{"id":88923,"date":"2026-04-14T10:02:11","date_gmt":"2026-04-14T10:02:11","guid":{"rendered":"https:\/\/www.sardinasystems.com\/sem-categoria\/kritis-nis2umsg-novas-regras-para-as-ti-de-infraestruturas-criticas\/"},"modified":"2026-04-14T11:40:57","modified_gmt":"2026-04-14T11:40:57","slug":"kritis-nis2umsg-new-rules-for-critical-infrastructure-it","status":"publish","type":"post","link":"https:\/\/www.sardinasystems.com\/pt-pt\/noticias\/kritis-nis2umsg-new-rules-for-critical-infrastructure-it\/","title":{"rendered":"KRITIS & NIS2UmsG: Novas Regras para as TI de Infraestruturas Cr\u00edticas"},"content":{"rendered":"\n

O quadro KRITIS da Alemanha para a prote\u00e7\u00e3o de infraestruturas cr\u00edticas acaba de passar pela sua revis\u00e3o mais significativa numa d\u00e9cada. A Lei de Implementa\u00e7\u00e3o da NIS2 \u2014 Gesetz zur Umsetzung der NIS-2-Richtlinie<\/em>, ou NIS2UmsG \u2014 entrou em vigor a 6 de dezembro de 2025, revendo substancialmente a Lei BSI (BSIG) que rege as obriga\u00e7\u00f5es de seguran\u00e7a inform\u00e1tica para operadores de infraestruturas cr\u00edticas desde 2009. <\/p>\n\n

Para organiza\u00e7\u00f5es que operam em setores como energia, \u00e1gua, sa\u00fade, transportes ou TI e telecomunica\u00e7\u00f5es, esta n\u00e3o \u00e9 uma atualiza\u00e7\u00e3o menor. O \u00e2mbito de quem \u00e9 regulado, o que deve fazer e como deve prov\u00e1-lo mudou de forma concreta. Este artigo explica o que mudou, o que permanece igual e o que significa na pr\u00e1tica ao escolher uma plataforma de nuvem. O que \u00e9 o KRITIS e o que significa agora sob a nova lei<\/strong>KRITIS \u2014 abreviatura de Kritische Infrastrukturen<\/em><\/a> \u2014 \u00e9 a designa\u00e7\u00e3o federal alem\u00e3 para infraestruturas cr\u00edticas. Os operadores de instala\u00e7\u00f5es relevantes para o KRITIS est\u00e3o h\u00e1 muito sujeitos a obriga\u00e7\u00f5es espec\u00edficas de seguran\u00e7a de TI ao abrigo do BSIG, supervisionadas pelo BSI (Bundesamt f\u00fcr Sicherheit in der Informationstechnik<\/em>). <\/p>\n\n

Sob a nova lei, a terminologia mudou. O BSIG revisto<\/a> j\u00e1 n\u00e3o fala de “Kritische Infrastrukturen” como a categoria principal. Em vez disso, regula besonders wichtige Einrichtungen<\/em> (entidades particularmente importantes) e wichtige Einrichtungen<\/em> (entidades importantes). Os operadores do que s\u00e3o agora chamadas kritische Anlagen<\/em> (instala\u00e7\u00f5es cr\u00edticas) s\u00e3o um subconjunto do primeiro grupo e continuam a enfrentar os requisitos mais rigorosos. As obriga\u00e7\u00f5es que detinham ao abrigo do BSIG anterior s\u00e3o, em grande parte, mantidas, mas reestruturadas e, nalgumas \u00e1reas, refor\u00e7adas. <\/p>\n\n

Os setores abrangidos permanecem globalmente os mesmos: energia, transportes, finan\u00e7as, sa\u00fade, \u00e1gua, alimenta\u00e7\u00e3o, TI e telecomunica\u00e7\u00f5es, espa\u00e7o e gest\u00e3o de res\u00edduos. O que mudou foi a l\u00f3gica dos limiares, algumas regras espec\u00edficas do setor e o \u00e2mbito geral de quem \u00e9 abrangido pelo quadro \u2014 n\u00e3o apenas os operadores KRITIS, mas dezenas de milhares de organiza\u00e7\u00f5es nas categorias mais amplas da NIS2. <\/p>\n\n

