Introdução
Durante a maior parte de 2025 e o início de 2026, a fiscalização da NIS2 foi teórica: uma diretiva com limites máximos de coimas elevados e sem historial de aplicação. Isso mudou este verão. Já foram aplicadas coimas confirmadas em pelo menos quatro Estados-Membros, as ordens formais de supervisão contam-se às dezenas só na Alemanha e em França e, a 8 de julho de 2026, a Comissão Europeia remeteu a Irlanda, a Espanha, a França e os Países Baixos para o Tribunal de Justiça da União Europeia por não terem transposto integralmente a diretiva para o direito nacional. A NIS2 já não é um prazo de conformidade num diapositivo. É um regime de fiscalização ativo.
As coimas até agora
- Bélgica: cerca de 185 000 €
- Itália: cerca de 450 000 €
- Hungria: cerca de 78 000 €
- Lituânia: cerca de 52 000 €
A atividade de supervisão avança mais depressa do que as coimas
As coimas são um indicador tardio. O sinal mais imediato é o volume de ordens formais de supervisão já emitidas: cerca de 47 pelo BSI alemão e 23 pela ANSSI francesa, que atua ao abrigo do seu quadro de 2018 enquanto a transposição formal da NIS2 continua pendente no país. Há já programas de auditoria ativos em pelo menos 14 Estados-Membros, dirigidos em primeiro lugar às entidades essenciais. Uma organização que ainda não foi alvo de coima não deve interpretar isso como prova de que está em conformidade, apenas como sinal de que o seu supervisor ainda não chegou até ela.
Porque é que quatro Estados-Membros enfrentam o Tribunal de Justiça
A NIS2 exigia a transposição nacional até outubro de 2024. Em maio de 2026, cerca de 21 a 23 dos 27 Estados-Membros tinham-no feito, deixando uma minoria persistente (incluindo algumas das maiores economias da UE) a funcionar com quadros nacionais parciais ou incompletos. A decisão da Comissão de remeter a Irlanda, a Espanha, a França e os Países Baixos para o TJUE é uma escalada formal, não um gesto simbólico: dá início a um processo judicial que pode, em última instância, resultar em sanções pecuniárias contra o próprio Estado-Membro, que acrescem às obrigações que já recaem sobre as entidades reguladas que aí operam, e não as substituem.
O que isto significa, na prática, para as provas de conformidade
As organizações que até agora evitaram coimas não são as que têm as melhores políticas no papel: as coimas recaíram sobre entidades essenciais e importantes que, quando investigadas, não conseguiram apresentar provas contínuas dos controlos descritos nos seus documentos de política. Uma auditoria de supervisão não pergunta se existe uma política de segurança; pergunta se a organização consegue demonstrar, com provas com carimbo temporal, que a política foi cumprida nas datas relevantes. É exatamente nessa distinção que as provas de conformidade verificáveis por máquina e geradas continuamente superam um dossier de auditoria que retrata um único momento.
À medida que a fiscalização da NIS2 passa da teoria à prática, é no fosso entre a política de conformidade e as provas de conformidade que as coimas estão a recair. Veja como a ROOTKey gera provas NIS2 contínuas e prontas para auditoria.