Estado da NIS 2 no Luxemburgo
O que a diretiva exige, como o Luxemburgo a transpõe e que autoridade se situa onde.
Visão geral
A Diretiva NIS 2 é a camada da UE. Vincula todos os Estados-Membros, incluindo o Luxemburgo, a um nível mínimo comum de cibersegurança para as entidades essenciais e importantes. O Luxemburgo tem de levar esse nível para a lei nacional e gerir a supervisão ao seu abrigo.
O Luxemburgo ultrapassou o prazo de transposição de 17 de outubro de 2024. A Comissão Europeia enviou um parecer fundamentado em 7 de maio de 2025 por falta de notificação da transposição completa. A lei nacional seguiu-se mais tarde: a Lei de 5 de maio de 2026 sobre medidas para assegurar um elevado nível comum de cibersegurança, que entrou em vigor em 15 de maio de 2026.
O Institut Luxembourgeois de Régulation (ILR) é a autoridade competente principal e o ponto de contacto único ao abrigo da NIS 2. A CSSF mantém a supervisão no setor financeiro ao abrigo do DORA como lex specialis. O GOVCERT.LU é o CSIRT para o setor público. O CIRCL (Computer Incident Response Center Luxembourg) é o CSIRT para o setor privado, os municípios e as entidades não governamentais.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança à escala da UE. Fixa as obrigações que cada Estado-Membro tem de transpor, incluindo o teste de dimensão e setor para entidades essenciais e importantes.
Regulamento de Execução da UE
Regulamento de Execução (UE) 2024/2690
Medidas técnicas e metodológicas para os prestadores de infraestrutura digital. Diretamente aplicável no Luxemburgo, sem transposição nacional.
Transposição luxemburguesa
Lei de 5 de maio de 2026 sobre medidas para assegurar um elevado nível comum de cibersegurança
A transposição luxemburguesa da NIS 2. Entrou em vigor em 15 de maio de 2026. O texto designa a autoridade competente e os CSIRT, fixa os canais de comunicação, as sanções e os deveres de registo. Textos de execução do ILR preenchem o detalhe operacional.
Lei de 5 de maio de 2026
Leva as obrigações da NIS 2 para a lei luxemburguesa. Define entidades essenciais e importantes, os poderes de supervisão do ILR, os deveres de comunicação e as sanções. O detalhe operacional segue-se através de regras do ILR e de textos setoriais específicos.
ILR como autoridade competente principal
O Institut Luxembourgeois de Régulation supervisiona a NIS 2 na maioria dos setores e serve de ponto de contacto único perante o grupo de cooperação da UE. A CSSF mantém a supervisão sobre o setor financeiro ao abrigo do DORA. A resposta a incidentes está dividida entre o GOVCERT.LU para o setor público e o CIRCL para todos os outros.
Transposição tardia, mas as obrigações aplicam-se
O Luxemburgo não cumpriu o prazo da UE de 17 de outubro de 2024. A Comissão abriu um processo por infração e emitiu um parecer fundamentado em 7 de maio de 2025. A Lei de 5 de maio de 2026 fechou a lacuna formal. A comunicação de incidentes significativos segue a diretiva: alerta precoce no prazo de 24 horas, notificação de incidente no prazo de 72 horas, relatório final no prazo de um mês.
Em solo luxemburguês, aplica-se a lei luxemburguesa
As atividades em território luxemburguês seguem a transposição luxemburguesa. Um grupo alemão com uma filial luxemburguesa lê a Lei de 5 de maio de 2026 para essa filial, não o BSIG. As obrigações da diretiva são idênticas. O procedimento, o portal e as sanções residem na lei luxemburguesa.
O Luxemburgo não pode ficar abaixo do patamar da UE
A diretiva é uma harmonização mínima. O Luxemburgo pode ir mais longe. Não pode ficar abaixo da diretiva, nem quanto às obrigações das entidades essenciais e importantes, nem quanto aos prazos de comunicação, nem quanto à responsabilização do órgão de direção.
ILR
Institut Luxembourgeois de Régulation. Autoridade competente principal para a NIS 2, ponto de contacto único e operador do portal myilr.lu usado nas interações com entidades reguladas. Reguladores setoriais como a CSSF mantêm-se responsáveis onde a lex specialis se aplica.
