A NIS 2 na prática: registo, notificação em 24 horas e a realidade da cadeia de abastecimento

A Diretiva NIS 2 teve uma entrada em vigor invulgar. O prazo de transposição terminou a 17 de outubro de 2024 e a maioria dos Estados-Membros não o cumpriu. Dois anos depois, o panorama continua desigual, o que deixou muitas empresas com a impressão de que pouco aconteceu.

Essa impressão já não corresponde à realidade. As leis nacionais estão aprovadas, os portais de registo estão abertos e as autoridades de supervisão começaram a fazer perguntas. A Alemanha abriu o seu portal de registo a 6 de janeiro de 2026, com um prazo legal até 6 de março. Os Países Baixos puseram em vigor a sua Cyberbeveiligingswet a 15 de agosto de 2026. Outros seguiram-se ao longo do ano.

Se estava à espera de clareza, ela chegou, e a resposta é que provavelmente vai atrasado, e não adiantado.

Quem está abrangido

A NIS 2 substituiu a diretiva original de 2016 relativa à segurança das redes e dos sistemas de informação e alargou consideravelmente o âmbito. A abrangência depende do setor e da dimensão.

As entidades essenciais abrangem os setores de elevada criticidade: energia, transportes, banca, infraestruturas do mercado financeiro, saúde, água potável, águas residuais, infraestruturas digitais, gestão de serviços de TIC, administração pública e espaço.

As entidades importantes abrangem outros setores críticos: serviços postais e de estafeta, gestão de resíduos, produtos químicos, alimentação, fabrico de determinados produtos (entre eles dispositivos médicos, computadores, eletrónica, máquinas e veículos), prestadores digitais como mercados em linha, motores de pesquisa e plataformas de redes sociais, e organismos de investigação.

O limiar de dimensão é, em regra, o de média empresa ou superior, ou seja, 50 ou mais trabalhadores ou um volume de negócios anual superior a 10 milhões de euros. Alguns tipos de entidade estão abrangidos independentemente da dimensão, entre eles certos prestadores de serviços de DNS, registos de nomes de domínio de topo (TLD), prestadores de serviços de confiança e fornecedores de comunicações eletrónicas públicas.

A autoridade de supervisão alemã estimou cerca de 29 500 entidades abrangidas só nesse país. No prazo legal de março de 2026, cerca de 11 500 tinham-se registado, número que subiu para perto de 18 500 no final de maio. Leia-o como um aviso e não como um descanso. O facto de as outras empresas se registarem devagar não cria nenhuma isenção.

Há duas coisas que apanham as empresas desprevenidas. A primeira é que a lista de setores inclui fabricantes comuns, e não apenas operadores de infraestruturas. Se fabrica máquinas, eletrónica ou dispositivos médicos, seja qual for a escala, analise com cuidado. A segunda é que, mesmo que não esteja abrangido, os seus clientes abrangidos vão transferir contratualmente para si as suas obrigações relativas à cadeia de abastecimento. Não estar abrangido não significa não ser afetado.

O registo é uma obrigação à parte

A maioria dos Estados-Membros exige que as entidades abrangidas se registem junto da autoridade nacional, e é aqui que estão a acontecer as primeiras falhas.

Registar-se significa normalmente identificar a entidade, a sua classificação setorial, os seus serviços, os seus pontos de contacto para questões de segurança e os Estados-Membros onde opera. Os prazos variam de país para país, e o processo é muitas vezes mais exigente do que preencher um formulário web.

Não parta do princípio de que está isento porque a autoridade não o contactou. A NIS 2 assenta na autoidentificação. Cabe-lhe a si determinar se está abrangido e registar-se; não cabe ao regulador encontrá-lo.

Os prazos de notificação

A notificação de incidentes é a parte mais exigente da diretiva do ponto de vista operacional, e os prazos são apertados.

• No prazo de 24 horas após tomar conhecimento de um incidente significativo: um alerta rápido, indicando se há suspeita de que o incidente foi causado por atos ilícitos ou maliciosos e se pode ter impacto transfronteiriço.
• No prazo de 72 horas: uma notificação do incidente, que atualiza o alerta rápido com uma avaliação inicial, a gravidade, o impacto e os indicadores de exposição a riscos.
• A pedido: relatórios intercalares sobre a evolução da situação.
• No prazo de um mês: um relatório final com uma descrição pormenorizada, o tipo de ameaça ou a causa principal, as medidas de atenuação aplicadas e qualquer impacto transfronteiriço.

