Estado da NIS 2 na Estónia
O que a diretiva exige, como a Estónia a transpõe através da Lei de Cibersegurança e onde se situa a RIA neste quadro.
Visão geral
A Diretiva NIS 2 é a camada da UE. Vincula todos os Estados-Membros, incluindo a Estónia, a um único piso de cibersegurança para as entidades essenciais e importantes. A Estónia tem de inscrever esse piso no direito estónio e exercer um regime de supervisão ao abrigo dele.
A Estónia transpôs a NIS 2 através de alterações à Küberturvalisuse seadus (Lei de Cibersegurança) existente, em vez de uma lei totalmente nova. As alterações foram aprovadas pelo Riigikogu em dezembro de 2025 e entraram em vigor a 1 de janeiro de 2026. O prazo de transposição da UE de 17 de outubro de 2024 foi falhado, razão pela qual a Comissão Europeia enviou à Estónia um parecer fundamentado em maio de 2025.
A Autoridade do Sistema de Informação (Riigi Infosüsteemi Amet, RIA) é a autoridade nacional competente e o ponto de contacto único. O CERT-EE, o CSIRT nacional da Estónia, opera dentro da RIA. O autorregisto faz-se através da RIA, com relatos a indicar uma janela inicial de autorregisto a decorrer até à primavera de 2026.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança válida em toda a UE. Define as obrigações que cada Estado-Membro tem de transpor, incluindo os testes de dimensão e de setor para as entidades essenciais e importantes.
Execução da UE
Regulamento de Execução (UE) 2024/2690 da Comissão
Medidas técnicas e metodológicas para os prestadores de infraestrutura digital. Diretamente aplicável na Estónia sem transposição nacional.
Transposição estónia
Küberturvalisuse seadus, alterações NIS 2 em vigor desde 1 de janeiro de 2026
A transposição estónia da NIS 2 é um pacote de alterações à Lei de Cibersegurança existente, complementado por regulamentos de execução e orientação da RIA. As alterações alargam o perímetro regulado de cerca de 3.500 para um grupo substancialmente maior de entidades nos setores da energia, transportes, saúde, infraestrutura digital e administração pública.
Küberturvalisuse seadus, alterada para a NIS 2
A Estónia não redigiu uma nova lei de cibersegurança. A Lei de Cibersegurança existente foi alterada para levar as obrigações da NIS 2: as categorias de entidades essenciais e importantes, os poderes de supervisão da RIA, os deveres de notificação de incidentes e as sanções. O detalhe operacional é preenchido por regulamentos de execução e orientação da RIA.
RIA como autoridade competente, CERT-EE como CSIRT
A RIA (Riigi Infosüsteemi Amet, a Autoridade do Sistema de Informação) é a autoridade nacional competente e o ponto de contacto único ao abrigo da NIS 2. O CERT-EE, o CSIRT nacional, está dentro da RIA e trata do tratamento e da coordenação de incidentes. Os reguladores setoriais conservam os seus papéis existentes onde se aplica lex specialis.
Registo e notificação
As alterações à Lei de Cibersegurança entraram em vigor a 1 de janeiro de 2026. Os relatos indicam uma janela inicial de autorregisto de cerca de três meses a partir dessa data para as entidades que caem no âmbito alargado; as empresas devem confirmar a janela exata na orientação atual da RIA. Os incidentes significativos seguem a cadência da diretiva: alerta precoce de 24 horas, notificação de 72 horas e relatório final de um mês.
A lei local aplica-se dentro da Estónia
As operações em território estónio seguem a transposição estónia. Um Geschäftsführer alemão que dirige uma filial estónia lê a Küberturvalisuse seadus para essa filial, não o BSIG alemão. As obrigações da diretiva são as mesmas; o procedimento, o portal e as sanções vivem na lei estónia e são supervisionados pela RIA.
A Estónia não pode ficar abaixo do piso da UE
A diretiva é um instrumento de harmonização mínima. A Estónia pode ser mais rigorosa, e historicamente fê-lo em setores selecionados dada a sua postura de governo digital. Não pode ficar abaixo da diretiva nos deveres das entidades essenciais e importantes, nos prazos de notificação de incidentes ou na responsabilidade do órgão de gestão.
