Estado da NIS 2 na Letónia
O que a diretiva exige, como a Letónia a transpõe, e onde se situam o Centro Nacional de Cibersegurança e o CERT.LV no quadro.
Visão geral
A Diretiva NIS 2 é a camada da UE. Vincula todos os Estados-Membros, a Letónia incluída, a um único nível mínimo para entidades essenciais e importantes. A Letónia tem de levar esse nível para a lei letã e operar a supervisão ao seu abrigo.
A Letónia transpõe a NIS 2 através da Lei Nacional de Cibersegurança (Nacionālās kiberdrošības likums), disponível em inglês em likumi.lv. A lei assenta sobre estruturas existentes em torno do CERT.LV e acrescenta um Centro Nacional de Cibersegurança (NCSC) dedicado, sob o Ministério da Defesa, como supervisor principal das entidades essenciais e importantes.
A Letónia não cumpriu integralmente o prazo de transposição da UE de 17 de outubro de 2024. A Comissão Europeia enviou um parecer fundamentado por transposição incompleta em 7 de maio de 2025, segundo a página de país da Comissão para a Letónia. As estruturas operacionais (NCSC, CERT.LV, autoridades setoriais) estão em vigor, enquanto partes da regulamentação secundária ainda estão a ser concluídas.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança de âmbito europeu. Fixa as obrigações que cada Estado-Membro tem de transpor, incluindo o teste de dimensão e de setor para entidades essenciais e importantes.
Ato de execução da UE
Regulamento de Execução (UE) 2024/2690
Medidas técnicas e metodológicas para os fornecedores de infraestruturas digitais. Diretamente aplicável na Letónia, sem transposição nacional necessária.
Transposição letã
Lei Nacional de Cibersegurança (Nacionālās kiberdrošības likums)
A lei de transposição da NIS 2 da Letónia. Publicada em likumi.lv com uma tradução em inglês. Os regulamentos secundários (regras do Conselho de Ministros) carregam o detalhe operacional. O parecer fundamentado da Comissão Europeia de 7 de maio de 2025 indica que a transposição completa ainda não estava concluída.
Lei Nacional de Cibersegurança
Traz as obrigações da NIS 2 para a lei letã. Define as categorias de entidades essenciais e importantes, os poderes de supervisão, os deveres de notificação de incidentes, e as sanções. Os regulamentos do Conselho de Ministros preenchem o detalhe operacional (limiares setoriais, dados de registo, formulários de notificação).
NCSC e CERT.LV sob o Ministério da Defesa
O Centro Nacional de Cibersegurança (NCSC) é o supervisor principal das entidades essenciais e importantes e atua como ponto de contacto único ao nível da UE. O CERT.LV é o CSIRT nacional e trata da resposta a incidentes. Ambos se situam sob o Ministério da Defesa. O Gabinete de Proteção da Constituição (SAB) supervisiona a infraestrutura crítica de TIC como uma via separada.
Registo e notificação
As entidades têm de notificar a autoridade competente do seu estatuto dentro de uma janela fixa após determinarem que ficam no âmbito (a lei fixa uma janela de notificação de um mês no texto inglês de likumi.lv; verifique o regulamento atual do Conselho de Ministros para o prazo em vigor). Os incidentes significativos seguem a diretiva: alerta precoce no prazo de 24 horas, notificação no prazo de 72 horas, relatório final no prazo de um mês.
Na Letónia, aplica-se a lei letã
As atividades em território letão seguem a transposição letã. Um diretor-geral alemão com uma filial letã lê a Lei Nacional de Cibersegurança para essa filial, não o BSIG. As obrigações ao nível da diretiva são as mesmas. O procedimento, a autoridade e as sanções residem na lei letã.
A Letónia não pode descer abaixo do piso da UE
A diretiva é de harmonização mínima. A Letónia pode ir mais longe, e historicamente tem regras mais rígidas em torno dos sistemas de TIC estatais e das infraestruturas críticas. A Letónia não pode descer abaixo da diretiva, nem quanto aos deveres das entidades essenciais e importantes, nem quanto aos prazos de notificação, nem quanto à responsabilidade do órgão de direção.
Centro Nacional de Cibersegurança (NCSC)
Autoridade competente principal para as entidades essenciais e importantes da NIS 2. Situa-se sob o Ministério da Defesa e atua como ponto de contacto único da Letónia ao nível da UE. Emite orientações, recebe os dados de registo e gere a supervisão. A infraestrutura crítica de TIC é supervisionada pelo Gabinete de Proteção da Constituição (SAB) como via paralela.
