Estado da NIS 2 em Chipre
O que a diretiva exige, como Chipre a está a transpor, e onde se encaixa a DSA.
Visão geral
A Diretiva NIS 2 é a camada da UE. Vincula todos os Estados-Membros, incluindo Chipre, a um nível mínimo uniforme para entidades essenciais e importantes. Chipre tem de elevar esse piso para a lei cipriota e supervisioná-lo ao seu abrigo.
Chipre não transpôs a NIS 2 até ao prazo de 17 de outubro de 2024. A Comissão Europeia enviou a Chipre um parecer fundamentado em 7 de maio de 2025 por não notificação da transposição completa. As fontes cipriotas apontam para a lei de alteração 60(I)/2025, que atualiza a Lei preexistente sobre a Segurança das Redes e dos Sistemas de Informação 89(I)/2020. Os leitores devem verificar a referência exata do jornal oficial face ao Jornal Oficial de Chipre antes de se basearem nela para uma apresentação.
A Autoridade de Segurança Digital (DSA, Αρχή Ψηφιακής Ασφάλειας) é a autoridade competente. O CSIRT-CY nacional opera a seu lado. A mecânica de registo e as orientações setoriais ainda estão a ser publicadas, e os detalhes sobre o registo de entidades não estavam finalizados nos materiais públicos da DSA que analisámos.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança de âmbito europeu. Fixa as obrigações que cada Estado-Membro tem de transpor, incluindo o teste de dimensão e de setor para entidades essenciais e importantes.
Ato de execução da UE
Regulamento de Execução (UE) 2024/2690 da Comissão
Medidas técnicas e metodológicas para os fornecedores de infraestruturas digitais. Diretamente aplicável em Chipre, sem transposição cipriota necessária.
Transposição cipriota
Lei 89(I)/2020 sobre a Segurança das Redes e dos Sistemas de Informação, conforme alterada pela Lei 60(I)/2025
O quadro cipriota da NIS 2. A lei de 2020 transpôs originalmente a NIS 1. As fontes públicas indicam que foi alterada em 2025 para trazer as obrigações da NIS 2 para a lei cipriota. A Comissão ainda considerava a transposição incompleta à data de 7 de maio de 2025, pelo que se espera que se sigam medidas secundárias e orientações da DSA.
Lei 89(I)/2020 conforme alterada
A Lei cipriota de 2020 sobre a Segurança das Redes e dos Sistemas de Informação é o estatuto de suporte. As referências públicas indicam que uma lei de alteração de 2025 (60(I)/2025) está a ser usada para trazer as obrigações da NIS 2 para a lei cipriota. O texto exato, as definições de entidades essenciais e importantes, os poderes de supervisão da DSA, os prazos de notificação e as penalizações devem ser verificados face ao Jornal Oficial de Chipre antes de qualquer apresentação.
DSA como autoridade competente
A Autoridade de Segurança Digital (DSA) atua como autoridade competente cipriota em matéria de cibersegurança e está nomeada na página de país da NIS 2 da Comissão Europeia. O CSIRT-CY opera como CSIRT nacional e está co-localizado com a DSA. Os reguladores setoriais mantêm os seus papéis quando se aplica a lex specialis, em particular para o setor financeiro ao abrigo da DORA.
Os prazos da UE continuam a aplicar-se
Chipre falhou o prazo de transposição de 17 de outubro de 2024. Assim que a lei cipriota acompanhar, o calendário da diretiva transita: identificação das entidades em conformidade com o Artigo 27 NIS 2, alerta precoce no prazo de 24 horas, notificação de incidente no prazo de 72 horas e relatório final no prazo de um mês. Enquanto as regras cipriotas não estiverem plenamente em vigor, as obrigações ao nível da diretiva continuam a ser a referência.
Em Chipre, aplica-se a lei cipriota
As atividades em território cipriota seguem a transposição cipriota. Uma empresa-mãe alemã com uma filial cipriota lê a Lei 89(I)/2020 (conforme alterada) para essa filial, não o BSIG. As obrigações ao nível da diretiva são as mesmas. O procedimento, o canal de registo e as penalizações residem na lei cipriota.
Chipre não pode descer abaixo do piso da UE
A diretiva é uma harmonização mínima. Chipre está autorizado a ir mais longe. Chipre não está autorizado a descer abaixo da diretiva, nem quanto às obrigações das entidades essenciais e importantes, nem quanto aos prazos de notificação, nem quanto à responsabilização do órgão de direção. Um parecer fundamentado da Comissão apenas reforça esse ponto.
