O quadro KRITIS da Alemanha para a proteção de infraestruturas críticas acaba de passar pela sua revisão mais significativa numa década. A Lei de Implementação da NIS2 — Gesetz zur Umsetzung der NIS-2-Richtlinie, ou NIS2UmsG — entrou em vigor a 6 de dezembro de 2025, revendo substancialmente a Lei BSI (BSIG) que rege as obrigações de segurança informática para operadores de infraestruturas críticas desde 2009.
Para organizações que operam em setores como energia, água, saúde, transportes ou TI e telecomunicações, esta não é uma atualização menor. O âmbito de quem é regulado, o que deve fazer e como deve prová-lo mudou de forma concreta. Este artigo explica o que mudou, o que permanece igual e o que significa na prática ao escolher uma plataforma de nuvem.
O que é o KRITIS e o que significa agora sob a nova lei
KRITIS — abreviatura de Kritische Infrastrukturen — é a designação federal alemã para infraestruturas críticas. Os operadores de instalações relevantes para o KRITIS estão há muito sujeitos a obrigações específicas de segurança de TI ao abrigo do BSIG, supervisionadas pelo BSI (Bundesamt für Sicherheit in der Informationstechnik).
Sob a nova lei, a terminologia mudou. O BSIG revisto já não fala de “Kritische Infrastrukturen” como a categoria principal. Em vez disso, regula besonders wichtige Einrichtungen (entidades particularmente importantes) e wichtige Einrichtungen (entidades importantes). Os operadores do que são agora chamadas kritische Anlagen (instalações críticas) são um subconjunto do primeiro grupo e continuam a enfrentar os requisitos mais rigorosos. As obrigações que detinham ao abrigo do BSIG anterior são, em grande parte, mantidas, mas reestruturadas e, nalgumas áreas, reforçadas.
Os setores abrangidos permanecem globalmente os mesmos: energia, transportes, finanças, saúde, água, alimentação, TI e telecomunicações, espaço e gestão de resíduos. O que mudou foi a lógica dos limiares, algumas regras específicas do setor e o âmbito geral de quem é abrangido pelo quadro — não apenas os operadores KRITIS, mas dezenas de milhares de organizações nas categorias mais amplas da NIS2.
Uma mudança estrutural notável: o setor financeiro foi dividido em dois — Finanzwesen (Finanças) e Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende (Prestações de segurança social e rendimento básico para candidatos a emprego). Os prestadores de seguros privados já não estão incluídos. As organizações sujeitas ao regulamento DORA da UE estão isentas de certas obrigações de reporte e auditoria do BSIG, uma vez que os dois quadros se sobrepõem significativamente.
O que os operadores de instalações críticas devem fazer agora
Para os operadores de kritische Anlagen, as obrigações fundamentais — registo, reporte de incidentes, implementação de medidas técnicas e organizativas adequadas e fornecimento regular de provas de conformidade — permanecem em vigor. Mas vários detalhes mudaram.
O registo tem agora duas vias. Os operadores KRITIS existentes devem registar-se não só no portal MIP (Melde- und Informationsportal) existente, que têm utilizado até agora, mas também como uma besonders wichtige Einrichtung no novo portal do BSI. O prazo para os que já estão registados é de três meses a partir de 6 de dezembro de 2025 — ou seja, 6 de março de 2026. Os novos operadores devem efetuar ambos os registos desde o início.
O ciclo de auditoria foi alargado. Anteriormente, os operadores tinham de apresentar provas de conformidade de dois em dois anos. Ao abrigo do novo BSIG, o ciclo é de três em três anos. O BSI notificou diretamente os operadores existentes sobre os seus novos prazos individuais.
O reporte de incidentes segue a estrutura da NIS2. A obrigação anterior de reporte do KRITIS está agora totalmente absorvida no quadro da NIS2. Os operadores que reportam através do MIP não precisam de duplicar o relatório no portal do BSI — o BSI confirmou que este regime transitório permanecerá em vigor, pelo menos, até 31 de julho de 2026.
Os sistemas de deteção de ataques continuam a ser obrigatórios. A exigência de implementar sistemas capazes de detetar eventos relevantes para a segurança — introduzida pelo IT-SiG 2.0 em 2021 — é mantida ao abrigo do §31 do BSIG especificamente para operadores de instalações críticas. O BSI publicou orientações sobre o que estes sistemas devem ser capazes de fazer (Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung), disponíveis através da página de downloads do BSI.
Os pontos de contacto partilhados (GÜAS) foram abolidos. Os operadores que anteriormente partilhavam uma estrutura de contacto comum com pares do mesmo setor devem agora manter, cada um, os seus próprios mecanismos de contacto direto com o BSI.
Por que razão a escolha da plataforma de nuvem é uma decisão de conformidade KRITIS
O BSIG revisto exige explicitamente que os operadores avaliem a fiabilidade dos seus fornecedores de tecnologia — incluindo as plataformas onde correm as suas cargas de trabalho críticas. Isto não é novo, mas está agora mais formalmente incorporado no quadro regulamentar. Especificamente para a infraestrutura de nuvem, isto levanta questões que vão além das certificações e dos SLAs.
