Estado da NIS 2 na República Checa
O que a diretiva exige, como a República Checa a transpõe, e onde se situa o NÚKIB no quadro.
Visão geral
A diretiva NIS 2 é a camada da UE. Vincula todos os Estados-Membros, incluindo a República Checa, a um piso único de cibersegurança para entidades essenciais e importantes. A República Checa tem de transpor esse piso para a lei checa e operar um regime de supervisão ao seu abrigo.
A República Checa transpõe a NIS 2 através da Lei n.o 264/2025 Sb., a nova Lei sobre Cibersegurança (Zákon o kybernetické bezpečnosti), adotada em 11 de junho de 2025, publicada na Coletânea de Leis (Sbírka zákonů) em 4 de agosto de 2025, e em vigor a partir de 1 de novembro de 2025. Substitui a anterior Lei n.o 181/2014 Sb. e alarga substancialmente o âmbito das entidades e serviços regulados.
O NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost) é o supervisor principal e gere o portal nacional de registo. As entidades reguladas autoidentificam-se e registam-se através do portal do NÚKIB, com a janela de registo inicial a fechar em 31 de dezembro de 2025. O GovCERT.CZ situa-se dentro do NÚKIB; o CSIRT.CZ é operado pela associação CZ.NIC.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança de âmbito europeu. Fixa as obrigações que cada Estado-Membro tem de transpor, incluindo os testes de dimensão e de setor para entidades essenciais e importantes.
Execução da UE
Regulamento de Execução (UE) 2024/2690 da Comissão
Medidas técnicas e metodológicas para os fornecedores de infraestruturas digitais. Diretamente aplicável na República Checa sem transposição nacional.
Transposição checa
Lei n.o 264/2025 Sb., sobre Cibersegurança (Zákon o kybernetické bezpečnosti)
A nova Lei NIS 2 checa. Adotada em 11 de junho de 2025, publicada em 4 de agosto de 2025, em vigor a partir de 1 de novembro de 2025. Substitui a Lei n.o 181/2014 Sb. Os decretos de execução (vyhlášky) do NÚKIB preenchem o detalhe operacional.
Lei n.o 264/2025 Sb.
Leva as obrigações da NIS 2 para a lei checa. Estabelece o regime de dois níveis de serviços regulados de maior e de menor relevância (poskytovatel regulované služby), os poderes de supervisão do NÚKIB, os deveres de notificação de incidentes e sanções até 250 milhões de CZK. Substitui a Lei n.o 181/2014 Sb. em 1 de novembro de 2025.
NÚKIB como supervisor central
O NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost), com sede em Brno, gere a supervisão, as auditorias e as sanções, opera o GovCERT.CZ como CSIRT governamental, e administra o portal de registo. O CSIRT.CZ é operado em separado pela associação CZ.NIC.
Registo e notificação
As entidades que prestam um serviço regulado tinham de se autoidentificar e registar através do portal do NÚKIB até 31 de dezembro de 2025. Estima-se que estejam no âmbito cerca de 6.000 a 8.000 organizações. Os incidentes significativos seguem a cadência da diretiva de alerta precoce em 24h, notificação em 72h e relatório final em um mês.
A lei local aplica-se dentro da República Checa
As operações em território checo seguem a Lei n.o 264/2025 Sb. Um Geschäftsführer alemão que gere uma filial checa lê a lei checa para essa filial, não o BSIG alemão. As obrigações da diretiva são as mesmas; o procedimento, o portal e as sanções residem na lei checa.
A República Checa não pode descer abaixo do piso da UE
A diretiva é um instrumento de harmonização mínima. A República Checa pode ir mais longe, e historicamente fê-lo através do regime de cibersegurança de 2014 que já excedia a NIS 1 em alguns pontos. Não pode descer abaixo da diretiva quanto aos deveres das entidades essenciais e importantes, aos prazos de notificação de incidentes ou à responsabilização do órgão de direção.
NÚKIB
Autoridade competente principal e supervisor. Opera o GovCERT.CZ como CSIRT governamental, administra o portal de registo, emite decretos de execução (vyhlášky) e orientações, conduz auditorias e impõe sanções. Detém a memória institucional do regime de cibersegurança de 2014, que agora alimenta a supervisão da NIS 2.
