Question 1

Quem está sujeito ao NIS2 em Portugal?

Accepted Answer

A diretiva NIS2 aplica-se a entidades que operam em 18 setores definidos (energia, transportes, saúde, banca, infraestruturas digitais, água, alimentação, indústria, etc.) que excedem determinados limiares de dimensão. As entidades essenciais são as grandes empresas (mais de 250 trabalhadores ou mais de 50 milhões de euros de volume de negócios) nos setores altamente críticos do Anexo I. As entidades importantes abrangem as médias empresas (mais de 50 trabalhadores ou mais de 10 milhões de euros de volume de negócios) em todos os setores abrangidos. Portugal transpôs o NIS2 através do Decreto-Lei n.º 20-B/2025. O Centro Nacional de Cibersegurança (CNCS) é a autoridade competente nacional para a identificação e supervisão das entidades abrangidas.

Question 2

Quando entrou em vigor o NIS2?

Accepted Answer

A Diretiva (UE) 2022/2555, conhecida como NIS2, foi publicada no Jornal Oficial da União Europeia em 27 de dezembro de 2022. Os Estados-Membros tinham até 17 de outubro de 2024 para a transpor para o direito nacional. Portugal procedeu à sua transposição através do Decreto-Lei n.º 20-B/2025. As entidades abrangidas devem registar-se junto do CNCS e implementar as medidas de segurança exigidas nos prazos estabelecidos. É fortemente recomendado iniciar as atividades de conformidade sem aguardar a notificação oficial por parte do CNCS.

Question 3

Quais são as sanções do NIS2?

Accepted Answer

O NIS2 prevê dois níveis de sanções administrativas em função da categoria da entidade. Para as entidades essenciais, a coima máxima é de 10.000.000 € ou 2% do volume de negócios anual mundial total do exercício anterior, aplicando-se o valor mais elevado. Para as entidades importantes, o limite é de 7.000.000 € ou 1,4% do volume de negócios anual mundial. Para além das sanções pecuniárias, o CNCS pode emitir injunções de conformidade, suspender temporariamente certificações ou autorizações e tornar públicas as infrações verificadas. Os dirigentes também podem ser responsabilizados pessoalmente em caso de negligência grave.

Question 4

O NIS2 aplica-se a subcontratantes?

Accepted Answer

Sim, o NIS2 tem um alcance alargado sobre a cadeia de abastecimento. As entidades abrangidas (essenciais e importantes) têm a obrigação de garantir que os seus fornecedores e prestadores de serviços que acedam aos seus sistemas de informação ou tratem dados críticos mantenham um nível de segurança adequado. Na prática, isto significa que os subcontratantes e fornecedores de TI das entidades NIS2 terão requisitos de segurança impostos através de cláusulas contratuais, questionários de avaliação de segurança e, eventualmente, auditorias. Mesmo que uma empresa não esteja diretamente sujeita ao NIS2, poderá ter de cumprir determinados requisitos de segurança para manter os seus clientes regulados.

Question 5

Como notificar um incidente ao CNCS?

Accepted Answer

O NIS2 impõe um processo de notificação em várias etapas. No prazo de 24 horas após a deteção de um incidente significativo, a entidade deve transmitir um alerta precoce ao CNCS indicando se o incidente parece resultar de um ato malicioso e se tem impacto transfronteiriço. No prazo de 72 horas, deve seguir-se uma notificação completa com uma avaliação inicial do incidente, da sua gravidade e dos prováveis impactos. No prazo de um mês após a resolução, deve ser transmitido um relatório final com a análise das causas raiz e as medidas corretivas adotadas. O CNCS disponibiliza um portal dedicado para a comunicação de incidentes de cibersegurança em cncs.gov.pt.

Question 6

Qual é a diferença entre entidades essenciais e importantes?

Accepted Answer

A distinção entre entidades essenciais (EE) e entidades importantes (EI) assenta principalmente em dois critérios: o setor de atividade e a dimensão da organização. As entidades essenciais operam nos setores altamente críticos listados no Anexo I da diretiva (energia, transportes, saúde, água, infraestruturas digitais, etc.) e excedem os limiares de grande empresa. As entidades importantes abrangem tanto as organizações de média dimensão nos setores do Anexo I como as empresas nos setores adicionais do Anexo II (alimentação, química, indústria, etc.). A principal diferença prática diz respeito ao regime de supervisão: as EE estão sujeitas a controlos proativos regulares, enquanto as EI estão sujeitas a uma supervisão reativa desencadeada por um incidente ou uma queixa.