Uma mudan\u00e7a estrutural not\u00e1vel: o setor financeiro foi dividido em dois \u2014 Finanzwesen<\/em> (Finan\u00e7as) e Leistungen der Sozialversicherung sowie Grundsicherung f\u00fcr Arbeitsuchende<\/em> (Presta\u00e7\u00f5es de seguran\u00e7a social e rendimento b\u00e1sico para candidatos a emprego)<\/em>. Os prestadores de seguros privados j\u00e1 n\u00e3o est\u00e3o inclu\u00eddos. As organiza\u00e7\u00f5es sujeitas ao regulamento DORA da UE est\u00e3o isentas de certas obriga\u00e7\u00f5es de reporte e auditoria do BSIG, uma vez que os dois quadros se sobrep\u00f5em significativamente. <\/p>\n\n

O que os operadores de instala\u00e7\u00f5es cr\u00edticas devem fazer agora<\/strong><\/h3>\n\n

Para os operadores de kritische Anlagen<\/em>, as obriga\u00e7\u00f5es fundamentais \u2014 registo, reporte de incidentes, implementa\u00e7\u00e3o de medidas t\u00e9cnicas e organizativas adequadas e fornecimento regular de provas de conformidade \u2014 permanecem em vigor. Mas v\u00e1rios detalhes mudaram. <\/p>\n\n

O registo tem agora duas vias.<\/strong> Os operadores KRITIS existentes devem registar-se n\u00e3o s\u00f3 no portal MIP (Melde- und Informationsportal<\/em>)<\/a> existente, que t\u00eam utilizado at\u00e9 agora, mas tamb\u00e9m como uma besonders wichtige Einrichtung<\/em> no novo portal do BSI. O prazo para os que j\u00e1 est\u00e3o registados \u00e9 de tr\u00eas meses a partir de 6 de dezembro de 2025 \u2014 ou seja, 6 de mar\u00e7o de 2026. Os novos operadores devem efetuar ambos os registos desde o in\u00edcio. <\/p>\n\n

O ciclo de auditoria foi alargado.<\/strong> Anteriormente, os operadores tinham de apresentar provas de conformidade de dois em dois anos. Ao abrigo do novo BSIG, o ciclo \u00e9 de tr\u00eas em tr\u00eas anos. O BSI notificou diretamente os operadores existentes sobre os seus novos prazos individuais. <\/p>\n\n

O reporte de incidentes segue a estrutura da NIS2.<\/strong> A obriga\u00e7\u00e3o anterior de reporte do KRITIS est\u00e1 agora totalmente absorvida no quadro da NIS2. Os operadores que reportam atrav\u00e9s do MIP n\u00e3o precisam de duplicar o relat\u00f3rio no portal do BSI \u2014 o BSI confirmou que este regime transit\u00f3rio permanecer\u00e1 em vigor, pelo menos, at\u00e9 31 de julho de 2026. <\/p>\n\n

Os sistemas de dete\u00e7\u00e3o de ataques continuam a ser obrigat\u00f3rios.<\/strong> A exig\u00eancia de implementar sistemas capazes de detetar eventos relevantes para a seguran\u00e7a \u2014 introduzida pelo IT-SiG 2.0 em 2021 \u2014 \u00e9 mantida ao abrigo do \u00a731 do BSIG especificamente para operadores de instala\u00e7\u00f5es cr\u00edticas. O BSI publicou orienta\u00e7\u00f5es sobre o que estes sistemas devem ser capazes de fazer (Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung<\/em>), dispon\u00edveis atrav\u00e9s da p\u00e1gina de downloads do BSI. <\/p>\n\n

Os pontos de contacto partilhados (G\u00dcAS) foram abolidos.<\/strong> Os operadores que anteriormente partilhavam uma estrutura de contacto comum com pares do mesmo setor devem agora manter, cada um, os seus pr\u00f3prios mecanismos de contacto direto com o BSI.<\/p>\n\n

Por que raz\u00e3o a escolha da plataforma de nuvem \u00e9 uma decis\u00e3o de conformidade KRITIS<\/strong><\/h3>\n\n

O BSIG revisto exige explicitamente que os operadores avaliem a fiabilidade dos seus fornecedores de tecnologia \u2014 incluindo as plataformas onde correm as suas cargas de trabalho cr\u00edticas. Isto n\u00e3o \u00e9 novo, mas est\u00e1 agora mais formalmente incorporado no quadro regulamentar. Especificamente para a infraestrutura de nuvem, isto levanta quest\u00f5es que v\u00e3o al\u00e9m das certifica\u00e7\u00f5es e dos SLAs. <\/p>\n\n