RIA
Riigi Infosüsteemi Amet, a Autoridade do Sistema de Informação. Autoridade nacional competente, ponto de contacto único e regulador de cibersegurança ao abrigo da NIS 2. Opera o centro nacional de cibersegurança, emite orientação, exerce a supervisão e coordena a resposta a incidentes através do CERT-EE.
CERT-EE
O CSIRT nacional estónio, organicamente parte da RIA. Recebe notificações de incidentes, coordena a resposta no setor público e entre os operadores de infraestrutura crítica, e liga-se à rede de CSIRT da UE.
ENISA
A agência de cibersegurança da UE. Publica orientação, gere a base de dados europeia de vulnerabilidades e apoia a coordenação transfronteiriça. Não é supervisor das entidades estónias; a RIA é.
A Estónia está na UE, por isso o NIS2UmsuCG alemão também se aplica aqui.
Cada Estado-Membro transpõe a diretiva para a sua própria lei. Uma filial estónia segue a Küberturvalisuse seadus, supervisionada pela RIA, mesmo que a casa-mãe esteja na Alemanha. As notificações vão através do CERT-EE, não através do BSI alemão. As obrigações substantivas estão alinhadas ao nível da diretiva, mas o procedimento e o supervisor são estónios.
Não há registo NIS 2 público na Estónia, por isso podemos esperar.
As alterações à Lei de Cibersegurança exigem que as entidades no âmbito se autorregistem junto da RIA após a entrada em vigor a 1 de janeiro de 2026. Se um registo público é ou não visível para terceiros é uma questão separada; o dever de registo aplica-se assim que uma entidade cumpre o teste de dimensão e de setor. Esperar até a fiscalização ser visível é o erro mais comum.
Não estamos num setor crítico, por isso a NIS 2 não se aplica.
O perímetro da NIS 2 é mais amplo do que a antiga lista de OES da NIS 1. Setores como a gestão de resíduos, os serviços postais e de correio, o fabrico de certos produtos, a produção de alimentos e os prestadores digitais estão agora no âmbito ao abrigo do Anexo II se o teste de dimensão for cumprido. As administrações públicas e certos prestadores digitais estão no âmbito independentemente da dimensão. A verificação tem de ser feita contra o anexo setorial da diretiva, não contra a perceção da entidade de ser crítica.
A Estónia entrou na NIS 2 a partir de uma elevada linha de base de governo digital. A RIA já operava o centro nacional de cibersegurança, o CERT-EE já estava operacional, e a Lei de Cibersegurança já existia. O passo da NIS 2 não foi uma nova arquitetura, foi um âmbito mais amplo e uma governação mais apertada: mais setores no âmbito, responsabilidade do órgão de gestão formalizada, e prazos de notificação de incidentes alinhados com a diretiva.
O passo prático é o mesmo de toda a UE: confirmar o âmbito ao abrigo da diretiva, autorregistar-se junto da RIA, estabelecer as quatro obrigações contínuas (manutenção do registo, notificação de incidentes, risco da cadeia de abastecimento, supervisão pelo órgão de gestão) e documentar o mínimo. A linha de base estónia ajuda na maturidade técnica, mas não substitui o registo de obrigações NIS 2.
Construímos o registo de obrigações NIS 2 sobre a camada da UE, não sobre qualquer transposição nacional isolada. A mesma lista de verificação serve uma entidade estónia ao abrigo da Küberturvalisuse seadus, uma casa-mãe alemã ao abrigo do BSIG e uma irmã francesa ao abrigo da Ordonnance n° 2024-1093. As referências de artigos mudam por localidade; as obrigações substantivas não.
Para o âmbito estónio, começa com a verificação de aplicabilidade, depois avança para o autorregisto junto da RIA, a cadência de notificação de incidentes para o CERT-EE, as cláusulas de cadeia de abastecimento e a validação do órgão de gestão. Onde a RIA publica orientação setorial, referenciamo-la; não a duplicamos.
- Diretiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regulamento de Execução (UE) 2024/2690 da Comissão
- Küberturvalisuse seadus (Lei de Cibersegurança), Riigi Teataja
- Comissão Europeia, rastreador de transposição da Diretiva NIS 2, Estónia (digital-strategy.ec.europa.eu)
- RIA, Riigi Infosüsteemi Amet, sítio oficial (ria.ee)
- CERT-EE, CSIRT nacional estónio, dentro da RIA
- Comunicados do Riigikogu sobre o projeto de lei de transposição da NIS 2