Bruxelas leva quatro países ao Tribunal da UE por atraso na NIS2

A Comissão Europeia decidiu remeter a Irlanda, a Espanha, a França e os Países Baixos para o Tribunal de Justiça da União Europeia por não terem transposto a Diretiva NIS2 para o direito nacional. Bruxelas pede a aplicação de sanções financeiras, uma vez que o prazo de transposição expirou a 17 de outubro de 2024. Portugal não consta da lista, por ter concluído entretanto a sua transposição.

A decisão de recorrer ao Tribunal de Justiça foi tomada a 7 de julho de 2026 e visa quatro Estados-membros que continuam sem notificar as medidas de transposição da diretiva. A NIS2 fixa requisitos de cibersegurança para entidades de 18 setores considerados críticos, entre os quais a saúde, a energia, os transportes, as infraestruturas digitais e a administração pública.

Segundo a Comissão, o processo já percorreu as fases habituais de infração. Bruxelas enviou cartas de notificação para cumprir a 28 de novembro de 2024 e pareceres fundamentados a 7 de maio de 2025. Como as respostas não foram consideradas satisfatórias, o caso avança agora para a instância judicial.

O pedido apresentado ao Tribunal inclui a imposição de sanções financeiras, compostas por um montante fixo e por sanções pecuniárias diárias, que se manteriam até cada país comunicar formalmente a transposição integral da legislação. O valor final caberá ao Tribunal de Justiça, caso confirme o incumprimento.

O atraso não é um caso isolado. A Comissão Europeia abriu procedimentos de infração contra 23 Estados-membros por não terem transposto a NIS2 dentro do prazo, num sinal da dificuldade generalizada em adaptar as regras nacionais ao novo quadro europeu de cibersegurança. Os quatro países agora visados estão entre os que acumulam maior atraso.

Portugal ficou de fora deste grupo por ter concluído a transposição da diretiva através do Decreto-Lei n.º 125/2025, encerrando o processo legislativo que muitos parceiros europeus ainda não completaram.

Para as empresas abrangidas, a mensagem prática é clara. Independentemente do ritmo de cada Estado-membro, as obrigações da NIS2 tornam-se exigíveis à medida que os enquadramentos nacionais entram em vigor. As organizações que operam em setores críticos devem identificar se estão no âmbito da diretiva, rever as suas medidas de gestão de risco e os deveres de comunicação de incidentes, e assegurar a responsabilização dos órgãos de gestão previstos na lei.

Fonte: https://www.itsecurity.pt/news/compliance/comissao-europeia-leva-quatro-paises-a-tribunal-por-atraso-na-nis2. Escrito pela equipa N4A, revisto por um Lead Auditor certificado ISO 27001.