1. Introdução e contexto
A cibersegurança tornou-se um elemento central para a estabilidade das infraestruturas críticas e para a proteção de dados na Europa. Neste contexto, a Diretiva NIS2, formalmente designada Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho, atualiza a Diretiva NIS1 (Diretiva 2016/1148) com o objetivo de reforçar a resiliência e a segurança das redes e dos sistemas de informação dos Estados-Membros. Esta atualização surge em resposta à crescente complexidade e frequência das ciberameaças que afetam setores essenciais para a economia e a sociedade europeias.
A Diretiva NIS2 foi formalmente adotada em dezembro de 2022 e entrou em vigor em janeiro de 2023, com um prazo máximo de transposição para os Estados-Membros até 17 de outubro de 2024 e aplicação efetiva a partir de 18 de outubro de 2024.
Vamos analisar o estado da transposição desta Diretiva em Espanha, o quadro normativo existente e o procedimento legislativo a seguir para garantir a sua correta implementação.
2. Quadro jurídico preexistente em Espanha:
Antes da Diretiva NIS2, Espanha já dispunha de um quadro regulatório de cibersegurança adaptado à Diretiva NIS1:
** Real Decreto-ley 12/2018, de 7 de setembro (decreto-lei do Governo espanhol): transpôs a Diretiva NIS1 para a legislação espanhola, estabelecendo um conjunto de medidas de cibersegurança para os operadores de serviços essenciais e os prestadores de serviços digitais. O RDL 12/2018 definia as categorias de serviços e as obrigações de segurança e de notificação de incidentes.
** Real Decreto 311/2022, de 3 de maio: regula o Esquema Nacional de Seguridad (ENS, o quadro espanhol de requisitos de segurança para o setor público), um instrumento que harmoniza os requisitos mínimos de segurança no setor público e que, em muitos aspetos, já estava alinhado com as novas exigências da NIS2. O ENS é de aplicação obrigatória a todas as entidades do setor público e aos fornecedores que prestam serviços a essas entidades.
Porque coexistiam a Diretiva NIS1 e o ENS?
O ENS foi criado antes da Diretiva NIS1 com o objetivo de unificar e uniformizar as medidas de segurança das entidades do setor público espanhol. A sua existência responde à necessidade de as Administrações Públicas manterem um nível mínimo de cibersegurança e de proteção da informação. Por isso, embora a Diretiva NIS1 se centrasse nos operadores de serviços essenciais e nos prestadores de serviços digitais, o ENS abrangia exclusivamente as entidades do setor público e os seus fornecedores.
Quando a NIS1 foi implementada, em 2018, foi necessário criar um quadro específico para abranger os operadores privados essenciais que não estavam sujeitos ao ENS. Deste modo, as obrigações da Diretiva NIS1 e do ENS coexistiam, mas aplicavam-se a sujeitos diferentes. Com a chegada da NIS2, o ENS está a ser atualizado para harmonizar os seus requisitos e alargar o seu âmbito a entidades privadas de setores críticos, eliminando parte desta segmentação.
O quadro preexistente lança, portanto, as bases para a incorporação da NIS2, que alarga e redefine as categorias de entidades sujeitas à regulamentação e estabelece obrigações de segurança mais rigorosas, bem como um regime sancionatório mais severo.
3. Objetivos e âmbito da Diretiva NIS2:
A NIS2 tem como objetivo alcançar um elevado nível comum de cibersegurança na União Europeia. Para tal, estrutura-se em torno dos seguintes princípios:
Alargamento do âmbito de aplicação: inclui novos setores considerados de elevada criticidade (energia, transportes, saúde, infraestruturas digitais) e outros setores críticos (gestão de resíduos, indústria química e alimentar).
Classificação das entidades em essenciais e importantes: com base na criticidade do setor e na dimensão da entidade. As obrigações de segurança e de notificação são mais rigorosas para as entidades essenciais.
Obrigações reforçadas: introduz obrigações mais exigentes em matéria de gestão de riscos, governação e resiliência. São estabelecidos requisitos específicos para a segurança da cadeia de abastecimento e a gestão de crises.
Regime sancionatório mais severo: as coimas por incumprimento podem atingir 10 milhões de euros ou 2% do volume de negócios anual no caso das entidades essenciais, e 7 milhões de euros ou 1,4% do volume de negócios anual no caso das entidades importantes.
4. Processo de transposição da Diretiva NIS2 em Espanha:
A transposição da Diretiva NIS2 em Espanha está a ser feita através de um Real Decreto-ley, que permitirá ao Governo cumprir o prazo fixado pela UE (17 de outubro de 2024). O recurso ao RDL justifica-se pela extraordinária e urgente necessidade de adaptar a regulamentação atempadamente, de modo a evitar sanções da Comissão Europeia e garantir a segurança das infraestruturas críticas.
O Real Decreto-ley (RDL): permite a entrada em vigor imediata das medidas da NIS2, mas tem de ser ratificado pelo Parlamento no prazo de 30 dias. Este instrumento legislativo é utilizado para cumprir o calendário europeu, assegurando a transposição formal dentro do prazo, mas não implica a aprovação definitiva do texto como lei.
Debate e aprovação pelas Cortes Generales (o Parlamento espanhol): uma vez ratificado, o RDL será objeto de um debate parlamentar completo para se converter numa lei definitiva, momento em que poderão ser introduzidos ajustamentos e alterações em função das posições dos grupos parlamentares e dos agentes sociais afetados. Este processo permite uma maior participação e transparência, embora sujeite o conteúdo do RDL a eventuais alterações.
5. Estado atual da transposição:
Atualmente, a transposição da Diretiva NIS2 encontra-se numa fase avançada, com a redação do Real Decreto-ley praticamente concluída e a sua aprovação em Conselho de Ministros prevista antes da data-limite (17 de outubro de 2024). Segundo fontes não oficiais e a análise do quadro normativo, prevê-se que as principais alterações incidam sobre:
Atualização dos requisitos de cibersegurança para os setores público e privado.
Alargamento da cobertura do ENS, de modo a incluir novos setores e entidades importantes segundo a classificação da NIS2.
Coordenação entre autoridades: o Centro Criptológico Nacional (CCN, o organismo espanhol de cibersegurança do Estado), juntamente com o Ministério dos Assuntos Económicos e da Transformação Digital, serão os responsáveis pela supervisão do cumprimento da regulamentação e pela coordenação com as respetivas CSIRT (equipas de resposta a incidentes de segurança informática).
6. Potenciais problemas e desafios da transposição:
Aprovação parlamentar: embora o RDL garanta a entrada em vigor das obrigações da NIS2, a falta de consenso parlamentar poderá atrasar a aprovação definitiva da lei, gerando incerteza regulatória.
Adaptação das entidades abrangidas: as entidades que anteriormente não estavam sujeitas à NIS1 (por exemplo, serviços de gestão de resíduos e indústria alimentar) terão de se adaptar rapidamente aos novos requisitos.
Aplicação efetiva do regime sancionatório: assegurar que as sanções sejam proporcionadas e eficazes exigirá uma coordenação sólida entre os organismos reguladores e as autoridades competentes.
Esta análise pretende oferecer uma visão global da situação atual e do processo de implementação da Diretiva NIS2 no contexto legislativo espanhol.
