Estado da NIS 2 na Finlândia
O que a diretiva exige, como a Finlândia a implementa e onde se situam a Traficom e o NCSC-FI neste quadro.
Visão geral
A Diretiva NIS 2 é a camada da UE. Vincula todos os Estados-Membros, incluindo a Finlândia, a um único patamar mínimo para as entidades essenciais e importantes. A Finlândia tem de levar esse patamar para o direito finlandês e exercer a supervisão por baixo dele.
A Finlândia transpõe a NIS 2 através da Cybersecurity Act (Kyberturvallisuuslaki, Act 124/2025). O Parlamento aprovou-a a 13 de março de 2025 e entrou em vigor a 8 de abril de 2025. Isto é posterior ao prazo da UE de 17 de outubro de 2024. A 7 de maio de 2025, a Comissão Europeia enviou um parecer fundamentado à Finlândia e a outros dezoito Estados-Membros por não terem notificado a transposição completa a tempo.
A supervisão está dividida setor a setor. A Agência Finlandesa dos Transportes e Comunicações, a Traficom, é a autoridade coordenadora e opera o National Cyber Security Centre Finland (NCSC-FI) como CSIRT nacional e como ponto de contacto único ao abrigo do Artigo 8.º(3) da diretiva. A par da Traficom, a Autoridade da Energia (Energiavirasto), a Autoridade de Supervisão Financeira (FIN-FSA) e outros reguladores setoriais supervisionam os seus próprios setores.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança válida em toda a UE. Define as obrigações que cada Estado-Membro tem de transpor, incluindo o teste de dimensão e de setor para as entidades essenciais e importantes.
Ato de execução da UE
Regulamento de Execução (UE) 2024/2690
Medidas técnicas e metodológicas para os prestadores de infraestrutura digital. Diretamente aplicável na Finlândia, sem necessidade de transposição nacional.
Transposição finlandesa
Cybersecurity Act 124/2025, em vigor desde 8 de abril de 2025
A transposição finlandesa da NIS 2. Uma lei horizontal de cibersegurança que consolida obrigações antes dispersas por várias leis setoriais específicas. Regulamentos e orientação da Traficom preenchem o detalhe operacional.
Cybersecurity Act 124/2025
Leva as obrigações da NIS 2 para o direito finlandês. Define as entidades essenciais e importantes, os poderes de supervisão, os deveres de notificação de incidentes e as sanções. O detalhe operacional segue por via de regulamentos e da orientação da Traficom.
Traficom e NCSC-FI
A Traficom coordena a supervisão da NIS 2 e opera o National Cyber Security Centre Finland (NCSC-FI) como CSIRT nacional e ponto de contacto único. A supervisão setorial cabe aos reguladores setoriais, nomeadamente a Energiavirasto para a energia, a Autoridade de Supervisão Financeira para as finanças (com o DORA como lex specialis) e a Tukes para os químicos e o petróleo.
Registo e notificação
As entidades finlandesas tinham de se registar junto do respetivo supervisor setorial até 8 de maio de 2025. As alterações aos dados registados têm de ser comunicadas no prazo de duas semanas. Os incidentes significativos seguem a diretiva: alerta precoce em 24 horas, notificação em 72 horas, relatório final em um mês. Todas as notificações são reencaminhadas para o CSIRT no NCSC-FI.
A lei finlandesa aplica-se na Finlândia
A atividade em território finlandês segue a transposição finlandesa. Um gerente alemão com uma filial finlandesa lê a Cybersecurity Act 124/2025 para essa filial, não o BSIG. As obrigações da diretiva são idênticas. O procedimento, o supervisor e as sanções vivem na lei finlandesa.
A Finlândia não pode ficar abaixo do piso da UE
A diretiva é um instrumento de harmonização mínima. A Finlândia pode ser mais rigorosa. A Finlândia não pode ficar abaixo da diretiva, nem nos deveres das entidades essenciais e importantes, nem nos prazos de notificação, nem na responsabilidade do órgão de gestão.
Traficom
A Agência Finlandesa dos Transportes e Comunicações é a autoridade coordenadora da NIS 2 e supervisiona diretamente os serviços postais e de correio, a infraestrutura digital, o espaço, a administração pública, os prestadores de serviços geridos, a investigação e o fabrico de veículos e equipamento de transporte. Mantém a lista de entidades NIS 2.