Um incidente significativo é aquele que causou ou é suscetível de causar perturbações operacionais graves ou perdas financeiras, ou que afetou ou é suscetível de afetar terceiros, causando danos materiais ou imateriais consideráveis.

O alerta rápido de 24 horas é a parte difícil. Vinte e quatro horas não chegam para investigar. É um primeiro aviso, e a diretiva espera-o como tal. As equipas que esperam até perceberem o incidente para o notificar vão falhar o prazo todas as vezes.

Se a sua organização também trata dados pessoais, pode ter de fazer em paralelo uma notificação de violação de dados ao abrigo do RGPD, também em 72 horas, a outra autoridade, com outro âmbito e outro limiar. Esses processos têm de ser concebidos em conjunto, o que abordamos no nosso guia do RGPD.

As dez medidas

O artigo 21.º exige medidas de gestão de riscos que abranjam, no mínimo, dez áreas. Em termos simples:

1. Análise de riscos e políticas de segurança dos sistemas de informação. Documentadas, atualizadas e efetivamente consultadas por quem gere os sistemas.
2. Tratamento de incidentes. Deteção, resposta, recuperação e o processo de notificação descrito acima.
3. Continuidade das atividades e gestão de crises. Gestão de cópias de segurança, recuperação de desastres e um restauro testado, e não apenas uma tarefa de backup agendada.
4. Segurança da cadeia de abastecimento. Tratada à parte mais abaixo, porque é onde se concentra a maior parte do esforço.
5. Segurança na aquisição, desenvolvimento e manutenção. Práticas de desenvolvimento seguro, tratamento e divulgação de vulnerabilidades.
6. Avaliação da eficácia. Como sabe que os seus controlos funcionam: testes, auditorias, métricas.
7. Ciber-higiene e formação. Práticas básicas e sensibilização, também para a direção.
8. Políticas de criptografia e cifragem. Onde se usa cifragem e como são geridas as chaves.
9. Segurança dos recursos humanos, controlo de acessos e gestão de ativos. Entradas, mudanças de função e saídas, privilégio mínimo e um inventário de ativos atualizado.
10. Autenticação multifator e comunicações protegidas. MFA ou autenticação contínua, comunicações de voz, vídeo e texto protegidas e sistemas de comunicação de emergência.

Nenhuma destas medidas é exótica. A lacuna na maioria das organizações não está em saber o que fazer, está nas provas. A supervisão da NIS 2 assenta muito em documentação, e um controlo não documentado é, na prática, um controlo inexistente.

A cadeia de abastecimento é o verdadeiro trabalho

A mudança com mais consequências na NIS 2 é a ênfase no risco da cadeia de abastecimento. As entidades abrangidas têm de ter em conta as práticas de segurança dos seus fornecedores diretos e prestadores de serviços, incluindo a qualidade dos seus produtos e as suas práticas de desenvolvimento seguro.

Na prática, isto propaga-se em cascata. Um hospital abrangido impõe requisitos aos seus fornecedores de software. Esses fornecedores impõem requisitos aos seus prestadores de alojamento e aos fornecedores de componentes. Empresas muito fora do âmbito formal acabam a responder a questionários de segurança decorrentes da NIS 2, porque o seu cliente está abrangido.

Se vende software ou serviços a algum dos setores da lista, conte com:

• Questionários de segurança como parte normal da contratação, antes do contrato e não depois.
• Requisitos contratuais de segurança, incluindo prazos de notificação de incidentes que encaixam na obrigação de 24 horas do seu cliente.
• Pedidos de provas: resumos de testes de intrusão, estado da certificação SOC 2 ou ISO 27001, documentação do processo de gestão de vulnerabilidades, SBOM.
• Direitos de auditoria.

A resposta eficiente é preparar o dossiê de provas uma só vez. A maior parte do que os clientes pedem repete-se de questionário para questionário, e os documentos sobrepõem-se em grande medida às obrigações do Regulamento de Ciber-Resiliência. Monte um processo que gere a lista de materiais de software (SBOM), um processo documentado de tratamento de vulnerabilidades e um manual de resposta a incidentes, e terá respondido à maior parte de ambos.

A responsabilidade da direção

A NIS 2 torna os órgãos de direção responsáveis por aprovar as medidas de gestão dos riscos de cibersegurança e supervisionar a sua aplicação, e os Estados-Membros podem responsabilizá-los pessoalmente. A direção é também obrigada a frequentar formação.

É por isso que, dentro das empresas, as conversas sobre a NIS 2 têm andado mais depressa do que a maioria dos temas de conformidade. A responsabilidade pessoal muda a rapidez com que um conselho de administração aprova um orçamento.

