Proteger as redes e os sistemas de informação.
E provar que o faz.

A NIS2 é a Diretiva (UE) 2022/2555 relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União. É uma diretiva, não um regulamento: vincula os Estados-Membros, cada um dos quais a transpõe para o direito nacional. O que uma organização tem de fazer é, portanto, definido pela sua lei nacional, que segue a Diretiva e pode ir mais longe.

Substituiu a Diretiva (UE) 2016/1148, a primeira Diretiva NIS, que abrangia muito menos setores, deixava aos Estados-Membros a decisão sobre quem estava abrangido e foi aplicada de forma muito desigual. A NIS2 estabelece uma regra comum de dimensão, acrescenta setores, harmoniza as medidas de segurança e a notificação de incidentes, responsabiliza a direção e dá aos supervisores poderes e coimas reais.

A Diretiva e o Regulamento de Execução

O artigo 21.º, n.º 2, da Diretiva enuncia dez medidas de gestão de riscos em texto corrido. O Regulamento de Execução (UE) 2024/2690 da Comissão transforma-as num anexo de treze pontos numerados com sub-requisitos. Aplica-se diretamente a uma lista de prestadores de serviços digitais (DNS, domínios de topo, nuvem, centros de dados, distribuição de conteúdos, serviços geridos e serviços de segurança geridos, mercados em linha, motores de pesquisa, redes sociais e serviços de confiança). Para todas as outras entidades, é a leitura mais precisa do artigo 21.º a nível da UE, e a que os avaliadores citam.

Alterações em discussão

Em janeiro de 2026, a Comissão propôs alterações específicas à NIS2, juntamente com uma revisão do Regulamento Cibersegurança, com o objetivo de simplificar a conformidade e clarificar as regras. Até que qualquer alteração seja adotada e transposta, aplica-se a Diretiva tal como transposta para o direito nacional; as medidas e os prazos desta página não são alterados pela proposta.

Há dois fatores decisivos: se aquilo que faz pertence a um dos dezoito setores do Anexo I ou do Anexo II, e se é pelo menos uma empresa de média dimensão. Um pequeno número de entidades está abrangido independentemente da dimensão.

A regra da dimensão (artigo 2.º, n.º 1)

A Diretiva aplica-se às entidades públicas ou privadas de um tipo referido no Anexo I ou II que sejam consideradas médias empresas nos termos da Recomendação 2003/361/CE da Comissão, ou que excedam os respetivos limites, e que prestem os seus serviços ou exerçam as suas atividades na União.

Os valores são os da Recomendação; as empresas parceiras e associadas contam para eles, pelo que uma pequena filial de um grande grupo normalmente não é pequena. O artigo 3.º, n.º 4, do anexo da Recomendação, que pode permitir a uma empresa manter o estatuto de PME, não se aplica à NIS2.

Abrangidas independentemente da dimensão (artigo 2.º, n.º 2)

• Fornecedores de redes públicas de comunicações eletrónicas ou de serviços de comunicações eletrónicas acessíveis ao público.
• Prestadores de serviços de confiança.
• Registos de nomes de domínio de topo e prestadores de serviços de DNS.
• O único prestador, num Estado-Membro, de um serviço essencial para atividades societais ou económicas críticas.
• Entidades cuja perturbação possa afetar significativamente a segurança pública, a proteção pública ou a saúde pública, ou criar um risco sistémico significativo.
• Entidades críticas pela sua importância específica a nível nacional ou regional.
• Entidades da administração pública da administração central e, a nível regional, quando uma avaliação baseada no risco assim o determine.
• Entidades identificadas como entidades críticas ao abrigo da Diretiva Resiliência das Entidades Críticas (UE) 2022/2557, e entidades que prestam serviços de registo de nomes de domínio.

Quem está excluído

A Diretiva não se aplica às entidades da administração pública que exercem as suas atividades nos domínios da segurança nacional, da segurança pública, da defesa ou da aplicação da lei, nem ao poder judicial, aos parlamentos e aos bancos centrais. Os Estados-Membros podem isentar entidades específicas nesses domínios.

