NIS2: França é levada ao Tribunal de Justiça da UE, 15 mil entidades sem marco nacional

A diretiva NIS2 deveria ter sido transposta até 17 de outubro de 2024. A França perdeu o prazo, a ponto de a Comissão decidir, em 8 de julho de 2026, levá-la ao Tribunal de Justiça da UE ao lado da Espanha, da Irlanda e dos Países Baixos, com pedido de sanções financeiras. A chamada lei Résilience, que deveria transpor o texto, não está na pauta da sessão de julho: sua análise escorrega para o outono europeu. Já a obrigação europeia corre desde outubro de 2024.

Um detalhe muda tudo para quem quer avançar: o referencial técnico já está público. Em março de 2026, a ANSSI publicou seu Referencial Cyber França, que traduz as exigências da NIS2 em objetivos de segurança, vinte para as entidades essenciais, quinze para as entidades importantes. Ou seja, a maior parte do que será exigido já é conhecida antes mesmo da votação da lei. Esperar o texto para começar é esperar a formalização de obrigações cuja substância já se conhece.

A mudança de escala é o ponto central: de algumas centenas de operadores sob a NIS1, a França passa a ter 15 mil ou 18 mil entidades no escopo, divididas entre "entidades essenciais" e "entidades importantes". Empresas de médio porte do setor industrial, prefeituras e governos locais, atores da saúde, do transporte ou do agronegócio vão descobrir que estão no escopo, com obrigações de gestão de riscos, notificação de incidentes e supervisão da ANSSI.

A virada conceitual é a mesma que ocorreu com a LGPD em seu tempo: a segurança cibernética deixa de ser um assunto de especialistas e boas intenções para se tornar um dispositivo cuja existência e funcionamento precisam ser demonstráveis. Governança, análise de riscos, segurança da cadeia de fornecimento, gestão de incidentes, continuidade: cada exigência da diretiva pressupõe evidências.

E a assimetria das sanções concentra a atenção: até 10 milhões de euros ou 2% do faturamento global para as entidades essenciais, com fiscalizações proativas; 7 milhões ou 1,4% para as entidades importantes, fiscalizadas após incidente. Em ambos os casos, no dia da fiscalização, a improvisação aparece.

A NIS2 impõe um patamar mínimo de medidas: políticas de segurança e análise de riscos, gestão de incidentes, continuidade de negócios e gestão de crise, segurança da cadeia de fornecimento, segurança das aquisições e do desenvolvimento, avaliação da eficácia das medidas, higiene de TI e capacitação, criptografia, segurança de recursos humanos e controle de acesso, autenticação multifator. Dez famílias de exigências que, na prática, desenham um referencial.

Soma-se a isso a mecânica de notificação de incidentes significativos, em etapas rígidas: alerta precoce em até 24 horas, notificação em até 72 horas, relatório final em até um mês. Cumprir esses prazos não se improvisa no dia do incidente: isso pressupõe detecção, classificação e uma cadeia de decisão já estruturadas, e já testadas.

O escopo real ultrapassa as 15 mil entidades designadas: a diretiva exige que elas controlem a segurança de sua cadeia de fornecimento, e essa exigência se propaga contratualmente. Um fornecedor de software, um mantenedor industrial ou um prestador de logística fora do escopo direto vai receber os questionários e as cláusulas de seus clientes regulados.

Para esses fornecedores, a leitura inteligente é comercial: quem chega com uma maturidade cibernética medida e demonstrável transforma uma imposição em argumento de diferenciação. Nas licitações de 2027, isso será um critério de seleção, não um bônus.

Para uma organização que está descobrindo o assunto, a ordem razoável cabe em três passos: determinar se está no escopo, e a que título; medir sua maturidade real diante das exigências da diretiva, entidade por entidade, em vez de acumular auditorias pontuais; e converter as lacunas em plano de ação com prazo, porque a adequação vai levar meses e o calendário não vai esperar.

Nosso catálogo conta com 11 referenciais de segurança cibernética para instrumentalizar essa medição, e a lógica vale para grupos empresariais: cada filial avaliada na mesma base, uma consolidação que mostra onde concentrar o esforço. A conformidade com a NIS2 será uma maratona administrada; melhor entrar nela com um instrumento.