Estado da NIS 2 na Suécia
O que a diretiva exige, como a Suécia a transpôs tarde, e onde o MCF e o CERT-SE se situam no quadro.
Panorama
A diretiva NIS 2 é a camada da UE. Vincula cada Estado-Membro, incluindo a Suécia, a um piso único de cibersegurança para entidades essenciais e importantes. A Suécia tem de colocar esse piso na lei sueca e operar um regime de supervisão ao seu abrigo.
A Suécia falhou o prazo de transposição da UE de 17 de outubro de 2024. A Comissão Europeia emitiu um parecer fundamentado em 7 de maio de 2025 por falta de notificação da transposição integral. Só a Cybersäkerhetslagen (SFS 2025:1506), emitida em 11 de dezembro de 2025 e em vigor desde 15 de janeiro de 2026, levou finalmente a diretiva para a lei sueca.
O MCF (Myndigheten för civilt försvar, conhecido como MSB até 31 de dezembro de 2025) é o coordenador nacional e o Ponto de Contacto Único para a NIS 2. O CERT-SE mantém-se como o CSIRT nacional e situa-se dentro do MCF. A Suécia opera um modelo de supervisão descentralizado: reguladores setoriais como PTS, Energimyndigheten, Transportstyrelsen, Finansinspektionen, IVO e Livsmedelsverket realizam a supervisão operacional nos seus respetivos setores.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança à escala da UE. Fixa as obrigações que cada Estado-Membro tem de transpor, incluindo os testes de dimensão e setor para entidades essenciais e importantes. O prazo de transposição foi 17 de outubro de 2024.
Implementação da UE
Regulamento de Execução da Comissão (UE) 2024/2690
Medidas técnicas e metodológicas para prestadores de infraestrutura digital. Diretamente aplicável na Suécia, sem transposição nacional.
Transposição sueca
Cybersäkerhetslagen (SFS 2025:1506), em vigor desde 15 de janeiro de 2026
A transposição sueca da NIS 2. Emitida em 11 de dezembro de 2025 com base na Proposition 2025/26:28 'Ett starkt skydd för nätverks- och informationssystem'. Acompanhada pela Cybersäkerhetsförordning e por regras emitidas pelos reguladores setoriais. Revoga a antiga lei NIS 1 de 2018, que continua a aplicar-se a eventos ocorridos antes de 15 de janeiro de 2026.
Cybersäkerhetslagen (SFS 2025:1506)
Leva as obrigações da NIS 2 para a lei sueca. A Comissão tinha aberto um processo por infração com um parecer fundamentado em 7 de maio de 2025. Com a Cybersäkerhetslagen, em vigor desde 15 de janeiro de 2026, a Suécia está formalmente transposta. A Cybersäkerhetsförordning que a acompanha e as regras dos reguladores setoriais preenchem o detalhe operacional.
MCF como SPOC, CERT-SE como CSIRT, reguladores setoriais como supervisores
A Suécia opera um modelo de supervisão descentralizado. O MCF (Myndigheten för civilt försvar, anteriormente MSB) é o Ponto de Contacto Único nacional e aloja o CERT-SE como o CSIRT nacional. A supervisão operacional cabe aos reguladores setoriais: PTS para a infraestrutura digital e telecomunicações, Energimyndigheten para a energia, Transportstyrelsen para os transportes, Finansinspektionen para as finanças, IVO para a saúde, Livsmedelsverket para a água potável.
Registo e notificação
O MCF opera o portal nacional de notificação ao abrigo da Cybersäkerhetslagen. As entidades abrangidas têm de se autoidentificar e notificar sem demora indevida após a entrada em vigor. Os incidentes significativos seguem a cadência da diretiva: aviso prévio de 24 horas, notificação de 72 horas, relatório final de um mês. Para os prestadores de serviços de confiança, a janela principal de notificação encurta para 24 horas.
A lei local aplica-se dentro da Suécia
As operações em território sueco seguem a transposição sueca. Um Geschäftsführer alemão que gere uma filial sueca lê a Cybersäkerhetslagen (SFS 2025:1506) para essa filial, não a BSIG alemã. As obrigações da diretiva são as mesmas; o procedimento, o portal de notificação e as sanções vivem na lei sueca.
A Suécia não pode descer abaixo do piso da UE
A diretiva é um instrumento de harmonização mínima. A Suécia pode ir mais longe e usou parte dessa margem, em particular através de uma abordagem de 'entidade integral' que capta toda a organização e não apenas a parte que presta o serviço. A Suécia não pode descer abaixo da diretiva nos deveres das entidades essenciais e importantes, nos prazos de notificação de incidentes ou na responsabilização do órgão de direção.
