Estado da NIS 2 em França
O que a diretiva exige, como a França a transpõe, e onde se situa a ANSSI dentro do quadro.
Visão geral
A diretiva NIS 2 é a camada da UE. Vincula todos os Estados-Membros, incluindo a França, com um único piso de cibersegurança para entidades essenciais e importantes. A França tem de pôr esse piso no direito francês e operar um regime de supervisão ao seu abrigo.
A França transpõe a NIS 2 através da Ordonnance n.º 2024-1093, de 2 de dezembro de 2024, e dos decretos de execução que a acompanham. O texto sobrepõe-se ao regime OIV existente (Opérateurs d'Importance Vitale) e ao regime OSE da NIS 1 (Opérateurs de Services Essentiels), em vez de os substituir por inteiro.
A ANSSI (Agence nationale de la sécurité des systèmes d'information) é o supervisor e o CSIRT nacional. O registo corre pelo portal MonEspaceNIS2. Os reguladores setoriais mantêm-se no circuito para os setores que já tinham um, em particular o financeiro, onde o DORA atua como lex specialis.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança à escala da UE. Fixa as obrigações que cada Estado-Membro tem de transpor, incluindo os testes de dimensão e de setor para entidades essenciais e importantes.
Implementação da UE
Regulamento de Execução (UE) 2024/2690 da Comissão
Medidas técnicas e metodológicas para os prestadores de infraestrutura digital. Diretamente aplicável em França sem transposição nacional.
Transposição francesa
Ordonnance n.º 2024-1093, de 2 de dezembro de 2024
A transposição francesa da NIS 2. Os decretos de execução e a orientação da ANSSI preenchem o detalhe operacional. O texto altera o Code de la défense (artigos L.1332-x para os OIV) e estende-o ao perímetro mais amplo da NIS 2.
Ordonnance n.º 2024-1093
Transporta as obrigações da NIS 2 para o direito francês. Define a categoria EEI (Entités essentielles importantes), os poderes de supervisão da ANSSI, os deveres de comunicação de incidentes e as sanções. A maioria do detalhe operacional é delegada nos décrets d'application.
A ANSSI como supervisor e CSIRT
A ANSSI conduz a supervisão, as auditorias e as propostas de sanção. Também opera o CSIRT nacional e o portal MonEspaceNIS2. Os reguladores setoriais, como a ACPR para o financeiro, mantêm a sua própria competência onde a lex specialis se aplica.
Registo e comunicação
A diretiva exigia que as entidades fossem identificáveis pelos Estados-Membros a partir de 17 de abril de 2025. Em França isto acontece através do MonEspaceNIS2. Os incidentes significativos seguem a cadência da diretiva: alerta precoce de 24 horas, notificação de 72 horas e relatório final de um mês.
A lei local aplica-se dentro de França
As operações em território francês seguem a transposição francesa. Um Geschäftsführer alemão que dirige uma filial francesa lê a Ordonnance n.º 2024-1093 para essa filial, não o BSIG alemão. As obrigações da diretiva são as mesmas; o procedimento, o portal e as sanções residem no direito francês.
A França não pode descer abaixo do piso da UE
A diretiva é um instrumento de harmonização mínima. A França pode ir mais longe, e historicamente fê-lo através do regime OIV. Não pode descer abaixo da diretiva no que respeita aos deveres das entidades essenciais e importantes, aos prazos de comunicação de incidentes ou à responsabilização do órgão de gestão.
ANSSI
Autoridade competente principal, supervisor e CSIRT nacional. Opera o MonEspaceNIS2, emite orientações, conduz auditorias e propõe sanções ao Premier ministre. Detém a doutrina histórica dos OIV que alimenta agora a supervisão da NIS 2.
CNIL
A autoridade francesa de proteção de dados. Não é o regulador da NIS 2. Mantém-se competente para a comunicação de violações de dados pessoais ao abrigo do GDPR. Um incidente NIS 2 que toca em dados pessoais é frequentemente uma dupla notificação: ANSSI e CNIL.
