Um mapa desigual
Em maio de 2026, 23 dos 27 Estados-Membros tinham transposto a NIS2 para o direito nacional. O grupo restante inclui Espanha, com uma transposição parcial, a par da Bulgária, da Polónia e da Eslovénia. A Comissão Europeia levou sete Estados-Membros ao Tribunal de Justiça por falta de transposição.
Para uma organização que opera num único país, isto é uma mera curiosidade. Para uma que opera em seis, é um problema de planeamento sem resposta limpa, porque o panorama de obrigações é genuinamente diferente consoante o sítio para onde se olha e está a mudar segundo um calendário que ninguém controla.
As três posições possíveis e o custo de cada uma
As entidades multinacionais estão, em termos gerais, a escolher uma de três abordagens, e cada uma tem um modo de falha distinto.
Esperar pela lei nacional. Defensável e cada vez mais desconfortável. As obrigações da diretiva não surgem do nada quando uma lei nacional é aprovada - chegam acompanhadas de prazos de implementação, e as organizações que começaram no momento da transposição têm constatado, de forma sistemática, que a margem disponível é mais curta do que o esperado. Além disso, fica-se sem nada para mostrar se, entretanto, ocorrer um incidente numa jurisdição onde a substância da diretiva está na ordem do dia política, mesmo que a lei ainda não esteja em vigor.
Cumprir a base da diretiva em todo o lado. A opção mais simples do ponto de vista operacional e ligeiramente mais abrangente do que o necessário. Implementam-se os requisitos da diretiva em toda a União e aceita-se que algumas jurisdições acabarão por pedir um pouco mais ou um pouco menos. A maioria das grandes organizações que acompanhamos está aqui.
Cumprir a norma nacional mais exigente em todo o lado. A opção mais segura e a mais dispendiosa. Faz sentido para um pequeno número de entidades altamente reguladas e é difícil de justificar nos restantes casos, porque a transposição mais exigente em cada ponto não é a do mesmo país para todos os pontos.
Onde as transposições diferem de facto
A diretiva harmoniza mais do que se lhe reconhece, e as divergências concentram-se num conjunto previsível de pontos. Se estiver a construir um programa multijurisdicional, estes são os campos a acompanhar país a país, em vez de assumir uma resposta única.
A identificação das entidades e a mecânica de registo diferem substancialmente - quem se regista, em que plataforma, em que prazo e se é a autoridade de supervisão que identifica as entidades ou a própria entidade que se autoidentifica. Os canais e os limiares de notificação de incidentes variam em torno de uma cadência comum. As estruturas de supervisão diferem: alguns Estados concentram a supervisão numa autoridade nacional de cibersegurança e outros distribuem-na pelos reguladores setoriais. Os procedimentos sancionatórios e a aplicação prática da responsabilidade dos órgãos de gestão variam de forma significativa. E vários Estados alargaram o âmbito de aplicação para além do mínimo da diretiva, abrangendo setores ou limiares de dimensão que a diretiva não exigia.
A boa notícia é que as expectativas de controlo subjacentes são, em termos gerais, consistentes. A variação está na interface com a autoridade de supervisão, não na substância do que é preciso fazer.
Porque é que uma única base de provas resiste à variação
A conclusão prática decorre deste último ponto. Se os controlos são, em termos gerais, consistentes e as interfaces diferem, então o que custa construir por jurisdição é a interface, e o que custa construir uma única vez são as provas.
Isto implica resistir à tendência organizacional natural para criar silos de conformidade por país. Uma filial polaca que constrói o seu próprio repositório de provas porque a lei polaca ainda não está em vigor, e uma filial portuguesa que constrói outro porque o CNCS começou a auditar, produzem duas imagens incompletas e uma função de grupo que não consegue responder a uma pergunta sobre nenhuma delas.
Uma base de provas única que regista o que aconteceu, quando e sob a autoridade de quem - consultável por entidade, por jurisdição e por autoridade de supervisão - responde a Portugal hoje e à Polónia quando a vez da Polónia chegar. Apresentámos um argumento estruturalmente idêntico sobre regimes sobrepostos, em vez de jurisdições sobrepostas, em construir uma única camada de provas para entidades financeiras com dupla regulação.
- Manter uma folha de estado por jurisdição que cubra o estado da transposição, a autoridade de supervisão, a mecânica de registo e o canal de notificação, e revê-la mensalmente em vez de anualmente
- Construir os controlos segundo a base da diretiva e tratar as variações nacionais como configuração por cima, não como programas separados
- Manter as provas centralizadas, com a jurisdição como atributo, para que o pedido de uma autoridade de supervisão possa ser respondido sem um exercício de recolha de dados
- Identificar qual das suas entidades seria a primeira a enfrentar supervisão e usar essa jurisdição para pôr à prova o modelo do grupo
- Acompanhar os processos por infração, já que a ação intentada no Tribunal de Justiça tende a preceder uma ação nacional rápida
- Portugal é atualmente a jurisdição mais instrutiva a acompanhar, uma vez que o registo e a atividade de supervisão estão ambos em curso - veja a nossa cobertura sobre Portugal
- A postura de fiscalização da Alemanha dá o sinal mais claro de como é uma relação de supervisão madura - veja a vaga de fiscalização NIS2 na Alemanha
- O panorama da fiscalização ao nível da União, incluindo as primeiras coimas, é acompanhado no monitor de fiscalização da NIS2
Se as provas do seu grupo estão hoje em tantos sítios quantas as filiais que tem, consolidá-las dá menos trabalho do que parece. Pode começar com uma entidade e uma jurisdição ou ver como se estruturam as implementações multientidade na página enterprise da ROOTKey.