Estado da NIS 2 em Malta
O que a diretiva exige, como Malta a transpõe, e onde se situa a autoridade nacional.
Visão geral
A Diretiva NIS 2 é a camada da UE. Vincula todos os Estados-Membros, Malta incluída, com um único piso mínimo para entidades essenciais e importantes. Malta tem de levar esse piso ao direito maltês e operar uma autoridade competente ao seu abrigo.
Malta transpõe a NIS 2 através do Legal Notice 71 of 2025, a Measures for a High Common Level of Cybersecurity across the European Union (Malta) Order, publicada no Government Gazette em 8 de abril de 2025 e mantida como legislação subsidiária 460.41. Malta não cumpriu o prazo da UE de 17 de outubro de 2024, mas transpôs antes de a Comissão Europeia escalar para um parecer fundamentado em maio de 2025, altura em que Malta não constava da lista de dezanove Estados-Membros que o receberam.
A unidade Critical Information Infrastructure Protection no Ministry for Home Affairs and National Security é listada pela Comissão Europeia como o ponto de contacto único e a autoridade competente para entidades essenciais e importantes. O CSIRTMalta é o CSIRT nacional para o tratamento e a coordenação de incidentes.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança à escala da UE. Fixa as obrigações que cada Estado-Membro tem de transpor, incluindo o teste de dimensão e de setor para entidades essenciais e importantes.
Implementação da UE
Regulamento de Execução (UE) 2024/2690 da Comissão
Medidas técnicas e metodológicas para os prestadores de infraestrutura digital. Diretamente aplicável em Malta, sem transposição nacional exigida.
Transposição maltesa
Legal Notice 71 of 2025 (SL 460.41), publicado em 8 de abril de 2025
A transposição maltesa da NIS 2, formalmente a Measures for a High Common Level of Cybersecurity across the European Union (Malta) Order. Como legislação subsidiária, assenta abaixo de uma lei-mãe; o detalhe operacional vem através da orientação da autoridade competente.
Legal Notice 71 of 2025
Traz as obrigações da NIS 2 ao direito maltês como legislação subsidiária 460.41. Define as categorias de entidade essencial e importante, os poderes da autoridade competente, os deveres de comunicação e as sanções. Como Legal Notice, pode ser atualizado mais depressa do que a legislação primária, pelo que os profissionais devem acompanhar a entrada em legislation.mt em vez de confiar numa versão impressa estática.
Autoridade competente e ponto de contacto único
A Comissão Europeia lista a unidade Critical Information Infrastructure Protection no Ministry for Home Affairs and National Security como a autoridade competente e o ponto de contacto único de Malta ao abrigo da NIS 2. É o canal para a coordenação transfronteiriça com outros Estados-Membros, a ENISA e o grupo de cooperação.
Registo e comunicação
A diretiva exige que os Estados-Membros identifiquem as entidades essenciais e importantes até 17 de abril de 2025. O Legal Notice de Malta entrou em vigor perto dessa janela. Os incidentes significativos seguem a cadência da diretiva: alerta precoce no prazo de 24 horas, notificação no prazo de 72 horas, relatório final no prazo de um mês. Onde a ordem maltesa especifique um portal ou formulário de contacto nacional, a autoridade competente publica o canal.
Em solo maltês, aplica-se o direito maltês
A atividade em território maltês segue a transposição maltesa. Uma empresa-mãe estrangeira com uma filial maltesa lê o Legal Notice 71 of 2025 para essa filial, não o BSIG nem o direito de qualquer outro Estado-Membro. As obrigações da diretiva são idênticas. O procedimento, o canal de registo e as sanções residem no direito maltês.
Malta não pode descer abaixo do piso da UE
A diretiva é harmonização mínima. Malta pode ir mais longe. Malta não pode descer abaixo da diretiva, nem nos deveres das entidades essenciais e importantes, nem nos prazos de comunicação de incidentes, nem na responsabilização do órgão de gestão.
Unidade Critical Information Infrastructure Protection
A autoridade competente e o ponto de contacto único listados pela Comissão Europeia, alojados no Ministry for Home Affairs and National Security. Coordena a supervisão das entidades essenciais e importantes, cumpre o papel transfronteiriço de ponto de contacto único, e canaliza a aplicação ao abrigo do Legal Notice 71 of 2025.
