NIS2: quais organizações na Europa são afetadas e o que devem fazer

A Diretiva NIS2 (2022/2555) alarga consideravelmente o âmbito de aplicação da regulação de cibersegurança na UE. Em Portugal, o CNCS (Centro Nacional de Cibersegurança) é a autoridade nacional competente.

Os 18 sectores abrangidos

Os sectores altamente críticos (Anexo I) incluem energia, transportes, setor bancário, infraestruturas de mercados financeiros, saúde, água potável, águas residuais, infraestruturas digitais, prestadores de serviços TIC, administração pública e espaço. Os sectores críticos (Anexo II) incluem serviços postais, gestão de resíduos, química, alimentação, fabricação, fornecedores digitais e investigação.

Critérios de dimensão

As entidades com pelo menos 50 trabalhadores ou um volume de negócios superior a 10 milhões de euros que operem num sector abrangido estão sujeitas à NIS2. As entidades essenciais são as grandes organizações dos sectores altamente críticos; as entidades importantes são as organizações de média dimensão de todos os sectores abrangidos.

Primeiras obrigações

A conformidade assenta na governação da cibersegurança, na gestão de riscos, na segurança da cadeia de abastecimento e na notificação de incidentes ao CNCS — alerta em 24 horas, relatório completo em 72 horas.

*Este artigo é meramente informativo e não constitui aconselhamento jurídico.*