Estado da NIS 2 na Lituânia
O que a diretiva exige, como a Lituânia a implementa, e onde se situa o NKSC no quadro.
Visão geral
A diretiva NIS 2 é a camada da UE. Vincula todos os Estados-Membros, incluindo a Lituânia, a uma norma mínima única para entidades essenciais e importantes. A Lituânia tem de levar essa norma para a lei lituana e operar um supervisor ao seu abrigo.
A Lituânia transpõe a NIS 2 alterando a Lietuvos Respublikos kibernetinio saugumo įstatymas (Lei da Cibersegurança). A lei de alteração foi adotada em 11 de julho de 2024 e entrou em vigor em 18 de outubro de 2024, um dia depois do prazo da UE. O regulamento governamental de execução seguiu-se em novembro de 2024. A Lituânia está, portanto, entre os Estados-Membros que cumpriram o prazo de transposição de 17 de outubro de 2024 em substância.
O Nacionalinis kibernetinio saugumo centras (Centro Nacional de Cibersegurança, NKSC) sob o Ministério da Defesa Nacional é a autoridade competente, o ponto de contacto único ao abrigo do Artigo 8 NIS 2, e opera o CSIRT nacional sob a marca CERT-LT. O número de entidades obrigadas na Lituânia é estimado publicamente por fontes do NKSC na ordem dos 8.000 a 10.000, dependendo o número exato da avaliação de aplicabilidade por entidade.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança de âmbito europeu. Fixa as obrigações que cada Estado-Membro tem de transpor, incluindo o teste de dimensão e de setor para entidades essenciais e importantes.
Ato de execução da UE
Regulamento de Execução (UE) 2024/2690 da Comissão
Medidas técnicas e metodológicas para os fornecedores de infraestruturas digitais. Diretamente aplicável na Lituânia sem transposição nacional.
Transposição lituana
Lietuvos Respublikos kibernetinio saugumo įstatymas (Lei da Cibersegurança), conforme alterada, em vigor a partir de 18 de outubro de 2024
A transposição lituana da NIS 2. A lei de alteração foi adotada em 11 de julho de 2024. O regulamento governamental de execução seguiu-se em novembro de 2024 com o catálogo de requisitos de cibersegurança para entidades essenciais e importantes.
Lei da Cibersegurança alterada
A lei de alteração de 11 de julho de 2024 traz as obrigações da NIS 2 para a lei lituana. Define as entidades essenciais e importantes, os poderes de supervisão do NKSC, os deveres de notificação de incidentes e as sanções. O detalhe operacional reside no regulamento governamental de execução que entrou em vigor em novembro de 2024.
NKSC como autoridade competente e CSIRT
O NKSC gere a supervisão, as auditorias e as propostas de aplicação coerciva. É também o ponto de contacto único ao abrigo do Artigo 8 NIS 2 e opera o CSIRT nacional, o CERT-LT. Os reguladores setoriais mantêm os seus papéis existentes quando se aplica a lex specialis, por exemplo a DORA nas finanças.
Registo e notificação
A diretiva exige que os Estados-Membros identifiquem as entidades até 17 de abril de 2025. Na Lituânia o NKSC compila esta lista de entidades essenciais e importantes. Os incidentes significativos seguem a diretiva: alerta precoce no prazo de 24 horas, notificação de incidente no prazo de 72 horas, relatório final no prazo de um mês.
Na Lituânia, aplica-se a lei lituana
As atividades em território lituano seguem a transposição lituana. Um diretor-geral alemão com uma filial lituana lê a Lei da Cibersegurança alterada para essa filial, não o BSIG. As obrigações da diretiva são idênticas. O procedimento, o supervisor e as sanções residem na lei lituana.
A Lituânia não pode descer abaixo do piso da UE
A diretiva é de harmonização mínima. A Lituânia pode ir mais longe, e historicamente fê-lo em requisitos cibernéticos de segurança nacional. A Lituânia não pode descer abaixo da diretiva, nem quanto às obrigações das entidades essenciais e importantes, nem quanto aos prazos de notificação, nem quanto à responsabilização do órgão de direção.
NKSC
Nacionalinis kibernetinio saugumo centras, o Centro Nacional de Cibersegurança sob o Ministério da Defesa Nacional. Autoridade competente, ponto de contacto único ao abrigo do Artigo 8 NIS 2, supervisor, e operador do CSIRT nacional. Mantém o registo das entidades essenciais e importantes.
