Diretiva NIS 2: Guia de Conformidade para Empresas

A Diretiva NIS 2 estabelece o novo quadro regulamentar europeu para elevar o nível comum de cibersegurança em toda a União Europeia. Em Portugal, esta legislação alarga significativamente o número de setores e empresas abrangidos, impondo requisitos técnicos rigorosos e sanções pesadas para casos de incumprimento.

Com a transposição para o direito nacional, a conformidade deixa de ser uma preocupação exclusiva de operadores de infraestruturas críticas e passa a abranger médias e grandes empresas de setores estratégicos.

Quem são as entidades abrangidas pela Diretiva NIS 2 em Portugal?

A Diretiva NIS 2 elimina a antiga distinção entre operadores de serviços essenciais e prestadores de serviços digitais, introduzindo duas novas categorias: Entidades Essenciais e Entidades Importantes.

A qualificação depende do setor de atividade, da dimensão da organização e da sua faturação anual. Como regra geral, aplica-se a empresas com mais de 50 colaboradores ou com um volume de negócios anual superior a 10 milhões de euros nos seguintes setores:

• ▰Setores de Elevada Criticidade (Entidades Essenciais): Energia (eletricidade, petróleo, gás e hidrogénio), transportes (aéreo, ferroviário, marítimo e rodoviário), banca e mercados financeiros, saúde, água potável e residual, infraestruturas digitais (telecomunicações, centros de dados, DNS, serviços de computação em nuvem), administração pública e setor espacial.
• ▰Outros Setores Críticos (Entidades Importantes): Serviços postais e de estafeta, gestão de resíduos, indústria química, produção e distribuição de alimentos, fabricação de dispositivos médicos, máquinas e equipamento eletrónico, prestadores de serviços digitais (motores de busca, plataformas de comércio eletrónico e redes sociais) e organizações de investigação.

Adicionalmente, organizações de menor dimensão podem ser incluídas caso prestem serviços críticos para a economia nacional ou integrem cadeias de abastecimento estratégicas sob a supervisão do Centro Nacional de Cibersegurança (CNCS).

Principais obrigações de segurança da informação e gestão de risco

As organizações abrangidas devem adotar medidas técnicas, operacionais e organizacionais adequadas para gerir os riscos que ameaçam as suas redes e sistemas de informação. A diretiva exige uma abordagem baseada em risco que contemple, no mínimo:

• ▰Políticas de análise de risco e segurança da informação: Avaliações formais e contínuas sobre vulnerabilidades em sistemas internos e externos.
• ▰Segurança da cadeia de abastecimento: Avaliação rigorosa da postura de cibersegurança de fornecedores diretos e parceiros de serviços digitais.
• ▰Gestão e resposta a incidentes: Procedimentos claros para mitigar e conter ataques em tempo útil.
• ▰Continuidade do negócio e gestão de crises: Planos de recuperação de desastres (DRP) e cópias de segurança (backups) testadas regularmente fora da rede principal.
• ▰Ciber-higiene e formação: Planos de sensibilização contínua sobre phishing e engenharia social para todos os colaboradores.
• ▰Controlo de acessos e autenticação forte: Implementação mandatória de autenticação multifator (MFA) e encriptação de dados sensíveis.

Notificação de incidentes: prazos estritos para reporte ao CNCS

Um dos pontos mais exigentes da Diretiva NIS 2 é o processo faseado de notificação de incidentes graves às autoridades nacionais competentes (em Portugal, o CNCS e a respetiva CSIRT nacional). O processo divide-se em três etapas temporais:

• ▰Alerta precoce em 24 horas: A entidade deve emitir um aviso inicial assim que tome conhecimento de um incidente com impacto potencial severo, indicando se suspeita de ação maliciosa ou impacto transfronteiriço.
• ▰Notificação formal em 72 horas: Submissão de um relatório com a avaliação preliminar do incidente, gravidade, impacto nos serviços e indicadores de compromisso.
• ▰Relatório final em 1 mês: Apresentação de uma análise exaustiva com a causa-raiz identificada, medidas de mitigação implementadas e impacto financeiro ou operacional definitivo.

O não cumprimento destes prazos constitui, por si só, uma infração grave passível de procedimento sancionatório.

Regime sancionatório e responsabilidade pessoal dos administradores

A Diretiva NIS 2 reforça a responsabilidade direta dos órgãos de gestão das empresas. Os administradores e quadros diretivos passam a ter a obrigação legal de aprovar e supervisionar as medidas de gestão de risco de cibersegurança, bem como de frequentar formação regular na área.

Em caso de negligência comprovada que resulte em incidentes graves:

• ▰As administrações podem ser responsabilizadas pessoalmente por incumprimento dos deveres de diligência.
• ▰Para Entidades Essenciais, as coimas podem atingir até 10 milhões de euros ou 2% do volume de negócios mundial total do ano anterior (consoante o que for mais elevado).
• ▰Para Entidades Importantes, as coimas podem atingir até 7 milhões de euros ou 1,4% do volume de negócios mundial total.
• ▰As autoridades de supervisão podem suspender temporariamente certificações de serviço ou até proibir administradores de exercer funções executivas até que as inconformidades sejam resolvidas.

Roteiro prático para preparar a sua organização para o NIS 2

A preparação para a conformidade exige um plano metódico. As equipas de TI e as administrações devem seguir os seguintes passos:

• ▰1. Auditoria de âmbito e classificação: Identificar se a empresa se enquadra como entidade essencial, importante ou fornecedor crítico.
• ▰2. Avaliação de vulnerabilidades e testes de intrusão: Mapear a superfície de ataque externa e interna para corrigir falhas antes que sejam exploradas.
• ▰3. Revisão de contratos com fornecedores: Garantir que prestadores de serviços de TI e cloud cumprem requisitos mínimos de cibersegurança.
• ▰4. Implementação de monitorização contínua: Adotar ferramentas de vigilância de ameaças e monitorização da Dark Web para deteção de credenciais corporativas expostas.
• ▰5. Criação e teste de planos de resposta a incidentes: Simular cenários de crise e validar os canais de reporte rápido para cumprir os prazos de 24 e 72 horas.

Perguntas frequentes

Quando entra em vigor a aplicação prática do NIS 2 em Portugal?

A diretiva europeia fixou outubro de 2024 como prazo-limite de transposição para os Estados-Membros. As empresas devem adotar os controlos operacionais de imediato, uma vez que as ações de fiscalização e auditoria têm início com a lei nacional.

As pequenas e médias empresas (PME) estão isentas da Diretiva NIS 2?

Em regra, as micro e pequenas empresas não estão diretamente abrangidas, salvo se prestarem serviços críticos específicos ou forem consideradas fornecedores essenciais na cadeia de abastecimento de grandes entidades reguladas.

Ter certificação ISO/IEC 27001 garante conformidade automática com o NIS 2?

Não garante conformidade automática, mas acelera substancialmente o processo. A ISO 27001 cobre grande parte dos controlos de gestão de risco, contudo o NIS 2 inclui requisitos adicionais, nomeadamente prazos rígidos de notificação e deveres legais específicos para as administrações.

Próximo passo

A conformidade com a Diretiva NIS 2 começa pela identificação clara das fragilidades e dos ativos digitais expostos da sua empresa.

Peça um relatório gratuito de exposição digital à CyberScan e obtenha uma visão detalhada sobre credenciais comprometidas na Dark Web, vulnerabilidades em portas abertas e o estado real da superfície de ataque da sua organização.