Em 15 de agosto de 2026, portos e operadores de terminais dos Países Baixos passaram a integrar o escopo de novas leis nacionais de cibersegurança e resiliência física. A Cyberbeveiligingswet (Cbw) e a Wet weerbaarheid kritieke entiteiten (Wwke) transpõem, respectivamente, as diretrizes europeias NIS2 e CER para o direito holandês. A mudança inclui gestores portuários entre as organizações do setor de transporte abrangidas e não prevê período de transição estipulado, colocando a proteção digital e física das infraestruturas portuárias dentro de um marco legal definido.

A proteção passa a ser obrigação legal

A aprovação pelo Senado holandês ocorreu em 7 de julho de 2026, pouco mais de um mês antes da entrada em vigor das duas normas. A Cbw incorpora a NIS2, diretiva europeia voltada à cibersegurança, enquanto a Wwke incorpora a CER, voltada à resiliência de entidades críticas. O novo enquadramento dos portos holandeses conecta essas duas frentes dentro da legislação nacional e amplia o alcance das regras para a infraestrutura de transporte.

A arquitetura regulatória separa, no próprio nome das leis, duas dimensões da proteção portuária. A Cbw trata da resiliência digital e a Wwke trata da capacidade de entidades críticas lidarem com ameaças à sua continuidade física. A legislação holandesa passa a aplicar essas diretrizes europeias a um conjunto amplo de organizações, no qual os gestores portuários aparecem como integrantes do setor de transporte. Para os terminais, a mudança deixa de tratar a segurança digital como uma iniciativa isolada e a insere no cumprimento de uma norma nacional.

A inclusão dos portos ocorre após um processo legislativo marcado por atraso. A Holanda não cumpriu o prazo original de 17 de outubro de 2024 para transpor a NIS2, e a Comissão Europeia emitiu um parecer fundamentado em 7 de maio de 2025 pela falta de notificação da transposição completa. A promulgação das novas leis em agosto de 2026 encerrou essa etapa de implementação e substituiu o regime anterior Wbni. O histórico ajuda a explicar por que a entrada em vigor ganhou peso institucional para as organizações abrangidas.

Duas frentes para a infraestrutura portuária

No plano operacional, a Cyberbeveiligingswet estabelece uma porta de entrada administrativa para as entidades alcançadas. Essas organizações devem se registrar no Cadastro de Entidades do Centro Nacional de Cibersegurança, o NCSC, além de adotar medidas técnicas e organizacionais de gestão de riscos. A regra desloca a discussão da proteção digital para procedimentos formais de identificação e tratamento de riscos, sem que o texto disponível detalhe soluções tecnológicas específicas para portos ou terminais.

Essa obrigação se conecta ao tratamento dos incidentes cibernéticos graves. As organizações submetidas à Cbw devem comunicar esses eventos tanto ao CSIRT relevante quanto à autoridade supervisora competente. O reporte ocorre em fases, começando por um aviso prévio e seguindo com atualizações. A sequência cria uma exigência de comunicação contínua durante a resposta ao incidente, aspecto que aproxima a gestão portuária dos mecanismos nacionais de coordenação em cibersegurança.

Enquanto a Cbw concentra a dimensão digital, a Wwke transpõe a diretiva CER e amplia a proteção para a resiliência física das entidades críticas. A lei entrou em vigor na mesma data da norma de cibersegurança, permitindo que as duas diretrizes europeias passem a operar simultaneamente na legislação holandesa. Como portos e operadores de terminais foram incluídos entre as organizações de transporte abrangidas, a infraestrutura portuária passa a ser alcançada por uma abordagem que combina continuidade física e proteção contra riscos digitais.

Governança sem período de transição

A aplicação das novas regras também alcança a estrutura de decisão das entidades reguladas. O conselho administrativo deve aprovar as medidas técnicas, operacionais e organizacionais proporcionais para a gestão de riscos. Os responsáveis precisam possuir conhecimentos específicos e seguir treinamentos certificados, conforme as disposições apresentadas para a Cbw. A atribuição leva a cibersegurança para o nível de governança corporativa, em vez de mantê-la restrita às equipes técnicas.

Para os gestores portuários, a ausência de um período de transição estipulado torna a data de 15 de agosto o marco de aplicação das novas leis. O registro no NCSC, a gestão de riscos e o reporte faseado de incidentes aparecem como componentes do cumprimento da Cbw, enquanto a Wwke acrescenta a dimensão da resiliência física. A reforma também encerra a vigência do Wbni como regime anterior, consolidando a substituição legislativa após o atraso na transposição europeia.

Na prática, o próximo movimento das organizações abrangidas está definido pelos próprios mecanismos previstos no novo marco: formalizar o registro, organizar a gestão de riscos e estruturar a comunicação de incidentes graves às autoridades competentes. A entrada dos portos holandeses nesse conjunto de leis transforma a proteção de infraestruturas portuárias em responsabilidade regulada pela legislação nacional. O efeito mais imediato é a institucionalização de uma obrigação que alcança simultaneamente a operação física dos ativos críticos e a segurança dos sistemas que sustentam sua atividade.