Coimas

Para as entidades essenciais, até 10 milhões de euros ou 2 % do volume de negócios anual a nível mundial, consoante o que for mais elevado. Para as entidades importantes, até 7 milhões de euros ou 1,4 %. As autoridades podem também emitir instruções vinculativas, ordenar a divulgação pública do incumprimento e, em casos graves, suspender certificações ou proibir temporariamente determinadas pessoas de exercer funções de direção.

O que está a mudar

A 20 de janeiro de 2026, a Comissão propôs alterações pontuais à NIS 2 (processo 2026/0012(COD)), publicadas juntamente com uma proposta de novo Regulamento Cibersegurança (Cybersecurity Act 2). As entidades dos setores de elevada criticidade que sejam pequenas empresas de média capitalização (menos de 750 trabalhadores e volume de negócios até 150 milhões de euros ou balanço até 129 milhões de euros) passariam, em regra, a entidades importantes em vez de essenciais, com a supervisão mais leve que esse nível implica. Os Estados-Membros poderiam exigir um certificado sobre a postura de cibersegurança de uma entidade ao abrigo de um sistema europeu de certificação, e um certificado válido dispensaria a entidade de outras medidas de supervisão relativamente aos requisitos que abrange. A Comissão elaboraria também orientações para normalizar os questionários sobre a cadeia de abastecimento que as entidades abrangidas enviam aos seus fornecedores, ao passo que a proposta do novo Regulamento Cibersegurança contém as novas regras sobre o risco da cadeia de abastecimento de TIC. Os Estados-Membros teriam 12 meses para transpor as alterações.

Por agora, é apenas uma proposta. A 10 de outubro de 2026, a comissão competente do Parlamento (ITRE) tinha publicado o seu projeto de relatório a 24 de setembro, e não estava registada nenhuma posição do Conselho. Enquanto as alterações não forem adotadas e transpostas, tudo o que este artigo descreve aplica-se tal como está escrito.

Por onde começar, se ainda não começou

Uma sequência viável para uma organização que parte de quase zero:

Determine corretamente se está abrangido. Setor, dimensão e os Estados-Membros onde está estabelecido. Peça uma posição escrita aos seus advogados, porque tudo o resto depende disto.

Registe-se. Verifique o prazo e o processo da sua autoridade nacional. Se o prazo já passou, registe-se na mesma.

Faça o inventário de ativos. Não é possível gerir o risco de sistemas que não estão listados. É o documento com mais efeito multiplicador e o que mais vezes falta.

Escreva o manual de resposta a incidentes e ensaie-o. Concentre-se no circuito das 24 horas. Quem declara o incidente, quem avalia o impacto transfronteiriço, quem submete a notificação e o que acontece às 3 da manhã de um feriado.

Reveja os fornecedores. Liste os seus fornecedores críticos, avalie-os e inclua cláusulas de segurança nos contratos quando estes forem renovados.

Feche as lacunas evidentes. MFA em todo o lado, cópias de segurança testadas, gestão de atualizações, revisões de acessos, registos de eventos. Nada glamoroso, e é o que uma auditoria vai ver primeiro.

Documente à medida que avança. Não um dossiê de políticas escrito no fim. Decisões registadas no momento em que são tomadas, com datas e responsáveis.

Uma nota honesta sobre o esforço

Para uma organização com um programa de segurança a funcionar, a NIS 2 é sobretudo um exercício de documentação e notificação. Para uma organização sem esse programa, é uma construção a sério, medida em trimestres e não em semanas.

O erro é tratá-la como um projeto de conformidade entregue ao departamento jurídico. As obrigações são operacionais. Cabem a quem gere os sistemas, e os documentos só se mantêm atualizados se fizerem parte da forma de trabalhar da equipa, e não de algo produzido para uma auditoria.

Como podemos ajudar

Desenvolvemos e operamos sistemas de software para empresas em toda a Europa, incluindo a monitorização, os registos de eventos, as cópias de segurança e a visibilidade da cadeia de abastecimento que a NIS 2 espera. Somos úteis do lado da engenharia: tornar os controlos reais e fazer das provas um subproduto do trabalho normal, e não um esforço à parte.

Contacte-nos através de office@c9group.dev. O nosso guia de conformidade digital na UE para 2026 explica como a NIS 2 se articula com tudo o resto que entra em vigor este ano, e a página do serviço de manutenção de sistemas legados descreve o trabalho que normalmente vem primeiro.

Não somos uma sociedade de advogados e não prestamos aconselhamento jurídico. A determinação do âmbito, em particular, é assunto para os seus advogados.