As equipas de governação passaram os últimos dois anos a tentar compreender o que é que a NIS2 realmente altera. Para muitos, a resposta sincera continua a ser “não temos a certeza absoluta”. Essa incerteza é compreensível. A NIS2 não se limitou a atualizar uma checklist. Redefinuiu quem é responsável, com que rapidez os incidentes devem ser comunicados e até que ponto uma organização tem de analisar a cadeia de abastecimento. Obter uma visão clara e estruturada dos requisitos é o primeiro passo concreto para colmatar essa lacuna.

Quais são os requisitos da diretiva NIS2?

A NIS2, formalmente a Diretiva (UE) 2022/2555, é a diretiva da UE em matéria de cibersegurança para entidades essenciais e importantes. Exige que as organizações abrangidas pela diretiva façam a gestão dos riscos de cibersegurança com responsabilização ao nível do conselho de administração e que comprovem essa gestão, não se limitando apenas a documentá-la.

Para uma visão completa sobre o que é a NIS2, quem a criou e porquê, consulte “O que é a NIS2?”. Este artigo centra-se no que a conformidade realmente exige na prática.

As 4 áreas principais de conformidade dos requisitos da NIS2

1. Responsabilização da gestão e governação

A direção deve aprovar as medidas de gestão de riscos de cibersegurança da organização. Deve supervisionar ativamente a forma como essas medidas são implementadas e, ela própria, concluir a formação obrigatória em cibersegurança. Esta não é uma tarefa que possa ser delegada. A NIS2 torna a cibersegurança uma responsabilidade ao nível do conselho de administração, e não algo que se limite ao departamento de TI.

2. Medidas de gestão de riscos

O artigo 21.º estabelece, pelo menos, dez medidas básicas que as organizações devem implementar. Estas abrangem áreas como a análise de riscos, a encriptação, os controlos de acesso, a autenticação multifator e os procedimentos de gestão de incidentes. Não se trata de princípios abstratos. Os auditores esperam ver estas medidas efetivamente em funcionamento, e não apenas documentadas.

3. Prazos para a comunicação de incidentes

Os incidentes significativos desencadeiam um calendário rigoroso e por fases: um aviso prévio no prazo de 24 horas, uma notificação completa do incidente no prazo de 72 horas e um relatório final no prazo de um mês a contar dessa notificação. O prazo de 24 horas não dá margem a erros. As equipas que não tiverem ensaiado o processo antes de um incidente real são as que têm mais probabilidades de não o cumprir.

4. Segurança da cadeia de abastecimento

As organizações devem avaliar e monitorizar continuamente o nível de cibersegurança dos seus fornecedores diretos, prestadores de serviços e parceiros. Um ponto fraco na segurança de um fornecedor torna-se um risco para a própria organização no momento em que esse fornecedor acede aos seus sistemas ou dados.

A checklist de conformidade com a NIS2

A NIS2 não deixa os aspetos básicos à base de suposições. O  artigo 21.º n.º 2 estabelece dez medidas básicas de que todas as organizações abrangidas necessitam. Eis o que é necessário verificar efetivamente em cada uma delas.

Quem deve cumprir os requisitos de conformidade da NIS2?

As entidades essenciais são grandes organizações, com mais de 250 colaboradores ou um volume de negócios anual superior a 50 milhões de euros, nos 11 setores que a diretiva considera de máxima criticidade. Esses setores são: energia, transportes, bancário, infraestruturas dos mercados financeiros, saúde, água potável, águas residuais, infraestruturas digitais, gestão de serviços de TIC, administração pública e espaço.

As entidades importantes são organizações de média dimensão, com mais de 50 colaboradores ou um volume de negócios anual superior a 10 milhões de euros, nos mesmos setores. Incluem-se também organizações de média e grande dimensão em sete setores adicionais: serviços postais e de entregas, gestão de resíduos, produtos químicos, produção e distribuição alimentar, produção industrial, prestadores de serviços digitais e investigação

Cerca de 160 000 organizações enquadram-se num destes dois níveis em toda a UE, de acordo com a estimativa da própria Comissão Europeia de novembro de 2025, um número revisto em alta face à estimativa original de 2020, que era de 110 000, assim que a diretiva começou a ser efetivamente implementada.

Algumas organizações, incluindo prestadores de serviços de confiança qualificados, prestadores de serviços de DNS e registos de domínios de nível superior, são consideradas essenciais, independentemente da sua dimensão.