Que lei nacional se aplica (artigo 26.º)

Em regra, a do Estado-Membro onde a entidade está estabelecida. Os fornecedores de comunicações eletrónicas públicas ficam sujeitos a cada Estado-Membro onde prestam serviços. Os prestadores de DNS, de domínios de topo e de registo de domínios, de computação em nuvem, de centros de dados e de redes de distribuição de conteúdos, os prestadores de serviços geridos e de serviços de segurança geridos, os mercados em linha, os motores de pesquisa e as redes sociais ficam sujeitos ao Estado-Membro do seu estabelecimento principal na União; um prestador estabelecido fora da União deve designar um representante num Estado-Membro onde ofereça serviços.

O anexo I enumera onze setores de elevada criticidade; o anexo II enumera sete outros setores críticos. O anexo em que se enquadra, juntamente com a sua dimensão, decide se é uma entidade essencial ou importante — não quais as medidas que se aplicam.

Anexo I — setores de elevada criticidade

Anexo II — outros setores críticos

Cada entidade abrangida é essencial ou importante (artigo 3.º). A categoria muda a forma como é supervisionada e o montante máximo de uma coima. Não muda as medidas de segurança aplicáveis: as dez aplicam-se a ambas.

1. Pergunta 1

   O que fazemos realmente?

   Descreva a sua atividade por palavras suas e compare-a com os setores e tipos de entidade acima. Conte todas as atividades, não apenas a principal.

2. Pergunta 2

   Qual é a nossa dimensão?

   Efetivos, volume de negócios e balanço, incluindo empresas parceiras e associadas. Uma resposta aproximada basta para começar.

3. Pergunta 3

   Onde operamos?

   Em que Estados-Membros está estabelecido ou presta serviços. Isso decide que lei e que autoridade.

4. Pergunta 4

   Aplica-se uma regra independente da dimensão?

   Comunicações públicas, serviços de confiança, TLD ou DNS, prestador único de um serviço essencial, administração pública, entidade crítica.

Anexo I e acima dos limites de média empresa significa normalmente essencial; anexo I com dimensão média, ou anexo II, significa normalmente importante. Depois, verifique a lei nacional e as orientações da sua autoridade, que podem designar entidades ou acrescentar pormenores. Em caso de dúvida, pergunte à sua autoridade nacional: muitas publicam uma autoavaliação e um formulário de registo.

Os Estados-Membros tinham de elaborar, até 17 de abril de 2025, uma lista das entidades essenciais e importantes e das entidades que prestam serviços de registo de nomes de domínio, e revê-la pelo menos de dois em dois anos (artigo 3.º, n.º 3). Para a elaborar, as entidades apresentam pelo menos:

• o seu nome;
• o seu endereço e contactos atualizados, incluindo endereços de e-mail, intervalos de IP e números de telefone;
• o setor e subsetor relevantes do anexo I ou II, se aplicável;
• se aplicável, os Estados-Membros em que prestam serviços abrangidos.

As alterações devem ser notificadas sem demora e, em qualquer caso, no prazo de duas semanas. Os prestadores digitais cuja jurisdição é a do seu estabelecimento principal (DNS, TLD, registo de domínios, nuvem, centros de dados, distribuição de conteúdos, serviços geridos e serviços de segurança geridos, mercados em linha, motores de pesquisa e redes sociais) apresentam também os seus dados para o registo mantido pela ENISA (artigo 27.º), incluindo os seus estabelecimentos principal e outros na União.

O modo e o prazo de registo são fixados pela lei nacional: procure a plataforma de registo e o prazo da sua autoridade.

Artigo 20.º, n.º 1: os Estados-Membros asseguram que os órgãos de direção das entidades essenciais e importantes aprovam as medidas de gestão dos riscos de cibersegurança tomadas para cumprir o artigo 21.º, supervisionam a sua execução e podem ser responsabilizados por infrações a esse artigo.

