A Diretiva de Segurança das Redes e Sistemas de Informação 2
A Diretiva NIS2 (Diretiva (UE) 2022/2555) é o quadro jurídico atualizado da UE para a cibersegurança nos setores críticos e importantes. Substitui a Diretiva SRI original (2016) e entrou em vigor em janeiro de 2023, com prazo de transposição de 17 de outubro de 2024 para os Estados-membros incorporarem na lei nacional. A NIS2 representa uma expansão significativa em âmbito, obrigações e aplicação em comparação com a predecessora.
Enquanto a Diretiva SRI original abrangia uma lista restrita de "operadores de serviços essenciais" e "prestadores de serviços digitais", a NIS2 alarga substancialmente o âmbito. Abrange agora entidades em 18 setores, introduz um limiar baseado na dimensão (empresas com 50+ trabalhadores ou €10M+ de volume de negócios a operar em setores abrangidos ficam automaticamente em âmbito) e reforça drasticamente o regime de aplicação com coimas até €10 milhões ou 2% do volume de negócios global para entidades essenciais.
Uma mudança fundamental na NIS2 é a ênfase na responsabilidade da gestão. A gestão de topo, incluindo conselhos de administração e quadros executivos, pode ser responsabilizada pessoalmente por falhas de cibersegurança. São obrigados a aprovar medidas de cibersegurança, supervisionar a sua implementação e receber formação regular sobre risco cibernético.
Entidades essenciais e entidades importantes
A NIS2 divide as organizações em âmbito em dois níveis, Entidades Essenciais (EE) e Entidades Importantes (EI), que enfrentam as mesmas obrigações fundamentais mas regimes de supervisão e aplicação diferentes.
- Entidades Essenciais incluem energia, transportes, banca, infraestrutura de mercados financeiros, saúde, água potável, águas residuais, infraestrutura digital (IXPs, DNS, TLDs, cloud, centros de dados), gestão de serviços TIC, espaço e administração pública. As grandes empresas (250+ trabalhadores ou €50M+ de volume de negócios) nestes setores são automaticamente Essenciais.
- Entidades Importantes abrangem serviços postais e de correio, gestão de resíduos, químicos, alimentação, fabrico de produtos críticos (dispositivos médicos, computadores, veículos), prestadores digitais (mercados online, motores de busca, redes sociais) e organizações de investigação. As empresas médias (50+ trabalhadores ou €10M+ de volume de negócios) nestes setores qualificam.
Algumas entidades estão em âmbito independentemente da dimensão, incluindo fornecedores de redes públicas de comunicações eletrónicas, prestadores de serviços de confiança qualificados, registos de domínios de topo e entidades identificadas pelos Estados-membros como críticas.
O que a NIS2 exige da sua organização
O Artigo 21.º da NIS2 exige que as entidades em âmbito implementem medidas de cibersegurança proporcionadas e baseadas no risco, abrangendo pelo menos as seguintes áreas:
Políticas de Análise de Risco
Manter políticas documentadas para analisar riscos de segurança dos sistemas de informação, incluindo inventário de ativos, modelagem de ameaças e avaliações de risco regulares.
Gestão de Incidentes
Manter procedimentos documentados de resposta a incidentes cobrindo deteção, classificação, contenção, erradicação, recuperação e revisão pós-incidente.
Continuidade de Negócio e Gestão de Crises
Manter sistemas de backup, capacidades de recuperação de desastres e procedimentos de gestão de crises para garantir a continuidade operacional durante e após incidentes significativos.
Segurança da Cadeia de Fornecimento
Avaliar e gerir os riscos de cibersegurança decorrentes das relações com fornecedores e prestadores de serviços diretos, incluindo requisitos de segurança nos contratos de aquisição.
Aquisição e Desenvolvimento Seguros
Aplicar princípios de segurança desde a conceção na aquisição, desenvolvimento e manutenção de redes e sistemas de informação, incluindo políticas de divulgação de vulnerabilidades.
Controlo de Acesso e Criptografia
Implementar políticas de controlo de acesso baseadas no princípio do mínimo privilégio, autenticação multifator e comunicações encriptadas para sistemas e dados sensíveis.
Prazos rigorosos para notificação às autoridades
A NIS2 introduz um processo de notificação de incidentes em três fases para incidentes significativos, definidos como aqueles com impacto substancial na prestação de serviços ou que afetam outros Estados-membros. Os incidentes significativos devem ser comunicados à CSIRT nacional ou à autoridade competente nos seguintes prazos:
Alerta Precoce
Um alerta precoce inicial deve ser submetido nas 24 horas após tomar conhecimento de um incidente significativo. Fornece uma notificação básica de que ocorreu ou é suspeito um incidente, incluindo se pode ser resultado de ação ilícita ou maliciosa.
Notificação do Incidente
Deve seguir-se uma notificação mais detalhada no prazo de 72 horas, incluindo uma avaliação inicial da gravidade e impacto do incidente e os indicadores de comprometimento identificados nessa fase.
Relatório Final
Um relatório final é exigido no prazo de um mês após a notificação do incidente. Deve incluir uma descrição da ameaça, análise de causa raiz, medidas tomadas, impacto transfronteiriço e quaisquer riscos em curso ou residuais.
Coimas significativas e responsabilidade pessoal
A NIS2 estabelece níveis mínimos de coimas que os Estados-membros devem implementar. Os montantes efetivos são definidos pela lei nacional de cada Estado-membro, mas devem ser pelo menos:
- Entidades Essenciais: até €10 milhões ou 2% do volume de negócios anual mundial total, o que for mais elevado.
- Entidades Importantes: até €7 milhões ou 1,4% do volume de negócios anual mundial total, o que for mais elevado.
- Responsabilidade da gestão: Os Estados-membros devem garantir que a gestão de topo possa ser responsabilizada pessoalmente por falhas de cibersegurança. As autoridades competentes podem proibir temporariamente os gestores de exercer funções de liderança.
As entidades essenciais estão sujeitas a supervisão proativa (ex-ante), as autoridades podem realizar auditorias e inspeções sem evidência prévia de incumprimento. As entidades importantes estão sujeitas a supervisão reativa (ex-post), as auditorias são normalmente desencadeadas por evidência de incumprimento ou incidentes.
Fontes e legislação primária
O prazo da NIS2 para transposição para direito nacional era outubro de 2024. Portugal transpôs a NIS2 através do Decreto-Lei n.º 125/2025 (DR, 4 de dezembro de 2025), ao abrigo da autorização da Lei n.º 59/2025, tendo entrado em vigor a 3 de abril de 2026. O diploma estabelece o Regime Jurídico da Cibersegurança Nacional e confirma o Centro Nacional de Cibersegurança (CNCS) como a autoridade nacional de cibersegurança. As transposições noutros Estados-Membros podem variar quanto a detalhes de aplicação e limiares setoriais.