, Saúde, Ambiente e Água, e Transportes, Tecnologias de Informação e Comunicações, mais a Comissão de Supervisão Financeira para o setor financeiro.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança à escala da UE. Estabelece as obrigações que todos os Estados-Membros têm de transpor, incluindo os testes de dimensão e de setor para entidades essenciais e importantes.
Execução da UE
Regulamento de Execução (UE) 2024/2690 da Comissão
Medidas técnicas e metodológicas para prestadores de infraestrutura digital. Diretamente aplicável na Bulgária sem transposição nacional.
Transposição búlgara
Lei da Cibersegurança (Закон за киберсигурност, ZKS), com a redação que transpõe a NIS 2
A Bulgária inscreve a NIS 2 alterando a Lei da Cibersegurança existente, em vez de promulgar um novo diploma. A Comissão confirmou que a transposição está incompleta: foi emitido um parecer fundamentado em 7 de maio de 2025. Até à notificação completa, partes do quadro assentam diretamente na Diretiva e no Regulamento de Execução 2024/2690.
Lei da Cibersegurança alterada (ZKS)
A Bulgária transpõe a NIS 2 alterando a Lei da Cibersegurança (Закон за киберсигурност). A alteração inscreve as categorias de entidade essencial e importante, os poderes de supervisão, os deveres de comunicação de incidentes e as sanções. Em junho de 2026, a Comissão não recebeu a notificação completa da transposição; o texto legal e quaisquer atos de execução devem ser lidos diretamente face à Diretiva até essa lacuna se fechar.
Agência Estatal de Administração Eletrónica como ponto de contacto único
A Agência Estatal de Administração Eletrónica (ДАЕУ / SEGA) atua como ponto de contacto único da NIS 2. As autoridades competentes setoriais situam-se nos ministérios de tutela: Energia (Ministério da Energia), Saúde (Ministério da Saúde), Água potável (Ministério do Ambiente e da Água), Transportes e Infraestrutura Digital (Ministério dos Transportes, Tecnologias de Informação e Comunicações), e Banca e Infraestrutura do Mercado Financeiro (Comissão de Supervisão Financeira).
Registo e comunicação
A Diretiva exigia que as entidades fossem identificáveis pelos Estados-Membros a partir de 17 de abril de 2025. Na Bulgária, o canal de registo corre pela Agência Estatal de Administração Eletrónica como ponto de contacto único; um portal público de registo dedicado, comparável ao MonEspaceNIS2 francês, não está publicamente documentado em inglês ao nível da UE. Os incidentes significativos seguem a cadência da Diretiva: alerta precoce de 24h, notificação de 72h, relatório final de um mês, para o CERT Bulgária e a autoridade setorial pertinente.
A lei local aplica-se dentro da Bulgária
As operações em território búlgaro seguem a transposição búlgara. Um Geschäftsführer alemão que gere uma filial búlgara lê a Lei da Cibersegurança alterada para essa filial, não o BSIG alemão. As obrigações da Diretiva são as mesmas; o procedimento, o ponto de contacto único e as sanções estão na lei búlgara.
A Bulgária não pode descer abaixo do patamar da UE
A Diretiva é um instrumento de harmonização mínima. A Bulgária pode ir mais longe. Não pode descer abaixo da Diretiva nos deveres das entidades essenciais e importantes, nos prazos de comunicação de incidentes ou na responsabilização do órgão de direção. Mesmo onde a transposição está incompleta, as obrigações da Diretiva aplicam-se a partir do prazo de 17 de outubro de 2024, e as entidades não devem esperar pelo texto nacional final antes de se prepararem.
Agência Estatal de Administração Eletrónica (ДАЕУ / SEGA)
Ponto de contacto único nacional para a NIS 2. Coordena com as autoridades competentes setoriais nos ministérios e com a Comissão de Supervisão Financeira. Indicada pela Comissão Europeia com sede em Sófia, contacto NSPOC@e-gov.bg. A divisão exata das tarefas de supervisão entre a SEGA e os ministérios de tutela é definida pela Lei da Cibersegurança e os seus atos de execução.
CERT Bulgária
O CSIRT nacional, a operar em govcert.bg. Indicado pela Comissão Europeia como o CSIRT NIS 2 para a Bulgária. Trata da comunicação de incidentes ao abrigo da Lei da Cibersegurança (Докладване на инцидент по ЗКС) e alimenta a rede de CSIRT da UE.
ENISA
A agência de cibersegurança da UE. Publica orientações, gere a base de dados europeia de vulnerabilidades, e apoia a coordenação transfronteiriça. Não é supervisora das entidades búlgaras; esse papel cabe à Agência Estatal de Administração Eletrónica e aos ministérios setoriais.