Artigo 20.º, n.º 2: os membros dos órgãos de direção são obrigados a frequentar formação, e as entidades são incentivadas a oferecer regularmente formação semelhante aos seus trabalhadores, para que adquiram conhecimentos e competências suficientes para identificar riscos e avaliar as práticas de gestão dos riscos de cibersegurança e o seu impacto nos serviços prestados pela entidade.

Foi esta a mudança que levou a cibersegurança de uma rubrica do orçamento de TI para a agenda da administração. Na prática, um auditor procurará a aprovação das medidas pela administração, atas que demonstrem a supervisão e registos de formação de cada membro.

O artigo 21.º, n.º 1, exige medidas técnicas, operacionais e organizativas adequadas e proporcionadas para gerir os riscos para os sistemas de rede e informação utilizados nas suas operações ou serviços e para prevenir ou minimizar o impacto dos incidentes. As medidas devem garantir um nível de segurança adequado ao risco, tendo em conta o estado da técnica, as normas europeias e internacionais relevantes e o custo de execução. A proporcionalidade pondera a sua exposição ao risco, a sua dimensão e a probabilidade e gravidade dos incidentes, incluindo o seu impacto societal e económico.

O artigo 21.º, n.º 2, diz que as medidas seguem uma abordagem que abrange todos os riscos — proteger os sistemas e o seu ambiente físico contra incidentes — e incluem pelo menos as dez abaixo. A proporcionalidade aplica-se à profundidade de cada uma, nunca a quais cobre: as dez são um mínimo, não um menu.

a) Políticas de análise dos riscos e de segurança dos sistemas de informação

Um método documentado para identificar e avaliar riscos, um registo de riscos, decisões de tratamento e aceitação e uma política de segurança da informação aprovada pela direção. A monitorização pode mostrar que uma base técnica é aplicada em todas as máquinas; a análise de riscos em si é documental.

Um auditor pede: o método de avaliação de riscos e o registo atual; provas de que a política é aplicada nos sistemas, e não apenas escrita.

b) Tratamento de incidentes

Detetar, analisar, conter e responder a incidentes, com funções definidas, um registo de incidentes e análises posteriores. O momento da primeira deteção é aquilo com que um avaliador compara as suas notificações.

Um auditor pede: o registo de incidentes; os tempos entre deteção e notificação de incidentes passados; prova de que os prazos de 24 horas, 72 horas e um mês foram cumpridos.

c) Continuidade das atividades, como a gestão de cópias de segurança e a recuperação de desastres, e gestão de crises

Planos de continuidade e de recuperação com objetivos de tempo e de ponto de recuperação, cópias de segurança protegidas e testadas e uma organização de crise. O controlo que mais falha nas auditorias é o restauro testado: uma cópia de segurança executada não prova nada até os dados serem recuperados.

Um auditor pede: o plano de continuidade e de recuperação com os objetivos definidos; a data e o resultado do último teste de restauro.

d) Segurança da cadeia de abastecimento

Segurança nas relações com cada fornecedor e prestador de serviços direto. O artigo 21.º, n.º 3, exige que tenha em conta as vulnerabilidades específicas de cada fornecedor, a qualidade global dos seus produtos e das suas práticas de cibersegurança, incluindo os seus procedimentos de desenvolvimento seguro, e os resultados das avaliações coordenadas de riscos da UE às cadeias de abastecimento críticas.

Um auditor pede: um registo de fornecedores classificados por criticidade; as respetivas avaliações de risco; cláusulas de segurança nos contratos.

e) Segurança na aquisição, desenvolvimento e manutenção, incluindo o tratamento e a divulgação de vulnerabilidades

Requisitos de segurança na compra e construção de sistemas, configuração segura, gestão de alterações, aplicação de correções, testes de segurança e uma forma de receber e tratar relatórios de vulnerabilidades.