MCF (anteriormente MSB)
Myndigheten för civilt försvar, com este nome desde 1 de janeiro de 2026, anteriormente Myndigheten för samhällsskydd och beredskap (MSB). Ponto de Contacto Único nacional para a NIS 2 e anfitrião do CERT-SE. Opera o portal de notificação ao abrigo da Cybersäkerhetslagen. A supervisão setorial operacional não cabe ao MCF; cabe aos reguladores setoriais.
CERT-SE
O CSIRT nacional da Suécia, organizacionalmente parte do MCF. Recebe notificações de incidentes significativos ao abrigo da NIS 2, apoia as entidades 24/7 e troca informação dentro da Rede de CSIRT da UE. Contactável em cert@cert.se. No verão de 2026, parte das atividades cibernéticas operacionais e estratégicas está prevista para transitar do MCF para a Försvarets radioanstalt (FRA); o CERT-SE mantém-se, por ora, como o ponto de notificação nacional.
ENISA
A agência de cibersegurança da UE. Publica orientação, gere a base de dados europeia de vulnerabilidades e apoia a coordenação transfronteiriça. Não é supervisor das entidades suecas; são o MCF e os reguladores setoriais.
A Suécia e a Alemanha regulam isto da mesma forma.
As obrigações da diretiva são idênticas, as estruturas não. A Alemanha centraliza a supervisão através do BSI ao abrigo da BSIG. A Suécia divide os papéis: o MCF é o SPOC nacional e aloja o CERT-SE, enquanto a supervisão operacional cabe a um conjunto de reguladores setoriais. Uma empresa-mãe alemã com uma filial sueca precisa do regulador setorial como o endereço de supervisão dessa filial, não do MCF.
Enquanto ninguém me contactar, estou fora de âmbito.
Como a maioria dos Estados-Membros, a Suécia opera um modelo de autoclassificação. Uma entidade que cumpre o teste de dimensão e setor da diretiva é uma entidade obrigada, independentemente de o MCF publicar uma lista. O MCF opera o portal nacional de notificação e o primeiro registo tinha de ser concluído sem demora indevida após a entrada em vigor. A ausência de uma carta das autoridades não é defesa contra sanções.
Só lidamos com o nosso regulador setorial.
O regulador setorial é o supervisor, o MCF é o endereço de notificação e o CERT-SE o canal de incidentes. Na prática, o trabalho de NIS 2 toca os três: registo através do portal do MCF, supervisão contínua pela PTS, Energimyndigheten, Finansinspektionen ou outro regulador setorial, e notificação de incidentes ao CERT-SE. Tratar qualquer um deles como a única contraparte é ler mal a arquitetura sueca.
A maioria dos operadores suecos que vemos passou todo o ano de 2025 num limbo. Até meados de dezembro de 2025, a Cybersäkerhetslagen estava no Riksdag como Proposition 2025/26:28 e nada mais. A consequência: muitos diretores-gerais pausaram o seu trabalho de NIS 2 e depois tiveram de comprimir a notificação e a primeira documentação na janela logo após 15 de janeiro de 2026.
O passo prático é o mesmo que em todo o resto da UE: confirmar o âmbito ao abrigo da diretiva, registar-se através do portal nacional (aqui o MCF), estabelecer as quatro obrigações contínuas (manutenção do registo, notificação de incidentes, risco da cadeia de abastecimento, supervisão pelo órgão de direção) e documentar o mínimo. O regulador setorial mantém-se como o endereço de supervisão; o MCF e o CERT-SE são os canais operacionais.
Construímos o registo de obrigações da NIS 2 sobre a camada da UE, não sobre nenhuma transposição nacional isolada. A mesma lista de verificação funciona para uma filial sueca a usar a Cybersäkerhetslagen, uma empresa-mãe alemã a usar a BSIG e uma empresa irmã neerlandesa a usar a Cyberbeveiligingswet. As referências aos artigos mudam por locale; as obrigações substantivas não.
Para o âmbito sueco, começa pela verificação de aplicabilidade, depois avança para o registo no MCF, a notificação de incidentes através do CERT-SE, as cláusulas da cadeia de abastecimento e a aprovação do órgão de direção. Onde a PTS, a Energimyndigheten ou a Finansinspektionen emitem regras setoriais, referenciamo-las; não as duplicamos.
- Diretiva (UE) 2022/2555 (NIS 2). EUR-Lex
- Regulamento de Execução da Comissão (UE) 2024/2690
- Cybersäkerhetslagen (SFS 2025:1506). Sveriges riksdag
- Proposition 2025/26:28 'Ett starkt skydd för nätverks- och informationssystem'. Sveriges riksdag
- MCF (Myndigheten för civilt försvar, anteriormente MSB). sítio oficial
- CERT-SE. CSIRT nacional sueco (alojado no MCF)
- Comissão Europeia. Implementação da Diretiva NIS2 na Suécia (digital-strategy.ec.europa.eu)
- PTS, Energimyndigheten, Transportstyrelsen, Finansinspektionen, IVO, Livsmedelsverket. reguladores setoriais