As plataformas de nuvem p\u00fablica de hiperescala \u2014 AWS, Azure, GCP \u2014 possuem caracter\u00edsticas estruturais dif\u00edceis de conciliar com os requisitos do KRITIS. As decis\u00f5es de encaminhamento de dados s\u00e3o tomadas dinamicamente, tornando tecnicamente dif\u00edcil garantir que os dados nunca saem da Alemanha ou da UE. Os seus sistemas internos \u2014 hipervisores, pilhas de rede \u2014 n\u00e3o podem ser auditados de forma independente, o que cria atritos com os requisitos de avalia\u00e7\u00e3o da cadeia de fornecimento. E os fornecedores com sede nos EUA continuam sujeitos ao CLOUD Act (18 U.S.C. \u00a7 2713), que pode obrigar \u00e0 divulga\u00e7\u00e3o de dados independentemente do local onde estes est\u00e3o armazenados \u2014 um conflito direto com as obriga\u00e7\u00f5es de soberania de dados ao abrigo do quadro do BSIG. <\/p>\n\n

Nada disto significa que um hyperscaler n\u00e3o possa fazer parte da infraestrutura de um operador. Mas significa que, para cargas de trabalho classificadas como cr\u00edticas, a quest\u00e3o da plataforma tem peso regulamentar, e n\u00e3o apenas operacional. <\/p>\n\n

O que procurar numa plataforma de nuvem em conformidade<\/strong><\/h3>\n\n

Com base nos requisitos estabelecidos no BSIG revisto e nas orienta\u00e7\u00f5es do BSI, uma plataforma de nuvem que suporte cargas de trabalho reguladas pelo KRITIS precisa de abordar demonstravelmente v\u00e1rias \u00e1reas:<\/p>\n\n

Alta disponibilidade por arquitetura<\/mark><\/strong> \u2014 n\u00e3o apenas o tempo de atividade prometido contratualmente, mas redund\u00e2ncia incorporada nas camadas de computa\u00e7\u00e3o, armazenamento e rede, sem pontos \u00fanicos de falha.<\/p>\n\n

Implementa\u00e7\u00e3o local ou privada com controlo total da resid\u00eancia dos dados<\/strong><\/mark> \u2014 o operador deve ser capaz de verificar onde os dados s\u00e3o processados e armazenados, sem encaminhamento externo n\u00e3o divulgado.<\/p>\n\n

Encripta\u00e7\u00e3o em repouso e em tr\u00e2nsito<\/mark><\/strong>, gest\u00e3o de chaves sob o controlo do operador e segmenta\u00e7\u00e3o de rede rigorosa entre inquilinos.<\/p>\n\n

Capacidade de dete\u00e7\u00e3o de ataques<\/mark><\/strong> que cumpra as orienta\u00e7\u00f5es do BSI \u2014 monitoriza\u00e7\u00e3o em tempo real, dete\u00e7\u00e3o de anomalias e integra\u00e7\u00e3o com ferramentas SIEM.<\/p>\n\n

Registo de auditoria completo (Full audit logging)<\/mark><\/strong> \u2014 cada chamada de API, cada altera\u00e7\u00e3o de configura\u00e7\u00e3o, cada a\u00e7\u00e3o administrativa, export\u00e1vel para inspe\u00e7\u00e3o do BSI e para a submiss\u00e3o trienal de provas de conformidade.<\/p>\n\n

Uma cadeia de fornecimento de software audit\u00e1vel<\/mark><\/strong> \u2014 bases de c\u00f3digo aberto com uma lista de materiais de software (SBOM) publicada, para que os operadores possam realizar a avalia\u00e7\u00e3o de fiabilidade que a lei exige.<\/p>\n\n

Como o FishOS aborda os requisitos do KRITIS<\/strong><\/h3>\n\n

O FishOS, desenvolvido pela Sardina Systems, \u00e9 uma plataforma de gest\u00e3o de nuvem que integra OpenStack, Kubernetes e Ceph numa \u00fanica pilha automatizada. Foi concebido para implementa\u00e7\u00e3o em nuvem local e privada, o que significa que os operadores mant\u00eam o controlo direto sobre onde os seus dados residem e s\u00e3o processados \u2014 sem depend\u00eancia de infraestruturas de nuvem externas ou de jurisdi\u00e7\u00f5es estrangeiras. <\/p>\n\n

