Estado da NIS 2 na Irlanda
O que a Diretiva exige, onde está a Irlanda na transposição, e quem assegura a supervisão no entretanto.
Panorama
A Diretiva NIS 2 situa-se ao nível da UE. Vincula cada Estado-Membro, incluindo a Irlanda, a um piso único de obrigações para entidades essenciais e importantes. A Irlanda tem de traduzir esse piso em lei irlandesa e estabelecer a supervisão ao seu abrigo.
A Irlanda falhou o prazo de transposição de 17 de outubro de 2024. O General Scheme do National Cyber Security Bill 2024 foi publicado em setembro de 2024 pelo departamento responsável. À data de redação, o projeto de lei em si ainda não foi promulgado pelo Oireachtas. Até a lei estar em vigor, a transposição irlandesa da NIS 1 (as European Union (Measures for a High Common Level of Security of Network and Information Systems) Regulations 2018, S.I. No. 360/2018) continua a aplicar-se.
O National Cyber Security Centre (NCSC-IE) é o CSIRT nacional e está destinado a ser a autoridade competente e o ponto de contacto único para a NIS 2. O ministério responsável é o antigo Department of the Environment, Climate and Communications, agora Department of Climate, Energy and the Environment. Os reguladores setoriais mantêm-se nas suas áreas, nomeadamente a ComReg para as comunicações eletrónicas e o Central Bank of Ireland para os serviços financeiros, onde o DORA se aplica como lex specialis.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança da UE. Fixa as obrigações que cada Estado-Membro tem de transpor, incluindo o teste de dimensão e setor para entidades essenciais e importantes. Aplica-se à Irlanda independentemente do estado da transposição nacional.
Ato de execução da UE
Regulamento de Execução (UE) 2024/2690
Medidas técnicas e metodológicas para prestadores de infraestrutura digital. Diretamente aplicável na Irlanda, sem necessidade de transposição nacional.
Transposição irlandesa
General Scheme do National Cyber Security Bill 2024 (projeto); até à promulgação: S.I. No. 360/2018 (NIS 1)
O General Scheme foi publicado em setembro de 2024 e está em escrutínio pré-legislativo. O próprio projeto de lei e os regulamentos secundários que o seguem carregarão o detalhe operacional. Até lá, a transposição da NIS 1 mantém-se em vigor, complementada pela orientação do NCSC-IE.
National Cyber Security Bill
Trará as obrigações da NIS 2 para a lei irlandesa, definirá entidades essenciais e importantes, estabelecerá poderes de supervisão e de aplicação coerciva e ancorará a notificação de incidentes. O detalhe operacional será preenchido por regulamentos secundários e pela orientação do NCSC-IE. Hoje: Heads of Bill publicados, texto final ainda não promulgado.
NCSC-IE como autoridade competente
O National Cyber Security Centre é o CSIRT nacional (CSIRT-IE) e será designado autoridade competente e ponto de contacto único para a NIS 2. Já publica orientação preparatória, incluindo o projeto de orientação Risk Management Measures de junho de 2025, e refere o quadro belga CyFun como base prática.
Registo e notificação
A Diretiva exige que as entidades sejam identificáveis para os Estados-Membros a partir de 17 de abril de 2025. Na Irlanda, o portal de registo e o portal de notificação de incidentes ainda não estão ativos. Os incidentes significativos seguirão a Diretiva assim que a lei estiver em vigor: aviso prévio em 24 horas, notificação de incidente em 72 horas, relatório final em um mês.
Em território irlandês, aplica-se a lei irlandesa
A atividade em território irlandês segue a transposição irlandesa. Um diretor-geral alemão com uma filial irlandesa lê o futuro National Cyber Security Act para essa filial, e os Regulamentos NIS 1 de 2018 no entretanto, não a BSIG alemã. As obrigações da diretiva são idênticas. Os procedimentos, os portais e as sanções vivem na lei irlandesa.
A Irlanda não pode ficar abaixo do piso da UE
A Diretiva é harmonização mínima. A Irlanda pode ir mais longe. A Irlanda não pode ficar abaixo da Diretiva, nem nos deveres das entidades essenciais e importantes, nem nos prazos de notificação, nem na responsabilização do órgão de direção. Uma transposição tardia não dispensa uma empresa abrangida da lógica da diretiva.
NCSC-IE
National Cyber Security Centre. CSIRT nacional (CSIRT-IE) e autoridade competente designada e ponto de contacto único para a NIS 2. Publica orientação preparatória, está a preparar os portais de registo e de notificação e coordena com a ENISA e outros Estados-Membros.