Um auditor pede: uma política de gestão de vulnerabilidades com prazos de correção por gravidade, e provas de que são cumpridos — o tempo entre deteção e correção.

f) Políticas e procedimentos para avaliar a eficácia das medidas

Medir se as medidas funcionam: indicadores, auditorias internas, revisões pela direção e o que mudou em consequência.

Um auditor pede: uma tendência mensurável ao longo do tempo, não uma captura de ecrã; provas de revisão periódica e do seu resultado.

g) Práticas básicas de ciber-higiene e formação em cibersegurança

Aplicação de correções, reforço da segurança, remoção de contas predefinidas, portas não utilizadas fechadas e formação para todos, adequada à sua função.

Um auditor pede: a base técnica de higiene e o cumprimento atual face a ela; registos de formação por pessoa, com datas.

h) Políticas e procedimentos relativos à criptografia e, se for caso disso, à cifragem

Que algoritmos e comprimentos de chave são aprovados, onde a cifragem é obrigatória (em repouso, em trânsito) e como as chaves são geradas, guardadas, rodadas e destruídas.

Um auditor pede: a política de criptografia; provas do ciclo de vida das chaves, sobretudo da rotação; o estado de cifragem dos sistemas e das ligações.

i) Segurança dos recursos humanos, políticas de controlo de acesso e gestão de ativos

Verificação de antecedentes quando adequado, processos de entrada, mudança e saída de pessoas, privilégio mínimo, revisões periódicas de acessos e um inventário de ativos com responsáveis e classificação.

Um auditor pede: provas de que os acessos de quem saiu foram removidos, com datas; a última revisão de acessos e quem a assinou; o inventário de ativos.

j) Autenticação multifator ou contínua, comunicações seguras e comunicações de emergência

Autenticação multifator ou contínua, comunicações de voz, vídeo e texto seguras e sistemas seguros de comunicação de emergência, se for caso disso.

Um auditor pede: a cobertura multifator por tipo de conta, exportada do fornecedor de identidade; as exceções e quem aprovou cada uma.

Quando encontra uma lacuna (artigo 21.º, n.º 4)

Uma entidade que constate que não cumpre as medidas deve tomar todas as medidas necessárias, adequadas e proporcionadas de correção sem demora injustificada. Uma lacuna que encontrou, registou e corrigiu é prova de um programa que funciona; uma lacuna que escondeu é uma infração.

Adotado em 17 de outubro de 2024, o Regulamento de Execução estabelece os requisitos técnicos e metodológicos das medidas do artigo 21.º, e quando um incidente é significativo, para: prestadores de serviços de DNS, registos de domínios de topo, prestadores de serviços de computação em nuvem, prestadores de serviços de centros de dados, prestadores de redes de distribuição de conteúdos, prestadores de serviços geridos, prestadores de serviços de segurança geridos, prestadores de mercados em linha, de motores de pesquisa em linha e de plataformas de redes sociais, e prestadores de serviços de confiança.

Sendo um regulamento, aplica-se-lhes diretamente, sem transposição. Para todos os outros, é a melhor leitura técnica disponível do artigo 21.º, e a Agência da União Europeia para a Cibersegurança (ENISA) publica orientações técnicas de execução para o mesmo.

Os treze pontos do anexo

Uma entidade essencial ou importante deve notificar a sua CSIRT nacional ou autoridade competente, sem demora injustificada, de qualquer incidente significativo. Se for caso disso, notifica também os destinatários dos seus serviços dos incidentes significativos suscetíveis de os afetar, e informa os destinatários potencialmente afetados por uma ciberameaça significativa sobre o que podem fazer.

O que torna um incidente significativo

Um incidente é significativo se (artigo 23.º, n.º 3):

• tiver causado ou for suscetível de causar perturbações operacionais graves dos serviços ou perdas financeiras para a entidade; ou
• tiver afetado ou for suscetível de afetar outras pessoas singulares ou coletivas, causando danos materiais ou imateriais consideráveis.