No que diz respeito \u00e0 disponibilidade, o FishOS inclui uma componente propriet\u00e1ria de Monitoriza\u00e7\u00e3o de Sa\u00fade (Health Monitoring Component)<\/a> que analisa continuamente m\u00e9tricas e dados de registo em tempo real. De acordo com a Sardina Systems, utiliza o que descrevem como uma abordagem de “imunologia inform\u00e1tica” \u2014 identificando n\u00e3o apenas estados de falha, mas estados degradados ou “doentes” antes que causem interrup\u00e7\u00f5es. Isto distingue-se das ferramentas de monitoriza\u00e7\u00e3o convencionais. <\/p>\n\n

No lado da seguran\u00e7a e auditoria, o FishOS fornece registos de auditoria centralizados que cobrem a\u00e7\u00f5es ao n\u00edvel do utilizador e do sistema em toda a infraestrutura, e suporta a integra\u00e7\u00e3o de SIEM. De acordo com an\u00e1lises de terceiros \u00e0 plataforma, o FishOS inclui uma capacidade SIEM integrada para detetar e responder a amea\u00e7as de seguran\u00e7a no ambiente. <\/p>\n\n

Quanto \u00e0 transpar\u00eancia da cadeia de fornecimento, o FishOS \u00e9 constru\u00eddo sobre componentes de c\u00f3digo aberto \u2014 OpenStack, Ceph, Kubernetes \u2014 com bases de c\u00f3digo publicamente audit\u00e1veis. A Sardina Systems fornece documenta\u00e7\u00e3o SBOM, que apoia diretamente a avalia\u00e7\u00e3o da fiabilidade da cadeia de fornecimento exigida pelo BSIG revisto. <\/p>\n\n

O FishOS suporta a migra\u00e7\u00e3o de VMware e outras plataformas legadas atrav\u00e9s do seu dispositivo FishOS Move It, utilizando uma abordagem de tempo de inatividade m\u00ednimo ou rastreio de blocos alterados (CBT) para ambientes em direto. Ambos os m\u00e9todos t\u00eam um historial comprovado em locais de produ\u00e7\u00e3o. <\/p>\n\n

O FishOS fornece a base arquitet\u00f3nica \u2014 soberania local, auditabilidade de c\u00f3digo aberto, alta disponibilidade e as ferramentas operacionais \u2014 de que os operadores necessitam para construir e demonstrar uma infraestrutura em conformidade.<\/p>\n\n

Por onde come\u00e7ar com o KRITIS<\/strong>Se a sua organiza\u00e7\u00e3o estiver potencialmente abrangida pelo BSIG revisto \u2014 seja como um operador KRITIS existente ou como uma entidade rec\u00e9m-regulada sob as categorias NIS2 \u2014 as prioridades imediatas s\u00e3o:<\/p>\n\n

Primeiro, verifique se se qualifica como um Betreiber kritischer Anlagen<\/em> ao abrigo do BSI-KritisV atualizado, ou como uma besonders wichtige<\/em> ou wichtige Einrichtung<\/em> ao abrigo do quadro mais amplo da NIS2. O BSI publicou uma ferramenta de autoavalia\u00e7\u00e3o para este fim. <\/p>\n\n

Segundo, se j\u00e1 estiver registado no MIP como operador KRITIS, inicie o registo no novo portal do BSI como uma besonders wichtige Einrichtung<\/em> antes de 6 de mar\u00e7o de 2026.<\/p>\n\n

Terceiro, avalie a sua infraestrutura atual face aos requisitos t\u00e9cnicos dos \u00a730 e 31 do BSIG \u2014 particularmente no que diz respeito \u00e0 dete\u00e7\u00e3o de ataques, registo de auditoria e documenta\u00e7\u00e3o da cadeia de fornecimento.<\/p>\n\n

\"Um<\/a><\/figure>\n\n

<\/p>\n","protected":false},"excerpt":{"rendered":"

O quadro KRITIS da Alemanha para a prote\u00e7\u00e3o de infraestruturas cr\u00edticas acaba de passar pela sua revis\u00e3o mais significativa numa d\u00e9cada. A Lei de Implementa\u00e7\u00e3o da NIS2 \u2014 Gesetz zur Umsetzung der NIS-2-Richtlinie, ou NIS2UmsG \u2014 entrou em vigor a 6 de dezembro de 2025, revendo substancialmente a Lei BSI (BSIG) que rege as obriga\u00e7\u00f5es […]<\/p>\n","protected":false},"author":20,"featured_media":88924,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1256,1257],"tags":[1724,3474],"class_list":["post-88923","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-o-nosso-blog","tag-infraestrutura-aberta","tag-conformidade-na-nuvem","grve-entry-item","grve-blog-item"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t