Department of Climate, Energy and the Environment
Ministério responsável pela transposição. Anteriormente o Department of the Environment, Climate and Communications (DECC), renomeado após uma remodelação governamental. Publicou o General Scheme do National Cyber Security Bill 2024 e está a conduzir o projeto de lei pelo Oireachtas.
ENISA
A agência de cibersegurança da UE. Publica orientação, opera a base de dados europeia de vulnerabilidades e coordena entre fronteiras. Não é supervisor das entidades irlandesas. Esse papel cabe ao NCSC-IE e, quando aplicável, aos reguladores setoriais.
Até a Irlanda transpor, aplicam-se as regras alemãs, porque a nossa empresa-mãe fica na Alemanha.
Não. A NIS 2 segue o princípio do estabelecimento. Uma filial irlandesa é regulada na Irlanda, uma alemã na Alemanha. A empresa-mãe alemã pode apoiar internamente a filial irlandesa, mas o dever legal de registar, notificar e supervisionar cabe à entidade irlandesa e corre para o NCSC-IE assim que a lei estiver em vigor. Até lá, a NIS 1 (S.I. No. 360/2018) rege para os setores já cobertos.
Enquanto o portal não estiver ativo, não tenho de fazer nada.
Mesmo sem um portal de registo ativo, a preparação corre em paralelo. A Diretiva não espera pelo portal. As entidades abrangidas devem fazer já o teste de aplicabilidade, estabelecer a gestão de risco, o processo de incidentes, as cláusulas da cadeia de abastecimento e a formação do órgão de direção, e manter a prova pronta. Assim que a lei estiver em vigor e o NCSC-IE abrir o portal, a janela de registo será curta.
Só os antigos OES da NIS 1 são apanhados pela NIS 2.
Não. A NIS 2 alarga substancialmente o catálogo de setores e dimensões. Os Operadores de Serviços Essenciais ao abrigo da NIS 1 continuam normalmente apanhados pela NIS 2, mas o perímetro é mais amplo e distingue agora entre entidades essenciais e importantes. As entidades médias e grandes listadas nos Anexos I e II da Diretiva estão no âmbito, tal como alguns pequenos prestadores com um papel particular, mais partes da administração pública.
A maioria dos operadores do mid-market irlandês que encontramos ainda trata a NIS 2 como um prazo adiado e espera que o National Cyber Security Bill seja promulgado. A Diretiva não espera. As equipas de aquisições, as seguradoras e as empresas-mãe já a referem nos contratos. Esperar não adia o dever, só adia a sua preparação.
O passo prático é o mesmo que em toda a UE: fazer o teste de aplicabilidade face à Diretiva, usar a orientação preparatória do NCSC-IE (o projeto Risk Management Measures, o CyFun) como orientação, estabelecer os quatro deveres contínuos (manter os dados de registo atualizados, notificação de incidentes, risco da cadeia de abastecimento, supervisão pelo órgão de direção) e documentar o mínimo. Assim que a lei estiver em vigor, o trabalho restante é sobretudo encaixar a documentação concluída nos procedimentos irlandeses.
Construímos o registo de obrigações da NIS 2 ao nível da UE, não sobre nenhuma transposição nacional isolada. A mesma lista de verificação funciona para uma filial irlandesa ao abrigo do futuro National Cyber Security Act, uma empresa-mãe alemã ao abrigo da BSIG e uma empresa irmã neerlandesa ao abrigo da Cyberbeveiligingswet. As referências aos artigos mudam por país, a substância das obrigações não.
Para o âmbito irlandês, começa pelo teste de aplicabilidade, depois a cadência de incidentes, as cláusulas da cadeia de abastecimento e a aprovação do órgão de direção. Onde o NCSC-IE publica orientação setorial, ligamos a ela. Não a copiamos.
- Diretiva (UE) 2022/2555 (NIS 2). EUR-Lex
- Regulamento de Execução (UE) 2024/2690
- General Scheme do National Cyber Security Bill 2024. Department of Climate, Energy and the Environment (gov.ie)
- European Union (Measures for a High Common Level of Security of Network and Information Systems) Regulations 2018 (S.I. No. 360/2018). Irish Statute Book
- NCSC-IE. National Cyber Security Centre, estado e orientação NIS 2 (ncsc.gov.ie)
- NCSC-IE. Draft Risk Management Measures Guidance (junho de 2025)
- ComReg. supervisão setorial das comunicações eletrónicas
- Central Bank of Ireland. autoridade competente para o DORA no setor financeiro