A Bulgária vai parecer-se com a Alemanha assim que transpuser.
A Bulgária não promulgou uma lei NIS 2 autónoma ao estilo da NIS2UmsuCG alemã. Altera a Lei da Cibersegurança existente e distribui a competência pelos ministérios de tutela, com a Agência Estatal de Administração Eletrónica como ponto de contacto único. O detalhe processual, os níveis de sanção e o canal de registo seguem a prática administrativa búlgara, não o padrão alemão. Ler o BSIG e assumir uma correspondência ponto a ponto produzirá respostas erradas sobre quem supervisiona e onde apresentar.
Não há portal búlgaro, por isso o registo ainda não se aplica.
A obrigação da Diretiva de ser identificável pelo Estado-Membro a partir de 17 de abril de 2025 aplica-se independentemente de a Bulgária ter publicado um portal web polido. A Agência Estatal de Administração Eletrónica é o ponto de contacto único e pode ser contactada em NSPOC@e-gov.bg. As entidades no âmbito devem documentar o âmbito, os dados de contacto e uma pessoa responsável designada agora, e apresentar pelo canal que a agência operar, mesmo que não seja tão visível como o MonEspaceNIS2 em França.
O nosso regulador setorial é a única autoridade com quem temos de falar.
Os ministérios setoriais detêm a competência para o seu setor, mas a Agência Estatal de Administração Eletrónica continua a ser o ponto de contacto único para a NIS 2 e o CERT Bulgária é o CSIRT nacional para a comunicação de incidentes. Um incidente significativo num setor regulado vai tipicamente para a autoridade setorial e para o CERT Bulgária, não para um ou para o outro. Tratar o ministério setorial como única contraparte arrisca falhar a cadência de comunicação de incidentes e o papel de ponto de contacto único.
A maioria dos operadores que vemos na Bulgária ainda espera por um texto nacional definitivo antes de começar o trabalho. Essa é a sequência errada. As obrigações da Diretiva aplicam-se a partir do prazo de 17 de outubro de 2024; a Comissão já enviou um parecer fundamentado em 7 de maio de 2025. O canal de supervisão e o CSIRT existem hoje, e o dever de aprovação do órgão de direção ao abrigo do artigo 20.o vincula o equivalente ao Geschäftsführer (управител, изпълнителен директор) independentemente de onde a alteração nacional venha a parar.
O movimento prático é o mesmo que em qualquer outro ponto da UE: confirmar o âmbito ao abrigo da Diretiva, contactar a Agência Estatal de Administração Eletrónica como ponto de contacto único, criar as quatro obrigações contínuas (manutenção do registo, comunicação de incidentes, risco da cadeia de abastecimento, supervisão pelo órgão de direção), e documentar o mínimo. Assim que a Lei da Cibersegurança alterada estiver plenamente em vigor, o trabalho já feito transpõe-se; a Diretiva é a constante.
Construímos o registo de obrigações NIS 2 sobre a camada da UE, não sobre qualquer transposição nacional única. A mesma lista de verificação funciona para uma filial búlgara ao abrigo da Lei da Cibersegurança alterada, uma empresa-mãe alemã ao abrigo do BSIG, e uma empresa irmã francesa ao abrigo da Ordonnance n.o 2024-1093. As referências de artigos mudam por locale; as obrigações substantivas não.
Para o âmbito búlgaro, começa com a verificação de aplicabilidade, depois passa à cadência de comunicação de incidentes para o CERT Bulgária, às cláusulas da cadeia de abastecimento e à aprovação pelo órgão de direção. Onde a Agência Estatal de Administração Eletrónica ou um ministério setorial publica orientações, referenciamo-las; não as duplicamos.
- Diretiva (UE) 2022/2555 (NIS 2). EUR-Lex
- Regulamento de Execução (UE) 2024/2690 da Comissão
- Lei da Cibersegurança da Bulgária (Закон за киберсигурност, ZKS), com a redação para a NIS 2
- Comissão Europeia, Estratégia Digital. Página de país NIS 2 para a Bulgária (digital-strategy.ec.europa.eu/en/policies/nis2-directive-bulgaria)
- Parecer fundamentado da Comissão Europeia à Bulgária, 7 de maio de 2025 (falta de notificação da transposição completa da NIS 2)
- Agência Estatal de Administração Eletrónica (Държавна агенция Електронно управление, ДАЕУ / SEGA). Ponto de contacto único nacional
- CERT Bulgária. CSIRT nacional (govcert.bg)