Estado da NIS 2 na Hungria
O que a diretiva exige, como a Hungria a transpõe e onde se situam a SZTFH e o NKI neste quadro.
Visão geral
A Diretiva NIS 2 é a camada da UE. Vincula todos os Estados-Membros, incluindo a Hungria, a um único piso de cibersegurança para as entidades essenciais e importantes. A Hungria tem de inscrever esse piso no direito húngaro e exercer um regime de supervisão ao abrigo dele.
A Hungria transpõe a NIS 2 principalmente através da Lei XXIII de 2023 sobre certificação de cibersegurança e supervisão de cibersegurança (2023. evi XXIII. torveny), em conjunto com decretos de execução posteriores. A lei antecede, por desenho, o prazo de outubro de 2024 da diretiva e é o enquadramento que a SZTFH usa hoje para exercer a supervisão.
A SZTFH (Szabalyozott Tevekenysegek Felugyeleti Hatosaga, Autoridade de Supervisão das Atividades Reguladas) é o supervisor principal para a fiscalização, a certificação e as auditorias de cibersegurança. O CSIRT nacional é o NKI (Nemzeti Kibervedelmi Intezet), que está dentro do Serviço Especial de Segurança Nacional sob o Gabinete do Primeiro-Ministro. A 7 de maio de 2025, a Comissão Europeia enviou à Hungria um parecer fundamentado por não notificar a transposição completa, pelo que ainda se esperam mais medidas nacionais.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança válida em toda a UE. Define as obrigações que cada Estado-Membro tem de transpor, incluindo os testes de dimensão e de setor para as entidades essenciais e importantes.
Execução da UE
Regulamento de Execução (UE) 2024/2690 da Comissão
Medidas técnicas e metodológicas para os prestadores de infraestrutura digital. Diretamente aplicável na Hungria sem transposição nacional.
Transposição húngara
Lei XXIII de 2023 sobre certificação de cibersegurança e supervisão de cibersegurança
A transposição húngara da NIS 2. Decretos governamentais e orientação da SZTFH preenchem o detalhe operacional. O Artigo 32.º(2) da lei nomeia a Diretiva NIS 2 como o instrumento da UE que serve. O parecer fundamentado da Comissão de 7 de maio de 2025 indica que ainda podem ser necessárias mais medidas para a transposição completa.
Lei XXIII de 2023
Leva as obrigações da NIS 2 para o direito húngaro. Define o regime de supervisão de cibersegurança, a certificação, os deveres de auditoria e as taxas de supervisão. A maior parte do detalhe operacional é delegada em decretos governamentais e na orientação da SZTFH. A lei entrou em vigor em 2023 e foi aplicada por fases.
SZTFH como supervisor, NKI como CSIRT
A SZTFH exerce a supervisão, a certificação, as auditorias e as taxas para as entidades afetadas. O NKI é o CSIRT nacional, a operar dentro do Serviço Especial de Segurança Nacional sob o Gabinete do Primeiro-Ministro. As duas funções, supervisão e resposta a incidentes, situam-se em instituições diferentes, ao contrário do que sucede em França ou na Alemanha.
Registo e notificação
As entidades afetadas autoclassificam-se e registam-se junto da SZTFH. Os incidentes significativos seguem a cadência da diretiva: alerta precoce de 24 horas, notificação de 72 horas e relatório final de um mês. Os nomes específicos dos portais húngaros e os prazos exatos de registo são regidos pela orientação da SZTFH e devem ser verificados nas publicações atuais da SZTFH.
A lei local aplica-se dentro da Hungria
As operações em território húngaro seguem a transposição húngara. Uma casa-mãe alemã que dirige uma filial húngara lê a Lei XXIII de 2023 para essa filial, não o BSIG alemão. As obrigações da diretiva são as mesmas. O procedimento, o supervisor e as sanções vivem na lei húngara.
A Hungria não pode ficar abaixo do piso da UE
A diretiva é um instrumento de harmonização mínima. A Hungria pode ser mais rigorosa, e na prática a SZTFH já exerce deveres adicionais de certificação e auditoria por cima. Não pode ficar abaixo da diretiva nos deveres das entidades essenciais e importantes, nos prazos de notificação de incidentes ou na responsabilidade do órgão de gestão. É isso que o parecer fundamentado da Comissão de 7 de maio de 2025 está a aferir.