CERT.LV
O CSIRT nacional da Letónia sob o Ministério da Defesa. Recebe as notificações de incidentes, coordena a resposta e gere a divulgação coordenada de vulnerabilidades. Opera com base legal na Lei Nacional de Cibersegurança. Não é o supervisor: a aplicação coerciva e as sanções cabem ao NCSC e ao SAB.
ENISA
A agência de cibersegurança da UE. Publica orientações, gere a base de dados europeia de vulnerabilidades e coordena ao nível transfronteiriço. Não tem supervisão sobre as entidades letãs. Esse papel cabe ao NCSC e ao CERT.LV.
A Letónia fez o mesmo que a Alemanha, por isso também deve estar atrasada.
A Letónia está numa posição diferente. A Letónia adotou uma Lei Nacional de Cibersegurança e criou o NCSC e o CERT.LV, mas a Comissão Europeia ainda enviou um parecer fundamentado em 7 de maio de 2025 por transposição incompleta. A Alemanha não adotou de todo a sua lei de transposição da NIS 2. O texto letão está em vigor, a lacuna está na regulamentação secundária e na notificação completa à Comissão.
Ainda não há mecanismo de registo letão, por isso podemos esperar.
O dever de notificar a autoridade competente do estatuto de entidade essencial ou importante reside na própria Lei Nacional de Cibersegurança. O texto inglês de likumi.lv dá uma janela de notificação de um mês a partir do momento em que uma entidade determina que fica no âmbito. Os regulamentos do Conselho de Ministros definem o canal e os formulários em vigor. Esperar por um portal perfeito não suspende o dever legal.
Só as entidades do nosso setor são supervisionadas.
A Letónia divide a supervisão: o NCSC supervisiona as entidades essenciais e importantes da NIS 2 em todos os setores, enquanto o Gabinete de Proteção da Constituição supervisiona a infraestrutura crítica de TIC. Os reguladores setoriais mantêm o seu papel onde o tinham (por exemplo nas finanças ao abrigo da DORA). A mesma entidade pode estar sob mais do que um supervisor, dependendo do que opera.
A maioria dos operadores letões do mercado médio que encontramos ainda trata a NIS 2 como algo que o Ministério da Defesa trata por eles através do CERT.LV. O CERT.LV é a cara amigável, mas não é o supervisor. A aplicação coerciva e as sanções cabem ao NCSC para as entidades essenciais e importantes gerais, e ao SAB para a infraestrutura crítica de TIC. Os órgãos de direção dessas entidades são pessoalmente responsáveis pela aprovação da gestão de riscos e pela obtenção da sua própria formação, ao nível da diretiva.
O passo prático é o mesmo que em qualquer parte da UE: testar a aplicabilidade face à diretiva, notificar a autoridade competente dentro da janela de um mês, cumprir os quatro deveres contínuos (manter os dados de registo atualizados, notificação de incidentes, risco da cadeia de fornecimento, supervisão pelo órgão de direção) e documentar o mínimo. O CERT.LV continua a ser o parceiro para o tratamento de incidentes, não o sítio que decide se está no âmbito.
Construímos o registo de obrigações da NIS 2 sobre a camada da UE, não sobre uma transposição nacional isolada. A mesma lista de verificação serve uma filial letã ao abrigo da Lei Nacional de Cibersegurança, uma empresa-mãe alemã ao abrigo do BSIG, e uma empresa irmã francesa ao abrigo da Ordonnance n.o 2024-1093. As referências de artigos mudam por país, os deveres em substância não.
Para o âmbito letão começa pela verificação de aplicabilidade, depois a janela de registo de um mês, depois a notificação de incidentes através do CERT.LV, as cláusulas da cadeia de fornecimento e a aprovação pelo órgão de direção. Onde o NCSC ou o CERT.LV publica orientações setoriais, ligamos a elas. Não as copiamos.
- Diretiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regulamento de Execução (UE) 2024/2690, EUR-Lex
- Lei Nacional de Cibersegurança (Nacionālās kiberdrošības likums), likumi.lv (tradução em inglês)
- Comissão Europeia, página de país da NIS 2 para a Letónia (digital-strategy.ec.europa.eu)
- Parecer fundamentado da Comissão Europeia de 7 de maio de 2025 sobre transposição incompleta
- CERT.LV, sítio oficial (cert.lv), Ministério da Defesa
- Centro Nacional de Cibersegurança, Ministério da Defesa da República da Letónia