CSIRTMalta
O CSIRT nacional de Malta para o tratamento e a coordenação de incidentes ao abrigo da NIS 2. Recebe as notificações de incidentes significativos, apoia as entidades afetadas, e participa na Rede de CSIRT da UE. O canal exato de comunicação da NIS 2 e qualquer portal técnico residem no CSIRTMalta e na autoridade competente; consulte a sua orientação publicada para o formulário de apresentação atual.
ENISA
A agência de cibersegurança da UE. Publica orientações, gere a base de dados europeia de vulnerabilidades e coordena entre fronteiras. Não é o supervisor das entidades maltesas. Esse papel cabe à autoridade nacional competente.
Seguimos o que a nossa empresa-mãe alemã faz, por isso a NIS 2 está coberta.
As obrigações da diretiva são idênticas, o procedimento nacional não. Uma filial maltesa regista-se em Malta junto da autoridade competente maltesa, comunica os incidentes através do CSIRTMalta e enfrenta sanções ao abrigo do direito maltês. O BSIG alemão conduz a entidade alemã. O Legal Notice 71 of 2025 maltês conduz a entidade maltesa. A conformidade ao nível do grupo não substitui a apresentação maltesa.
Ainda não há um canal de registo NIS 2 maltês, por isso esperamos.
As obrigações da diretiva aplicam-se a partir do momento em que a entidade está dentro de âmbito, não a partir do momento em que um portal parece acabado. Onde Malta ainda não montou um registo em linha, a autoridade competente publica um percurso de contacto provisório. Ficar de fora não é uma defesa ao abrigo do artigo 21.º da diretiva uma vez cumprido o teste de dimensão e de setor.
A NIS 2 em Malta só atinge os setores críticos óbvios.
O teste de dimensão e de setor limita-se, por defeito, às empresas de média e grande dimensão, mas a diretiva também apanha entidades mais pequenas quando são prestadores únicos, operam transfronteiras, ou são nomeadas no direito nacional. As administrações públicas e certos prestadores digitais estão dentro de âmbito independentemente da dimensão. A verificação de aplicabilidade tem de correr caso a caso, não apenas pela dimensão da empresa.
A maioria dos operadores malteses que encontramos trata a NIS 2 como o próximo dossiê de conformidade depois do GDPR. Isso está bem como enquadramento de projeto. A substância é diferente: a diretiva fala de continuidade do serviço, risco da cadeia de fornecimento e responsabilização da gestão, não apenas de dados pessoais. Os administradores de uma empresa maltesa ao abrigo da NIS 2 validam pessoalmente a linha de base de gestão de risco e a sua própria formação. Essa validação não é delegável no grupo-mãe nem num consultor externo.
A sequência prática é a mesma em toda a UE: fazer a verificação de aplicabilidade face à diretiva, registar-se junto da autoridade nacional competente assim que o canal estiver aberto, estabelecer os quatro deveres contínuos (manter os dados de registo atualizados, comunicação de incidentes, risco da cadeia de fornecimento, supervisão do órgão de gestão), e documentar o mínimo. Onde o CSIRTMalta ou a autoridade competente publica orientação setorial, use-a. Onde não publica, o texto da diretiva e o regulamento de execução são a alternativa.
Construímos o registo de obrigações da NIS 2 sobre a camada da UE, não sobre uma transposição nacional específica. A mesma lista de verificação serve uma filial maltesa ao abrigo do Legal Notice 71 of 2025, uma empresa-mãe alemã ao abrigo do BSIG e uma empresa irmã neerlandesa ao abrigo da Cyberbeveiligingswet. As referências aos artigos mudam por país, os deveres substantivos não.
Para o âmbito maltês, comece com a verificação de aplicabilidade, depois passe à cadência de incidentes, às cláusulas de cadeia de fornecimento e à validação do órgão de gestão. Onde o CSIRTMalta ou a autoridade competente publica orientação setorial, ligamo-la. Não a copiamos.
- Diretiva (UE) 2022/2555 (NIS 2). EUR-Lex
- Regulamento de Execução (UE) 2024/2690 da Comissão
- Legal Notice 71 of 2025, Measures for a High Common Level of Cybersecurity across the European Union (Malta) Order. legislation.mt (SL 460.41)
- Comissão Europeia, página de implementação da NIS 2 para Malta. digital-strategy.ec.europa.eu
- Comissão Europeia, pareceres fundamentados de maio de 2025 sobre a transposição da NIS 2 (Malta não listada)
- CSIRTMalta. CSIRT nacional de Malta
- ENISA. Agência da União Europeia para a Cibersegurança