Para os prestadores digitais que abrange, o Regulamento de Execução torna isto concreto. Um incidente é significativo se, entre outros, causou ou poderia causar perdas financeiras superiores a €500.000 ou 5% do volume de negócios anual, consoante o que for mais baixo; a exfiltração de segredos comerciais; a morte de uma pessoa ou danos consideráveis para a saúde de uma pessoa; ou um acesso bem-sucedido, suspeito de ser malicioso e não autorizado, a sistemas capaz de causar perturbações operacionais graves. Cada tipo de prestador tem também limiares de serviço — para um serviço em nuvem, por exemplo, estar completamente indisponível durante mais de 30 minutos. Os incidentes que se repetem pelo menos duas vezes em seis meses com a mesma causa aparente contam em conjunto.

As fases e os seus prazos

A CSIRT ou a autoridade responde ao alerta precoce no prazo de 24 horas com um primeiro parecer e, mediante pedido, orientações sobre a mitigação. A notificação não aumenta, por si só, a responsabilidade da entidade. As entidades fora do âmbito, e as entidades abrangidas no caso de incidentes, ameaças e quase-incidentes que não sejam significativos, também podem notificar voluntariamente (artigo 30.º).

O que tem de existir antes do incidente

• Monitorização que regista a primeira deteção com a respetiva hora.
• Uma forma escrita de decidir se um incidente é significativo, e quem decide.
• Os contactos e formulários da sua CSIRT ou autoridade, e quem os submete.
• Modelos para o alerta precoce, a notificação e o relatório final.
• Um registo de todos os incidentes, significativos ou não, com as decisões e as horas.

A segurança da cadeia de abastecimento é a medida d), com o artigo 21.º, n.º 3, a pedir-lhe que pondere as vulnerabilidades, a qualidade dos produtos e o desenvolvimento seguro de cada fornecedor direto. O Grupo de Cooperação, com a Comissão e a ENISA, pode realizar avaliações coordenadas dos riscos de segurança das cadeias de abastecimento de TIC críticas (artigo 22.º), cujos resultados tem de ter em conta.

Os Estados-Membros podem exigir que as entidades utilizem determinados produtos, serviços e processos de TIC certificados ao abrigo de sistemas europeus de certificação da cibersegurança (artigo 24.º) e incentivar a utilização de normas europeias e internacionais (artigo 25.º).

Na prática: mantenha um registo de fornecedores e prestadores de serviços com a respetiva criticidade, avalie os críticos, inclua cláusulas de segurança nos contratos (notificação de incidentes, direitos de auditoria, subcontratantes, saída) e saiba que software de fornecedores corre nos seus sistemas.

Cada Estado-Membro designa uma ou mais autoridades competentes e um ponto de contacto único. Os seus poderes dependem da categoria da entidade.

As autoridades devem ter em conta as circunstâncias de cada caso: a gravidade e a duração da infração, infrações anteriores, os danos causados, se foi intencional ou negligente, as medidas tomadas para a prevenir ou atenuar, a adesão a códigos de conduta ou a certificação, e a cooperação.

Aplicam-se a infrações ao artigo 21.º (as medidas) ou ao artigo 23.º (notificação). A Diretiva fixa o mínimo do máximo: a lei nacional pode fixar limites mais elevados, acrescentar sanções pecuniárias compulsórias e decidir se e como as entidades da administração pública são sancionadas.

As pessoas singulares responsáveis por uma entidade essencial, ou que atuem como seu representante legal, podem ser responsabilizadas pelo incumprimento do seu dever de garantir a conformidade (artigo 32.º, n.º 6), e os órgãos de direção podem ser responsabilizados ao abrigo do artigo 20.º.

Quando uma infração envolve também uma violação de dados pessoais, a autoridade informa a autoridade de controlo da proteção de dados; se for aplicada uma coima ao abrigo do RGPD pela mesma conduta, não é aplicada uma segunda coima ao abrigo da NIS2 (artigo 35.º).

A NIS2 não é apenas um conjunto de obrigações para as entidades. Cria também as estruturas às quais essas obrigações reportam, o que convém conhecer antes de um incidente e não durante.