NCSC-FI (Kyberturvallisuuskeskus)
O National Cyber Security Centre dentro da Traficom é o CSIRT nacional e o ponto de contacto único ao abrigo do Artigo 8.º(3) da diretiva. Todas as notificações de incidentes NIS 2, independentemente de qual a autoridade setorial formalmente competente, são tratadas tecnicamente pelo NCSC-FI.
ENISA
A agência de cibersegurança da UE. Publica orientação, opera a base de dados europeia de vulnerabilidades e coordena além-fronteiras. Não é supervisor das entidades finlandesas. Isso cabe à Traficom e às autoridades setoriais.
A Finlândia implementa a NIS 2 da mesma forma que a Alemanha, por isso podemos ler o BSIG.
Os deveres da diretiva são idênticos, a arquitetura de supervisão não. A Finlândia usa uma única lei horizontal, a Cybersecurity Act 124/2025, em vez de se sobrepor a uma estrutura federal do BSI. A supervisão está dividida pelos reguladores setoriais, com a Traficom e o NCSC-FI a coordenar. Mapear o BSIG sobre a Finlândia erra o supervisor e a via de notificação.
Ainda não há lista oficial, por isso podemos esperar.
O registo é obrigatório desde 8 de abril de 2025. A Traficom mantém a lista de entidades NIS 2 e o prazo inicial para registo foi 8 de maio de 2025. Não estar registado não significa conforme, significa invisível para o supervisor. O Artigo 27.º(2) da NIS 2 exige ainda atualizações no prazo de duas semanas após qualquer alteração aos dados registados.
O meu regulador setorial trata de tudo, o NCSC-FI é apenas consultivo.
O regulador setorial faz a supervisão e as auditorias, mas o NCSC-FI é o ponto de entrada obrigatório para as notificações de incidentes e o ponto de contacto único da UE. Um alerta precoce dá tecnicamente entrada no NCSC-FI mesmo quando a supervisão formal cabe à Energiavirasto, à Autoridade de Supervisão Financeira ou à Tukes. Notificar apenas o regulador setorial e saltar o NCSC-FI falha a via correta.
A maioria dos operadores de médio mercado finlandeses que encontramos ainda trata a NIS 2 como um tema de TI. Isso é só meia verdade. A supervisão e o canal de notificação situam-se ao nível setorial, o âmbito é mais amplo do que no antigo regime finlandês de cibersegurança, e o órgão de gestão (toimitusjohtaja, hallitus) carrega uma responsabilidade mais pesada. O órgão de gestão é pessoalmente responsável por aprovar a gestão de risco e por concluir a sua própria formação.
O passo prático é o mesmo de toda a UE: fazer a verificação de aplicabilidade contra a diretiva, registar-se junto do supervisor setorial e constar da lista da Traficom, estabelecer os quatro deveres contínuos (manter atualizados os dados de registo, notificar incidentes, gerir o risco da cadeia de abastecimento, supervisão pelo órgão de gestão) e documentar o mínimo. Usar o NCSC-FI como ponto de contacto técnico único mantém limpa a via de notificação.
Construímos o registo de obrigações NIS 2 sobre a camada da UE, não sobre qualquer transposição nacional isolada. A mesma lista de verificação serve uma filial finlandesa ao abrigo da Cybersecurity Act 124/2025, uma casa-mãe alemã ao abrigo do BSIG e uma irmã neerlandesa ao abrigo da Cyberbeveiligingswet. As referências de artigos mudam por país, as obrigações em substância não.
Para o âmbito finlandês, começa com a verificação de aplicabilidade, depois o registo setorial, a cadência de notificação via NCSC-FI, as cláusulas de cadeia de abastecimento e a validação do órgão de gestão. Onde a Traficom ou os reguladores setoriais publicam orientação setorial, ligamo-la. Não a copiamos.
- Diretiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regulamento de Execução (UE) 2024/2690
- Cybersecurity Act 124/2025 (Kyberturvallisuuslaki), Finlex
- Traficom, Agência Finlandesa dos Transportes e Comunicações, página oficial de transposição da NIS 2
- Kyberturvallisuuskeskus (NCSC-FI), CSIRT nacional e ponto de contacto único
- Energiavirasto, supervisor setorial da eletricidade, aquecimento urbano e gás
- Autoridade de Supervisão Financeira (FIN-FSA), supervisor setorial das finanças, DORA como lex specialis
- Parecer fundamentado da Comissão Europeia de 7 de maio de 2025 sobre a transposição da NIS 2