As plataformas de nuvem pública de hiperescala — AWS, Azure, GCP — possuem características estruturais difíceis de conciliar com os requisitos do KRITIS. As decisões de encaminhamento de dados são tomadas dinamicamente, tornando tecnicamente difícil garantir que os dados nunca saem da Alemanha ou da UE. Os seus sistemas internos — hipervisores, pilhas de rede — não podem ser auditados de forma independente, o que cria atritos com os requisitos de avaliação da cadeia de fornecimento. E os fornecedores com sede nos EUA continuam sujeitos ao CLOUD Act (18 U.S.C. § 2713), que pode obrigar à divulgação de dados independentemente do local onde estes estão armazenados — um conflito direto com as obrigações de soberania de dados ao abrigo do quadro do BSIG.
Nada disto significa que um hyperscaler não possa fazer parte da infraestrutura de um operador. Mas significa que, para cargas de trabalho classificadas como críticas, a questão da plataforma tem peso regulamentar, e não apenas operacional.
O que procurar numa plataforma de nuvem em conformidade
Com base nos requisitos estabelecidos no BSIG revisto e nas orientações do BSI, uma plataforma de nuvem que suporte cargas de trabalho reguladas pelo KRITIS precisa de abordar demonstravelmente várias áreas:
Alta disponibilidade por arquitetura — não apenas o tempo de atividade prometido contratualmente, mas redundância incorporada nas camadas de computação, armazenamento e rede, sem pontos únicos de falha.
Implementação local ou privada com controlo total da residência dos dados — o operador deve ser capaz de verificar onde os dados são processados e armazenados, sem encaminhamento externo não divulgado.
Encriptação em repouso e em trânsito, gestão de chaves sob o controlo do operador e segmentação de rede rigorosa entre inquilinos.
Capacidade de deteção de ataques que cumpra as orientações do BSI — monitorização em tempo real, deteção de anomalias e integração com ferramentas SIEM.
Registo de auditoria completo (Full audit logging) — cada chamada de API, cada alteração de configuração, cada ação administrativa, exportável para inspeção do BSI e para a submissão trienal de provas de conformidade.
Uma cadeia de fornecimento de software auditável — bases de código aberto com uma lista de materiais de software (SBOM) publicada, para que os operadores possam realizar a avaliação de fiabilidade que a lei exige.
Como o FishOS aborda os requisitos do KRITIS
O FishOS, desenvolvido pela Sardina Systems, é uma plataforma de gestão de nuvem que integra OpenStack, Kubernetes e Ceph numa única pilha automatizada. Foi concebido para implementação em nuvem local e privada, o que significa que os operadores mantêm o controlo direto sobre onde os seus dados residem e são processados — sem dependência de infraestruturas de nuvem externas ou de jurisdições estrangeiras.
No que diz respeito à disponibilidade, o FishOS inclui uma componente proprietária de Monitorização de Saúde (Health Monitoring Component) que analisa continuamente métricas e dados de registo em tempo real. De acordo com a Sardina Systems, utiliza o que descrevem como uma abordagem de “imunologia informática” — identificando não apenas estados de falha, mas estados degradados ou “doentes” antes que causem interrupções. Isto distingue-se das ferramentas de monitorização convencionais.
No lado da segurança e auditoria, o FishOS fornece registos de auditoria centralizados que cobrem ações ao nível do utilizador e do sistema em toda a infraestrutura, e suporta a integração de SIEM. De acordo com análises de terceiros à plataforma, o FishOS inclui uma capacidade SIEM integrada para detetar e responder a ameaças de segurança no ambiente.
Quanto à transparência da cadeia de fornecimento, o FishOS é construído sobre componentes de código aberto — OpenStack, Ceph, Kubernetes — com bases de código publicamente auditáveis. A Sardina Systems fornece documentação SBOM, que apoia diretamente a avaliação da fiabilidade da cadeia de fornecimento exigida pelo BSIG revisto.
O FishOS suporta a migração de VMware e outras plataformas legadas através do seu dispositivo FishOS Move It, utilizando uma abordagem de tempo de inatividade mínimo ou rastreio de blocos alterados (CBT) para ambientes em direto. Ambos os métodos têm um historial comprovado em locais de produção.
O FishOS fornece a base arquitetónica — soberania local, auditabilidade de código aberto, alta disponibilidade e as ferramentas operacionais — de que os operadores necessitam para construir e demonstrar uma infraestrutura em conformidade.
Por onde começar com o KRITIS
Se a sua organização estiver potencialmente abrangida pelo BSIG revisto — seja como um operador KRITIS existente ou como uma entidade recém-regulada sob as categorias NIS2 — as prioridades imediatas são:
Primeiro, verifique se se qualifica como um Betreiber kritischer Anlagen ao abrigo do BSI-KritisV atualizado, ou como uma besonders wichtige ou wichtige Einrichtung ao abrigo do quadro mais amplo da NIS2. O BSI publicou uma ferramenta de autoavaliação para este fim.
Segundo, se já estiver registado no MIP como operador KRITIS, inicie o registo no novo portal do BSI como uma besonders wichtige Einrichtung antes de 6 de março de 2026.
Terceiro, avalie a sua infraestrutura atual face aos requisitos técnicos dos §30 e 31 do BSIG — particularmente no que diz respeito à deteção de ataques, registo de auditoria e documentação da cadeia de fornecimento.