Como a NIS2 é uma Diretiva, as obrigações chegam-lhe através da lei nacional. Os Estados-Membros seguem a Diretiva, mas diferem nas plataformas e prazos de registo, nas autoridades envolvidas, no montante das coimas acima do mínimo, no tratamento da administração pública e nos setores adicionais que acrescentam. Vários transpuseram-na com atraso, e a Comissão abriu processos por infração contra os que não tinham notificado as suas leis dentro do prazo.

A Roménia transpôs a NIS2 pelo Decreto-Lei de Emergência do Governo (OUG) n.º 155/2024, aprovado pela Lei n.º 124/2025. A autoridade nacional competente e CSIRT é a Direção Nacional de Cibersegurança (DNSC), onde as entidades abrangidas se registam e notificam incidentes. Consulte as orientações atuais da DNSC para o prazo de registo, os formulários e o canal de notificação.

Para qualquer Estado-Membro: encontre a lei nacional, a autoridade competente para o seu setor, a sua plataforma de registo e o seu canal de notificação de incidentes. Esses quatro factos são a primeira página de qualquer processo NIS2.

1. Passo 1

   Determinar o âmbito e a categoria

   Faça a verificação das quatro perguntas; confirme com a sua autoridade nacional; registe-se onde for exigido.

2. Passo 2

   Responsabilizar a direção

   Aprovação do programa pela administração, um responsável nomeado, formação da direção e uma periodicidade de reporte à administração.

3. Passo 3

   Saber o que tem

   Inventário de sistemas, dados, contas na nuvem, fornecedores e das pessoas com acesso privilegiado.

4. Passo 4

   Avaliar os riscos

   Um método, um registo de riscos e decisões de tratamento, avaliados face às dez medidas e aos 13 pontos.

5. Passo 5

   Ativar a monitorização contínua

   Eventos, vulnerabilidades, reforço da segurança e inícios de sessão de todos os sistemas, guardados como prova. O silêncio tem de ser visível.

6. Passo 6

   Preparar-se para incidentes

   Deteção, critérios de significância, o processo de 24 h / 72 h / um mês, modelos e contactos, e depois um ensaio.

7. Passo 7

   Colmatar as lacunas técnicas

   Autenticação multifator, prazos de aplicação de correções, reforço da segurança, segmentação, cifragem, cópias de segurança testadas.

8. Passo 8

   Escrever o que tem de ser escrito

   Políticas, funções, planos de continuidade, condições com fornecedores, políticas de criptografia e de acesso — curtas, aprovadas, utilizadas.

9. Passo 9

   Formar

   Direção e pessoal, por função, com registos.

10. Passo 10

    Medir e rever

    Indicadores e tendências, revisão pela direção, ações corretivas sem demora injustificada — e repetir.

Uma boa prova tem três propriedades: é registada continuamente, e não redigida na semana antes de uma inspeção; está associada aos requisitos numerados, para que um inspetor a possa seguir linha a linha; e inclui o que estava errado e se foi corrigido, não apenas as boas notícias.

Outros fornecedores vendem-lhe nuvem e servidores e deixam a segurança a seu cargo. O módulo Cyber Security Compliance da TotulDigital vigia continuamente os seus servidores, o seu Cloud Office e as suas contas na nuvem, e transforma o que vê em provas mapeadas para a NIS2 e o Regulamento de Execução — a par de outros onze referenciais.

Dois princípios aplicam-se sempre. Um controlo só aparece como comprovado quando a monitorização o observa; o que ela não vê aparece como sem dados, nunca como aprovado. E o módulo observa e reporta — nunca altera os seus sistemas: a sua equipa ou o seu fornecedor de TI corrige o que ele encontra, e a análise seguinte mostra se a correção funcionou. Dá-lhe provas para o seu auditor e regulador; não substitui o aconselhamento jurídico nem uma auditoria de certificação.

• Diretiva (UE) 2022/2555 (NIS2)
• Anexo técnico do CIR (UE) 2024/2690
• Orientações de execução da ENISA