Este guia é informativo e não substitui aconselhamento jurídico. Confirme junto do Centro Nacional de Cibersegurança (CNCS) as regras e os prazos que se aplicam à sua entidade.
O que é a NIS2
A Diretiva (UE) 2022/2555, conhecida como NIS2, substitui a primeira diretiva NIS e define um nível comum de cibersegurança na União Europeia. Em Portugal, é aplicada através do regime jurídico nacional de cibersegurança, com o CNCS como autoridade nacional.
Quem está abrangido
Regra geral, médias e grandes empresas — a partir de 50 trabalhadores, ou com volume de negócios e balanço anuais ambos superiores a 10 milhões de euros — que operem em setores considerados críticos. Algumas entidades estão abrangidas independentemente da dimensão.
- Setores de alta criticidade: energia, transportes, banca, infraestruturas dos mercados financeiros, saúde, água potável, águas residuais, infraestruturas digitais, gestão de serviços de TIC entre empresas, administração pública e espaço.
- Outros setores críticos: serviços postais, gestão de resíduos, produtos químicos, produção, transformação e distribuição de alimentos, indústria transformadora (como dispositivos médicos, eletrónica, máquinas e veículos), prestadores de serviços digitais e investigação.
As obrigações principais
- Gestão de riscos: políticas de segurança, gestão de incidentes, continuidade do negócio e cópias de segurança, segurança da cadeia de abastecimento, controlo de acessos, criptografia, formação e autenticação multifator.
- Notificação de incidentes significativos: um alerta inicial nas primeiras 24 horas, uma notificação em 72 horas e um relatório final no prazo de um mês.
- Responsabilidade da gestão: os órgãos de gestão aprovam as medidas, supervisionam a sua aplicação e devem ter formação em cibersegurança.
Coimas
A diretiva prevê coimas máximas de, pelo menos, 10 milhões de euros ou 2% do volume de negócios mundial para entidades essenciais, e 7 milhões de euros ou 1,4% para entidades importantes.
E se a minha empresa não estiver abrangida?
A NIS2 obriga as entidades abrangidas a gerir o risco da sua cadeia de abastecimento. Na prática, se fornece serviços, software, manutenção ou equipamentos a uma empresa abrangida, vai receber questionários de segurança e cláusulas contratuais novas. Estar preparado passa a ser uma vantagem comercial.
Por onde começar: 8 passos
- Confirmar se a empresa está abrangida, e em que categoria.
- Fazer o inventário de sistemas, dados e fornecedores críticos.
- Avaliar riscos e lacunas face às medidas exigidas.
- Ativar autenticação multifator em todos os acessos remotos e contas críticas.
- Garantir cópias de segurança isoladas e testar a recuperação.
- Definir um plano de resposta a incidentes que cumpra os prazos de notificação.
- Formar a gestão e as equipas.
- Rever contratos e requisitos de segurança dos fornecedores.
Podemos ajudar com a análise de lacunas e com as medidas técnicas — veja o serviço de cibersegurança. Para uma primeira leitura em 60 segundos, faça o diagnóstico gratuito.