Autoridades setoriais
O NÚKIB consolida a supervisão, mas os reguladores setoriais mantêm-se relevantes quando se aplica a lex specialis. O ČNB (Banco Nacional Checo) supervisiona as entidades financeiras ao abrigo da DORA. O ERÚ (Gabinete Regulador da Energia) e o ČTÚ (Gabinete Checo das Telecomunicações) mantêm a sua competência setorial. O CSIRT.CZ, operado pela CZ.NIC, mantém-se como CSIRT do domínio .cz e apoia o setor digital.
ENISA
A agência de cibersegurança da UE. Publica orientações, gere a base de dados europeia de vulnerabilidades, e apoia a coordenação transfronteiriça. Não é um supervisor das entidades checas; o NÚKIB é.
A nossa empresa-mãe alemã está registada ao abrigo do BSIG, por isso a entidade checa está coberta.
A diretiva é um único piso, mas o procedimento é nacional. Uma filial checa que presta um serviço regulado dentro da República Checa regista-se ao abrigo da Lei n.o 264/2025 Sb. através do portal do NÚKIB. O registo alemão ao abrigo do BSIG não substitui. A estrutura do grupo não desloca a competência; o lugar de estabelecimento do serviço é que conta.
Não estávamos no registo da antiga Lei 181/2014, por isso não somos afetados.
A Lei n.o 264/2025 Sb. usa a autoidentificação. As anteriores listas KII / VIS do regime de 2014 não transitam um a um. Cada entidade tem de se testar face aos novos critérios de setor e de dimensão, e face à lista de cerca de 60 serviços regulados em 18 setores. Muitas entidades fora do antigo registo estão dentro do novo.
A NIS 2 é apenas para energia, telecomunicações e bancos. A indústria ou os resíduos ficam de fora.
A lei checa reflete os dois anexos da diretiva. As entidades importantes incluem o fabrico de certos produtos, a produção e distribuição de alimentos, a gestão de resíduos, os serviços postais, a produção química e os fornecedores digitais. As empresas de média dimensão nestes setores são abrangidas por defeito. As listas setoriais têm de ser lidas face aos Anexos I e II da diretiva, não face à intuição.
A maioria dos operadores checos do mercado médio que vemos tratam a NIS 2 como uma extensão do antigo regime da Lei 181/2014 Sb. Está meio certo. O NÚKIB continua a gerir a supervisão e o canal de incidentes, mas o âmbito é muito mais amplo, o modelo de dois níveis de maior e menor relevância altera as obrigações por serviço, e o órgão estatutário (jednatel ou představenstvo) tem responsabilidade explícita pela aprovação da gestão de riscos e pela formação.
O passo prático é o mesmo que em toda a UE: confirmar o âmbito ao abrigo da diretiva, autoidentificar-se face à lista de serviços regulados, registar-se através do portal do NÚKIB, instituir as quatro obrigações contínuas (manutenção do registo, notificação de incidentes, risco da cadeia de fornecimento, supervisão pelo órgão de direção), e documentar o mínimo. A documentação de 2014 ajuda, mas não substitui o registo de obrigações da NIS 2.
Construímos o registo de obrigações da NIS 2 sobre a camada da UE, não sobre uma transposição nacional isolada. A mesma lista de verificação serve para uma filial checa que usa a Lei n.o 264/2025 Sb., uma empresa-mãe alemã que usa o BSIG, e uma empresa irmã francesa que usa a Ordonnance n.o 2024-1093. As referências de artigos mudam por localidade; as obrigações substantivas não.
Para o âmbito checo começa pela verificação de aplicabilidade, depois passa à cadência de notificação de incidentes, às cláusulas da cadeia de fornecimento e à aprovação pelo órgão de direção. Onde o NÚKIB publica vyhlášky e orientações setoriais, fazemos a referência; não as duplicamos.
- Diretiva (UE) 2022/2555 (NIS 2). EUR-Lex
- Regulamento de Execução (UE) 2024/2690 da Comissão
- Lei n.o 264/2025 Sb., sobre Cibersegurança. Sbírka zákonů (4 de agosto de 2025)
- Lei n.o 181/2014 Sb. sobre Cibersegurança. Quadro anterior
- NÚKIB. Národní úřad pro kybernetickou a informační bezpečnost (Brno), sítio oficial nukib.gov.cz
- GovCERT.CZ. CSIRT governamental, operado pelo NÚKIB
- CSIRT.CZ. CSIRT nacional para a comunidade da internet .cz, operado pela CZ.NIC
- Banco Nacional Checo (ČNB). Autoridade competente em matéria de DORA para o setor financeiro
- Comissão Europeia, registo de transposição da NIS 2. República Checa