DSA
A Autoridade de Segurança Digital é a autoridade competente cipriota para a NIS 2 e o contacto nomeado na página de país da Comissão Europeia. Situa-se administrativamente próxima do Gabinete do Comissário das Comunicações Eletrónicas e da Regulação Postal. Os detalhes operacionais sobre o registo não estavam finalizados nos materiais que analisámos.
CSIRT-CY
O CSIRT nacional cipriota. Co-localizado com a DSA em Nicósia. Atua como ponto de contacto técnico para a notificação de incidentes e a coordenação transfronteiriça.
ENISA
A agência de cibersegurança da UE. Publica orientações, gere a base de dados europeia de vulnerabilidades e coordena ao nível transfronteiriço. Não é um supervisor das entidades cipriotas. Esse papel cabe à DSA.
Chipre está na UE, por isso podemos simplesmente aplicar as regras do BSIG alemão às nossas operações cipriotas.
As obrigações ao nível da diretiva são idênticas, mas o estatuto de suporte, a autoridade competente, o canal de registo e o regime de penalizações são cipriotas. Uma filial cipriota notifica a DSA e o CSIRT-CY, não o BSI. A política interna do grupo pode ser comum, as apresentações não.
Chipre não transpôs a NIS 2, por isso não temos nada a fazer até a lei estar finalizada.
A diretiva é o piso, e o calendário de incidentes de 24 horas, 72 horas e um mês aplica-se como obrigação da UE independentemente do ponto em que Chipre se encontra no ciclo de transposição. O parecer fundamentado da Comissão de 7 de maio de 2025 aumenta a pressão sobre os operadores cipriotas, não a margem. Construa já o registo de obrigações face à diretiva e encaixe as especificidades cipriotas à medida que forem publicadas.
Não somos um operador cipriota de infraestruturas críticas, por isso a NIS 2 não se nos aplica em Chipre.
O âmbito da NIS 2 em Chipre é definido pelos Anexos I e II da diretiva mais o teste de dimensão, não pela antiga lista cipriota de infraestruturas críticas. Muitos fornecedores de média dimensão em serviços digitais, serviços geridos, indústria e gestão de resíduos acabam no âmbito, embora nunca tenham constado de um registo cipriota de infraestruturas críticas. Verifique a aplicabilidade face à diretiva.
A maioria dos operadores cipriotas que vemos ainda trata a NIS 2 como um futuro problema de lei cipriota. Isto está meio certo. O estatuto de suporte avança devagar. As obrigações da diretiva não. Os órgãos de direção em Chipre são responsáveis pela aprovação da gestão de riscos e pela sua própria formação no momento em que a lei cipriota entrar plenamente em vigor, e argumentavelmente já hoje através da diretiva que está por detrás de uma transposição atrasada.
O passo prático é o mesmo que em toda a UE: verificar a aplicabilidade face à diretiva, preparar-se para registar assim que o mecanismo cipriota for publicado, instituir as quatro obrigações contínuas (manter os dados de registo atualizados, notificação de incidentes, risco da cadeia de fornecimento, supervisão pelo órgão de direção), e documentar o mínimo. A DSA e o CSIRT-CY são os pontos de contacto já existentes.
Construímos o registo de obrigações da NIS 2 ao nível da UE, não sobre uma transposição nacional isolada. A mesma lista de verificação serve uma filial cipriota ao abrigo da Lei 89(I)/2020 conforme alterada, uma empresa-mãe alemã ao abrigo do BSIG e uma empresa irmã neerlandesa ao abrigo da Cyberbeveiligingswet. As referências de artigos mudam por país, as obrigações substantivas não.
Para o âmbito cipriota, comece pela aplicabilidade, depois o calendário de incidentes, as cláusulas da cadeia de fornecimento e a aprovação pelo órgão de direção. Onde a DSA publica orientações setoriais, iremos ligar a elas. Não as iremos copiar.
- Diretiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regulamento de Execução (UE) 2024/2690 da Comissão
- Comissão Europeia, página de país da Diretiva NIS 2 para Chipre, digital-strategy.ec.europa.eu
- Lei 89(I)/2020 sobre a Segurança das Redes e dos Sistemas de Informação, conforme alterada (alegadamente pela Lei 60(I)/2025), Jornal Oficial de Chipre
- Autoridade de Segurança Digital (DSA), Αρχή Ψηφιακής Ασφάλειας, dsa.gov.cy
- CSIRT-CY, csirt.cy
- Parecer fundamentado da Comissão de 7 de maio de 2025 sobre a não notificação da transposição da NIS 2 por Chipre