Resumo

  • A proposta COM(2026) 13 levaria entidades essenciais e importantes, além de serviços de registro de nomes de domínio, para o cadastro da ENISA.
  • A frase seguinte permite que autoridades peçam dados sobre uma lista delimitada de prestadores e companhias aéreas; entidades essenciais e importantes não aparecem nela como grupo.

Uma frase pode ampliar um cadastro. Outra define quem pode abrir cada registro. Na proposta da Comissão para simplificar a NIS2, essas duas decisões não caminham juntas com a mesma precisão.

Hoje, o Article 27 da diretiva organiza um cadastro da ENISA voltado a categorias específicas: serviços DNS, registros de domínios de topo, provedores de nuvem e centros de dados, redes de distribuição de conteúdo, serviços gerenciados e algumas plataformas on-line. Os pontos de contato nacionais enviam à agência as informações previstas no artigo. Mediante solicitação, a ENISA dá às autoridades competentes acesso a informações sobre as categorias listadas, protegendo a confidencialidade quando aplicável.

As entidades essenciais e importantes seguem outro caminho na regra atual. O Article 3(4) exige que cada Estado mantenha uma lista nacional e colete informações sobre essas entidades, inclusive suas faixas de endereços IP. O Article 27 atual exclui expressamente do encaminhamento à ENISA o dado previsto no parágrafo 2(f). Essas faixas ficam no circuito nacional dessa obrigação.

A Comissão propõe mudar o destino. O Article 27(1) reescrito colocaria no registro da ENISA as entidades essenciais e importantes e as entidades que prestam serviços de registro de nomes de domínio. As informações viriam do Article 3(4), enviadas pelos pontos de contato nacionais. A proposta também elimina a antiga lista separada de prestadores do parágrafo 2. Com isso, some da regra de encaminhamento a exceção que hoje mantém as faixas IP fora do fluxo.

Mas cadastro e consulta são controles distintos. Na frase seguinte, a proposta permite que autoridades competentes peçam informações sobre provedores DNS, registros de domínios, serviços de registro, nuvem, centros de dados, redes de distribuição, serviços gerenciados, mercados on-line, buscadores, redes sociais e companhias aéreas. Ela não acrescenta as entidades essenciais e importantes a essa enumeração como uma categoria geral.

A proposta deixa uma pergunta precisa sem resposta: o direito de acesso abrange os registros de entidades essenciais e importantes? O texto também prevê que a ENISA apoie a cooperação entre Estados e analise riscos de cibersegurança transfronteiriços ligados a essas entidades. A análise da agência, a consulta por uma autoridade e a fiscalização nacional são operações diferentes; o Article 27 precisa definir como elas se conectam.

As faixas de IP dão peso prático à distinção. Elas podem ajudar a relacionar evidência de rede a uma organização ou a coordenar uma investigação entre países. Para funcionar, o cadastro precisa indicar quem consulta, com qual finalidade e quem corrige uma faixa vencida ou atribuída de modo errado. Na resposta enviada à Comissão em 12 de maio, o RIPE NCC já pediu a finalidade de segurança dessas faixas, a definição dos dados a reportar, medidas contra duplicidade e uma análise de custos e benefícios. A frase de acesso acrescenta outra pergunta: depois da centralização, quem pode abrir a ficha?

Um cadastro amplo pode conviver com consultas restritas. A ENISA poderia fazer análises transfronteiriças, enquanto as autoridades acessariam apenas registros ligados às suas funções. Essa arquitetura pode ser razoável; o artigo precisa descrevê-la. O texto deve dizer se as autoridades podem solicitar dados de entidades essenciais e importantes, separar a análise da ENISA das consultas nacionais e associar cada consulta a uma finalidade identificável.

Uma atualização do RIPE Labs de 21 de outubro informa que o rascunho do relator favorece a minimização de dados e a supervisão nacional das faixas IP. Em 2 de novembro, o Observatório Legislativo do Parlamento Europeu ainda marcava o processo como aguardando decisão de comissão. A página relaciona um projeto de relatório de 24 de setembro e emendas apresentadas em 13 de outubro. O teste é direto: uma autoridade competente pode solicitar, pelo Article 27(1), o registro de uma entidade essencial? A versão final deve responder quem pede, quem libera e por quê. Se a resposta depender de leitura entrelinhas, o desenho ainda está pela metade.

Fontes: Diretiva NIS2 · Proposta COM(2026) 13 · Resposta do RIPE NCC, 12 de maio de 2026 · Processo do Parlamento Europeu 2026/0012(COD)