GOVCERT.LU e CIRCL
O Luxemburgo opera dois CSIRT. O GOVCERT.LU, ligado ao Haut-Commissariat à la Protection nationale, trata do setor público. O CIRCL, alojado na Luxembourg House of Cybersecurity, trata do setor privado, dos municípios e das entidades não governamentais. Com qual fala depende de quem é.
ENISA
A agência de cibersegurança da UE. Publica orientações, gere a base de dados europeia de vulnerabilidades e coordena a nível transfronteiriço. Não exerce supervisão direta sobre as entidades luxemburguesas. Isso cabe ao ILR.
Seguimos a nossa casa-mãe alemã, por isso o BSIG cobre-nos.
A filial luxemburguesa é supervisionada ao abrigo da Lei de 5 de maio de 2026 pelo ILR, não pelo BSI ao abrigo do BSIG. As políticas internas do grupo podem ser partilhadas, mas o registo, a comunicação de incidentes e a aprovação do órgão de direção fazem-se perante a autoridade luxemburguesa em território luxemburguês.
Não há registo luxemburguês, por isso as regras ainda não mordem.
A Lei de 5 de maio de 2026 está em vigor desde 15 de maio de 2026. O ILR gere as interações com entidades reguladas através do myilr.lu. Mesmo onde os textos de execução ainda estão a ser lançados, as obrigações da diretiva quanto à gestão de risco, comunicação de incidentes e responsabilização do órgão de direção aplicam-se já.
O ILR só regula as comunicações eletrónicas, por isso a NIS 2 deve residir noutro lado.
O âmbito do ILR cobre comunicações eletrónicas, eletricidade, gás, serviços postais, transportes, espetro radioelétrico e agora a NIS 2 na maioria dos setores. O setor financeiro é a principal exceção, onde a CSSF supervisiona ao abrigo do DORA. Para todos os outros no âmbito, o canal NIS 2 passa pelo ILR.
A maioria dos operadores luxemburgueses do segmento intermédio que encontramos ainda trata a NIS 2 como uma obrigação futura. O prazo escorregou duas vezes, primeiro ao nível da UE em 17 de outubro de 2024, depois na lei nacional que só entrou em vigor em 15 de maio de 2026. Isso criou a impressão de que ainda nada é vinculativo. É. As obrigações da diretiva quanto à gestão de risco e à comunicação de incidentes mordem a partir da data em que a lei nacional produziu efeitos, e o ILR está a supervisionar ao seu abrigo.
O passo prático é o mesmo que em todo o lado na UE: verificar a aplicabilidade face à diretiva, registar-se junto da autoridade competente (aqui o ILR via myilr.lu), montar os quatro deveres contínuos (manter os dados de registo atualizados, comunicar incidentes, gerir o risco da cadeia de abastecimento, assegurar a fiscalização do órgão de direção) e documentar o mínimo. O setor financeiro lê o DORA em paralelo, sob supervisão da CSSF.
Construímos o registo de obrigações NIS 2 sobre a camada da UE, não sobre uma única transposição nacional. A mesma lista de verificação serve uma filial luxemburguesa ao abrigo da Lei de 5 de maio de 2026, uma casa-mãe alemã ao abrigo do BSIG e uma congénere neerlandesa ao abrigo da Cyberbeveiligingswet. As referências de artigos mudam por país, a substância das obrigações não.
Para o âmbito luxemburguês, começa pela verificação de aplicabilidade, depois passa ao ritmo dos incidentes, às cláusulas da cadeia de abastecimento e à aprovação do órgão de direção. Onde o ILR publica orientação setorial, ligamo-la. Não a copiamos.
- Diretiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regulamento de Execução (UE) 2024/2690
- Lei de 5 de maio de 2026 sobre medidas para assegurar um elevado nível comum de cibersegurança, Legilux
- Comissão Europeia, parecer fundamentado ao Luxemburgo sobre a transposição da NIS 2, 7 de maio de 2025
- ILR, Institut Luxembourgeois de Régulation, sítio oficial e portal myilr.lu
- GOVCERT.LU, CSIRT governamental operado pelo Haut-Commissariat à la Protection nationale
- CIRCL, Computer Incident Response Center Luxembourg, Luxembourg House of Cybersecurity
- CSSF, Commission de Surveillance du Secteur Financier, supervisão DORA no setor financeiro