Estônia:
o que os clientes esperam dos fornecedores

A Estônia como mercado para a América do Sul

Como mercado para produtos agrícolas da América do Sul, a Estônia é pequena. Vinho, frutas, café e carne costumam chegar por atacadistas que abastecem vários países bálticos ou também a Finlândia. O país é mais interessante para prestadores de serviços: órgãos públicos e empresas trabalham de forma quase toda digital, e o software muitas vezes é desenvolvido com parceiros no exterior. Uma equipe em Montevidéu ou Córdoba programando para um cliente em Tallinn não chama atenção por lá.

O maior porto de carga é Muuga, cerca de 17 quilômetros a leste de Tallinn. Ele pertence ao Port of Tallinn e tem um terminal de contêineres. A mercadoria da América do Sul em geral chega por um porto de transbordo na Europa Ocidental e segue em navio alimentador para o Báltico.

O que é igual em toda a UE e o que vale no país

Alfândega e regras de produto são iguais em toda a UE. Desde 01/05/2026, a parte comercial do acordo UE-Mercosul é aplicada provisoriamente. Se a sua mercadoria é colocada em livre prática em Roterdã, depois disso ela também é mercadoria da UE na Estônia. Os detalhes estão no guia de exportação para a UE.

São regulados no nível nacional o idioma das informações ao consumidor (estoniano), o IVA (alíquota padrão de 24 %) e as embalagens. A Estônia mantém um registro de embalagens previsto na lei de embalagens (pakendiseadus); a obrigação de declarar é de quem coloca mercadoria embalada no mercado estoniano, ou seja, em geral o seu importador. Desde 12/08/2026 vale também o regulamento europeu de embalagens (UE) 2025/40.

NIS2 na Estônia

A Estônia não escreveu uma lei nova: alterou a lei de cibersegurança já existente (Küberturvalisuse seadus, KüTS). A alteração foi publicada no Riigi Teataja em 30/12/2025 e vale desde 01/01/2026. As empresas abrangidas tiveram três meses para se registrar pelo portal do Estado eesti.ee. Para a implementação completa das obrigações há um período de transição de três anos; as obrigações de notificação e o registro já valem.

Quase tudo fica a cargo da Autoridade do Sistema de Informação do Estado (Riigi Infosüsteemi Amet, RIA). Ela é órgão de supervisão, ponto de contato central e CSIRT; os incidentes são tratados pela sua equipe CERT-EE. Os prazos seguem a diretiva: primeira notificação em até 24 horas, notificação do incidente em 72 horas.

Os requisitos técnicos estão no decreto governamental n.º 121. Empresas maiores precisam implementar o padrão estoniano de segurança da informação E-ITS ou apresentar à RIA um certificado ISO 27001 válido. Para todas valem medidas mínimas em nove áreas, entre elas, de forma expressa, a gestão de parceiros externos. Na prática, o seu cliente vai avaliar você como parceiro externo. Um relatório do veyrisk sobre a sua superfície de ataque é uma comprovação que ele consegue ler rápido. Mais sobre a diretiva na página NIS2.

Proteção de dados e cadeia de suprimentos

A autoridade de proteção de dados é a Andmekaitse Inspektsioon, que fiscaliza o RGPD (Regulamento Geral sobre a Proteção de Dados) na Estônia. Para prestadores da América do Sul, isso significa na prática: contrato de tratamento de dados, lista de medidas técnicas e organizacionais e, para fluxos de dados ao seu país, cláusulas contratuais-padrão quando não houver decisão de adequação. A UE adotou decisões de adequação para Argentina, Brasil e Uruguai; para esses países, os dados podem fluir sem cláusulas contratuais-padrão. Para Chile, Colômbia, Peru, Equador, Paraguai e Bolívia não há decisão.

A Estônia não tem lei própria de cadeia de suprimentos. As empresas estonianas, em sua maioria, são pequenas demais para a CSDDD; exigências sobre direitos humanos e meio ambiente tendem a chegar até você por grandes grupos escandinavos que compram nos países bálticos.

O que os clientes estonianos costumam exigir

Em serviços de TI, clientes estonianos perguntam cedo sobre segurança e armazenamento de dados: onde ficam os dados, quem tem acesso, em quanto tempo você notifica um incidente? Um certificado ISO 27001 ajuda em dobro, porque também é reconhecido como comprovação pela lei estoniana. Contratos e questionários costumam ser em inglês.

No varejo de alimentos valem as comprovações usuais, ou seja, um padrão reconhecido pela GFSI como IFS, BRCGS ou FSSC 22000 e, para café, cacau, soja, carne bovina e madeira, as obrigações de diligência do EUDR.

Como proceder:

1. Verifique se o seu cliente estoniano está sujeito à lei de cibersegurança.
2. Monte um canal de notificação que garanta o repasse de incidentes ao cliente em até 24 horas.
3. Documente suas medidas seguindo as nove áreas das medidas mínimas estonianas.
4. Considere um certificado ISO 27001 se você atende vários clientes na Estônia.

Contatos úteis

Não encontramos uma câmara de comércio bilateral entre a Estônia e algum país sul-americano. Pergunte ao setor comercial da sua embaixada qual representação é responsável pela Estônia; muitas vezes ela atende também todos os países bálticos ou os nórdicos.

FAQ