Simplificar a conformidade com a NIS2 com o Formalize

A maioria das organizações inicia o trabalho relacionado com a NIS2 da mesma forma: uma folha de cálculo, uma pasta num disco partilhado e uma sensação crescente de que algo está a escapar. Essa abordagem falha rapidamente. Não consegue determinar quem é o responsável por um controlo. Não é capaz de notificar alguém que uma revisão está em atraso. Não consegue apresentar evidências quando um auditor as solicita.

O software de conformidade com a NIS2 da Formalize substitui essa configuração fragmentada por um sistema estruturado, construído em torno das mesmas quatro áreas de conformidade abordadas acima. Os fluxos de trabalho de aprovação e os painéis de controlo executivos proporcionam à administração a supervisão que os requisitos de governação da NIS2 realmente exigem, em vez de uma política que ninguém fora do departamento de TI alguma vez vê. Controlos, tarefas e evidências estão reunidos num único local, mapeados diretamente para o que a diretiva exige. Estar preparado para uma auditoria não significa ter de vasculhar antigas conversas de e-mail.

O custo mais significativo e menos visível do trabalho manual relacionado com a NIS2 é o número de colaboradores. O Formalize foi concebido para automatizar as partes repetitivas: lembretes, revisões periódicas, fluxos de trabalho de incidentes. Essas são as tarefas que, de outra forma, tendem a justificar a contratação de um novo colaborador ou a prorrogação indefinida do contrato de um consultor.E como a maioria das organizações não se limita à NIS2, os controlos mapeados uma vez são aplicáveis à norma ISO 27001, ao RGPD e a tudo o que vier a seguir. Não há necessidade de recomeçar o exercício de mapeamento do zero de forma sistemática.

O Formalize oferece também uma avaliação gratuita das lacunas da NIS2 e 22 controlos NIS2 predefinidos já mapeados para a diretiva, para equipas que procuram um ponto de partida concreto em vez de uma página em branco.

Prazos para a conformidade com a NIS2

Os Estados-Membros foram obrigados a transpor a NIS2 para a legislação nacional até 17 de outubro de 2024, com as obrigações a entrarem em vigor a partir do dia seguinte. Na prática, esse prazo não foi cumprido em muitos países. Em meados de 2026, 23 dos 27 Estados-Membros tinham a legislação nacional relativa à NIS2 plenamente em vigor. Os restantes quatro — França, Irlanda, Países Baixos e Espanha — foram levados ao Tribunal de Justiça da UE devido ao atraso.

Essa situação fragmentada não altera o que as organizações devem fazer. Se a sua organização estiver abrangida pelo âmbito de aplicação, a aplicação da legislação nacional já está em vigor ou está prestes a entrar em vigor. Isto é válido independentemente da semana exata em que a legislação do seu país entrou em vigor. Esperar por um prazo local específico antes de começar é uma aposta perdida. Comece já a avaliação das lacunas. Trate a data de transposição local como um prazo rígido, em vez de um prazo flexível.

Sanções por incumprimento

As coimas variam consoante o tipo de entidade. As entidades essenciais estão sujeitas a coimas até 10 milhões de euros ou 2 % do volume de negócios anual global, consoante o valor mais elevado. As entidades importantes estão sujeitas a coimas até 7 milhões de euros ou 1,4 %, com base nos mesmos critérios.

Para além das multas, as entidades essenciais enfrentam uma consequência mais severa. Nos termos do artigo 32.º, as autoridades nacionais podem solicitar a proibição temporária de um indivíduo identificado, ao nível de administrador-delegado ou representante legal, de exercer quaisquer funções de gestão. Tal medida surge na sequência de uma infração comprovada. Este poder específico aplica-se às entidades essenciais. As entidades importantes estão sujeitas a um regime de aplicação separado, geralmente menos severo. Seja como for, a orientação é a mesma. A NIS2 transforma a falha de cibersegurança numa consequência pessoal, e não apenas empresarial.

No entanto, os mecanismos exatos variam de país para país. A NIS2 é uma diretiva, não um regulamento, pelo que cada Estado-Membro transpõe o artigo 32.º para a sua própria legislação nacional. O processo específico para uma proibição de exercício de funções de gestão - quem pode solicitá-la, o que constitui uma infração comprovada, como é aplicada - depende da forma como o seu país implementou a diretiva, e não de um procedimento único a nível da UE.