ENISA
A agência de cibersegurança da UE. Publica orientações, gere a base de dados europeia de vulnerabilidades e apoia a coordenação transfronteiriça. Não é supervisor das entidades francesas; a ANSSI é.
Já somos OIV, por isso a NIS 2 está tratada.
As classificações OIV e OSE ao abrigo do atual Code de la défense e do quadro da NIS 1 não transitam automaticamente como EEI ao abrigo da NIS 2. O perímetro é diferente, os limiares setoriais são diferentes, e as entidades têm de verificar o seu estatuto face aos novos critérios. Muitos OIV são também entidades essenciais da NIS 2, mas o conjunto de obrigações e o canal de comunicação mudam.
A NIS 2 em França só se aplica aos grandes operadores.
O teste de dimensão limita-se, por defeito, às empresas de média e grande dimensão, mas a diretiva apanha as pequenas entidades quando são o único prestador, quando a perturbação tem impacto transfronteiriço, ou quando o direito francês as acrescenta. As administrações públicas e certos prestadores digitais estão dentro de âmbito independentemente da dimensão. A verificação de aplicabilidade tem de ser feita caso a caso, não apenas pela dimensão da empresa.
O MonEspaceNIS2 e a ANSSI só aceitam francês.
O portal e a orientação oficial são primeiro em francês, mas a ANSSI aceita comunicação técnica e documentação de apoio em inglês em casos definidos, em linha com a cooperação da UE. As empresas-mãe estrangeiras não devem assumir que precisam de uma tradução francesa integral de cada política interna para se registarem ou apresentarem um relatório de incidente.
A maioria dos operadores franceses equivalentes ao Mittelstand que vemos ainda trata a NIS 2 como uma extensão do antigo regime OIV / OSE. Isso está meio certo. A supervisão e o canal de incidentes situam-se dentro da ANSSI como antes, mas o âmbito é mais amplo e a validação do órgão de gestão é mais pesada. O equivalente ao Geschäftsführer (président, directeur général, gérant) é pessoalmente responsável pela aprovação da gestão de risco e pela formação.
O movimento prático é o mesmo que em toda a UE: confirmar o âmbito ao abrigo da diretiva, registar-se através do portal nacional (aqui o MonEspaceNIS2), estabelecer os quatro deveres contínuos (manutenção do registo, comunicação de incidentes, risco da cadeia de fornecimento, supervisão do órgão de gestão), e documentar o mínimo. O aparelho OIV ajuda, mas não substitui o registo de obrigações da NIS 2.
Construímos o registo de obrigações da NIS 2 sobre a camada da UE, não sobre uma transposição nacional específica. A mesma lista de verificação funciona para uma filial francesa que usa a Ordonnance n.º 2024-1093, uma empresa-mãe alemã que usa o BSIG, e uma empresa irmã neerlandesa que usa a Cyberbeveiligingswet. As referências aos artigos mudam por localidade; as obrigações substantivas não.
Para o âmbito francês, começa com a verificação de aplicabilidade, depois passa à cadência de comunicação de incidentes, às cláusulas de cadeia de fornecimento e à validação do órgão de gestão. Onde a ANSSI publica orientação setorial, referenciamo-la; não a duplicamos.
- Diretiva (UE) 2022/2555 (NIS 2). EUR-Lex
- Regulamento de Execução (UE) 2024/2690 da Comissão
- Ordonnance n.º 2024-1093, du 2 décembre 2024. Légifrance
- Code de la défense, artigos L.1332-1 et suivants (OIV). Légifrance
- ANSSI. Agence nationale de la sécurité des systèmes d'information, sítio oficial
- MonEspaceNIS2. Portal de registo da NIS 2 em França (ANSSI)
- ACPR / Banque de France. Autoridade competente para o DORA no setor financeiro