CERT-LT
O CSIRT nacional, operado dentro do NKSC. Trata das notificações de incidentes, da coordenação técnica e da linha de contacto 24/7 para casos urgentes. Na prática o NKSC e o CERT-LT são uma instituição com dois papéis, não duas autoridades separadas.
ENISA
A agência de cibersegurança da UE. Publica orientações, gere a base de dados europeia de vulnerabilidades e coordena ao nível transfronteiriço. Não é um supervisor das entidades lituanas. Esse papel cabe ao NKSC.
A NIS 2 lituana parece idêntica à NIS 2 alemã.
As obrigações da diretiva são as mesmas. O supervisor, o texto da lei, o regime sancionatório, o canal de registo e os prazos para a regulamentação subsequente não são. Uma entidade lituana lê a Lei da Cibersegurança alterada e a orientação do NKSC. Uma entidade alemã lê o BSIG e a orientação do BSI. Os grupos transfronteiriços têm de mapear cada filial ao seu supervisor nacional.
Como o registo público não é pesquisável, o registo é opcional.
O NKSC mantém o registo das entidades essenciais e importantes, mas a lista não é publicada abertamente. Isso não torna o registo opcional. As entidades que cumprem o teste de dimensão e de setor ao abrigo do Anexo I ou II da diretiva têm de se autoidentificar e fornecer os dados de registo ao NKSC. O Artigo 27 NIS 2 também exige que as entidades mantenham os seus dados de registo atualizados.
Só os onze setores do CIR estão no âmbito na Lituânia.
O Regulamento de Execução (UE) 2024/2690 da Comissão define medidas técnicas para um conjunto restrito de fornecedores de infraestruturas digitais. A Lei da Cibersegurança lituana cobre todo o perímetro da NIS 2 do Anexo I e do Anexo II, mais as entidades da administração pública e quaisquer entidades adicionais que a Lituânia designe. Ler apenas a lista do CIR subestima o âmbito numa ordem de grandeza.
A maioria dos operadores lituanos do mercado médio que vemos ainda trata a NIS 2 como uma extensão do antigo regime da NIS 1. Isto está meio certo. O NKSC era o supervisor antes, e continua a sê-lo. O âmbito é mais amplo, a responsabilização do órgão de direção é mais pesada, e o catálogo de requisitos de cibersegurança no regulamento de execução é mais detalhado do que a decisão anterior.
O passo prático é o mesmo que em toda a UE: fazer o teste de aplicabilidade face à diretiva, registar-se junto do supervisor nacional (aqui o NKSC), instituir as quatro obrigações contínuas (manter os dados de registo atualizados, notificação de incidentes, risco da cadeia de fornecimento, supervisão pelo órgão de direção) e documentar o mínimo. A documentação anterior da NIS 1 ajuda como base, mas não substitui o registo de obrigações da NIS 2.
Construímos o registo de obrigações da NIS 2 ao nível da UE, não sobre uma transposição nacional isolada. A mesma lista de verificação serve uma filial lituana ao abrigo da Lei da Cibersegurança alterada, uma empresa-mãe alemã ao abrigo do BSIG e uma empresa irmã neerlandesa ao abrigo da Cyberbeveiligingswet. As referências de artigos trocam por país. As obrigações em substância não.
Para o âmbito lituano, comece pela verificação de aplicabilidade, depois a cadência de notificação de incidentes, as cláusulas da cadeia de fornecimento e a aprovação pelo órgão de direção. Onde o NKSC publica orientações setoriais, ligamos a elas. Não as copiamos.
- Diretiva (UE) 2022/2555 (NIS 2). EUR-Lex
- Regulamento de Execução (UE) 2024/2690 da Comissão
- Lietuvos Respublikos kibernetinio saugumo įstatymas (Lei da Cibersegurança), conforme alterada. e-tar.lt (registo de atos legais lituanos)
- Nacionalinis kibernetinio saugumo centras (NKSC). Sítio oficial
- CERT-LT. CSIRT nacional, operado dentro do NKSC
- Comissão Europeia, Moldar o futuro digital da Europa, implementação da diretiva NIS 2 na Lituânia
- Ministério da Defesa Nacional da República da Lituânia. Ministério-mãe do NKSC