SZTFH
Autoridade competente principal para a supervisão de cibersegurança ao abrigo da Lei XXIII de 2023. Exerce a supervisão, as auditorias, a certificação e o regime de taxas de supervisão. Publica a orientação operacional húngara para as entidades afetadas.
NKI
CSIRT nacional. Opera dentro do Serviço Especial de Segurança Nacional sob o Gabinete do Primeiro-Ministro. Recebe notificações de incidentes, coordena a resposta técnica e atua como ponto de contacto húngaro na cooperação de CSIRT ao nível da UE. Contactável em csirt@nki.gov.hu.
ENISA
A agência de cibersegurança da UE. Publica orientação, gere a base de dados europeia de vulnerabilidades e apoia a coordenação transfronteiriça. Não é supervisor das entidades húngaras. É a SZTFH.
A nossa casa-mãe alemã já tem o BSIG tratado, por isso a filial húngara está bem.
As obrigações da diretiva são as mesmas, mas o supervisor, o procedimento e as sanções vivem na lei húngara. Uma filial húngara regista-se junto da SZTFH, submete relatórios de incidentes através do NKI e segue os prazos da Lei XXIII de 2023. A validação BSIG em Bona não substitui o registo húngaro.
A Hungria falhou o prazo de outubro de 2024, por isso ainda nada está em vigor.
A Lei XXIII de 2023 estava em vigor antes do prazo de transposição da diretiva. A supervisão da SZTFH já está a funcionar. O parecer fundamentado da Comissão de 7 de maio de 2025 é sobre lacunas na transposição completa, não sobre se o supervisor existe. As entidades não podem esperar por mais legislação para agir.
Só os onze setores CER desencadeiam a NIS 2 na Hungria.
Os testes de dimensão e de setor decorrem dos Anexos I e II da Diretiva NIS 2, dezoito setores no total. O âmbito CER é mais estreito e situa-se no seu próprio enquadramento nacional. Confundir os dois é uma razão comum para as entidades se autoclassificarem mal.
A maioria dos operadores húngaros com quem falamos assume que a NIS 2 começa quando for aprovada uma nova lei abrangente. Não começa. A supervisão da SZTFH ao abrigo da Lei XXIII de 2023 já está ativa, as auditorias estão a acontecer, e a validação pelo órgão de gestão já é uma questão que a SZTFH pode colocar. O parecer fundamentado da Comissão de 7 de maio de 2025 aumenta a pressão política, mas não recua a data de início do supervisor.
O passo prático é o mesmo de toda a UE. Confirmar o âmbito ao abrigo da diretiva, registar-se junto do supervisor nacional (aqui a SZTFH), estabelecer as quatro obrigações contínuas (manutenção do registo, notificação de incidentes via NKI, risco da cadeia de abastecimento, supervisão pelo órgão de gestão) e documentar o mínimo. Os reguladores setoriais húngaros mantêm-se competentes onde se aplica lex specialis, em particular as finanças sob o MNB.
Construímos o registo de obrigações NIS 2 sobre a camada da UE, não sobre qualquer transposição nacional isolada. A mesma lista de verificação serve uma filial húngara ao abrigo da Lei XXIII de 2023, uma casa-mãe alemã ao abrigo do BSIG e uma irmã francesa ao abrigo da Ordonnance n. 2024-1093. As referências de artigos mudam por localidade. As obrigações substantivas não.
Para o âmbito húngaro, começa com a verificação de aplicabilidade, depois avança para a cadência de notificação de incidentes com o NKI, as cláusulas de cadeia de abastecimento e a validação do órgão de gestão. Onde a SZTFH publica orientação setorial, referenciamo-la. Não a duplicamos.
- Diretiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regulamento de Execução (UE) 2024/2690 da Comissão
- Lei XXIII de 2023 sobre certificação de cibersegurança e supervisão de cibersegurança (2023. evi XXIII. torveny), Nemzeti Jogszabalytar
- SZTFH (Szabalyozott Tevekenysegek Felugyeleti Hatosaga), sítio oficial, sztfh.hu
- NKI (Nemzeti Kibervedelmi Intezet), CSIRT nacional, nki.gov.hu
- Comissão Europeia, estado de transposição da NIS 2, Hungria, parecer fundamentado de 7 de maio de 2025
- MNB (Magyar Nemzeti Bank), autoridade competente para o DORA no setor financeiro