A 15 de agosto de 2026 entrou em vigor a Cyberbeveiligingswet, a lei com que os Países Baixos transpõem a Diretiva NIS2. Foi aprovada pelo Senado a 7 de julho e substitui a anterior Wbni, que é revogada.
Estão diretamente abrangidas cerca de oito mil organizações: as que operam num setor dos anexos I ou II da diretiva, são médias ou grandes empresas e prestam serviços na União. Certas entidades de risco elevado ficam abrangidas independentemente da dimensão.
O número que conta é outro
Através da responsabilidade sobre a cadeia de fornecimento, a lei alcança cerca de cento e trinta e três mil pequenas e médias empresas neerlandesas. Não por lhe estarem sujeitas, mas por fornecerem quem está — e esse alguém terá de lhes exigir garantias que hoje não possui.
É o mesmo mecanismo que o RGPD desencadeou com o art. 28.º: a obrigação formal recai sobre poucos, mas as exigências contratuais propagam-se a jusante. Quem apoia PME notá-lo-á primeiro nos questionários que os clientes começarão a receber dos seus próprios adjudicantes.
O que se aplica de imediato
- obrigação de registo junto da autoridade competente
- dever de diligência quanto às medidas técnicas e organizativas
- obrigação de notificação de incidentes
- obrigações de governação que recaem sobre o órgão de direção, que responde diretamente
Este último ponto merece atenção: a NIS2 coloca a responsabilidade no conselho de administração, que tem de aprovar as medidas e fiscalizar a sua execução. Não é uma obrigação delegável no departamento informático.
Sem período de transição
As sociedades de advogados que comentaram a lei concordam num ponto: não está previsto qualquer período transitório. Desde 15 de agosto as obrigações são exigíveis, e quem não se moveu antes já está atrasado.
Porque importa fora dos Países Baixos
A NIS2 tem de ser transposta por todos os Estados-Membros, com datas escalonadas. A lei neerlandesa é uma antevisão do que chegará noutros lugares: a mesma estrutura de obrigações, a mesma propagação ao longo da cadeia, a mesma responsabilidade dos administradores.
Para um encarregado de proteção de dados, o ponto de atenção é a sobreposição com o art. 33.º do RGPD. Um mesmo incidente pode desencadear duas notificações, a duas autoridades distintas, com prazos e destinatários distintos: a de segurança ao abrigo da NIS2 e a de violação de dados pessoais ao abrigo do regulamento. São obrigações distintas, e uma não absorve a outra.
Looking for a workspace for your DPO work?
DPO Workspace is built by a certified DPO. 30-day free trial.
Start free