Question 7

O NIS2 substitui o RGPD?

Accepted Answer

Não, o NIS2 não substitui o RGPD. Os dois regulamentos são complementares e coexistem. O RGPD (Regulamento Geral sobre a Proteção de Dados) diz respeito à proteção dos dados pessoais e aplica-se a qualquer organização que trate dados de residentes europeus, independentemente da sua dimensão ou setor. O NIS2 diz respeito à segurança das redes e dos sistemas de informação das entidades que operam em setores críticos. Os dois textos reforçam-se mutuamente: as boas práticas de cibersegurança do NIS2 contribuem para a segurança dos dados pessoais exigida pelo RGPD. Em caso de incidente cibernético que resulte numa violação de dados, uma empresa pode estar simultaneamente sujeita às obrigações de notificação do NIS2 (ao CNCS) e do RGPD (à Comissão Nacional de Proteção de Dados – CNPD).

Question 8

O meu fornecedor de alojamento é responsável pela minha conformidade com o NIS2?

Accepted Answer

Não, o seu fornecedor de alojamento não pode ser responsabilizado pela sua conformidade com o NIS2. A responsabilidade pela conformidade recai sobre a própria entidade abrangida, ou seja, a sua organização. Trata-se de uma responsabilidade partilhada: se utilizar serviços de cloud ou alojamento, deve garantir que os seus fornecedores mantêm níveis de segurança adequados (esta é a obrigação de segurança da cadeia de abastecimento), mas a conformidade global continua a ser da sua responsabilidade. Isto inclui a governação, a gestão de riscos, a notificação de incidentes e a continuidade do negócio. Na prática, terá de estruturar as suas relações contratuais com os fornecedores de TI de forma a incorporar cláusulas de segurança conformes com os requisitos do NIS2.

Question 9

O NIS2 aplica-se às microempresas?

Accepted Answer

Como regra geral, o NIS2 não se aplica às microempresas e às pequenas empresas (menos de 50 trabalhadores e menos de 10 milhões de euros de volume de negócios). A diretiva foi concebida para visar entidades cuja falha teria um impacto significativo na sociedade ou na economia. No entanto, existem exceções importantes: certos tipos de entidades estão sujeitos ao NIS2 independentemente da sua dimensão, incluindo os operadores de redes públicas de comunicações eletrónicas, os prestadores de serviços DNS, os registos de nomes de domínio de topo (TLD) e os prestadores de serviços de confiança qualificados. Além disso, mesmo uma microempresa pode ser indiretamente afetada se for subcontratante de uma entidade abrangida.

Question 10

Qual é o prazo para a conformidade com o NIS2?

Accepted Answer

A data de entrada em vigor do NIS2 foi 17 de outubro de 2024; as obrigações são portanto teoricamente aplicáveis desde essa data. O CNCS procederá à identificação progressiva das entidades abrangidas que deverão registar-se na plataforma dedicada. É fortemente recomendado iniciar as atividades de conformidade sem aguardar a notificação oficial, uma vez que a conformidade total requer vários meses de trabalho: mapeamento de ativos, análise de riscos, implementação de medidas técnicas e organizacionais e formação do pessoal. As entidades que tardam em agir expõem-se a sanções quando o CNCS iniciar as suas atividades de supervisão.

Question 11

Como provar a conformidade com o NIS2?

Accepted Answer

O NIS2 não prevê uma certificação obrigatória única, mas a prova de conformidade assenta numa documentação exaustiva e em auditorias regulares. Uma entidade conforme deve dispor de uma política de segurança documentada e aprovada pela direção, de uma análise de riscos atualizada, de um registo de incidentes, de um plano de continuidade do negócio testado, de provas de formação, de contratos com fornecedores incluindo cláusulas de segurança e de relatórios de auditorias internas ou externas. O CNCS pode solicitar estes documentos no âmbito das suas atividades de supervisão. A utilização de referenciais reconhecidos como a ISO 27001 ou o Quadro Nacional de Referência para a Cibersegurança (QNRC) pode facilitar a demonstração da conformidade.

Question 12

O NIS2 diz respeito às associações e organizações sem fins lucrativos?

Accepted Answer

As associações e organizações sem fins lucrativos podem estar sujeitas ao NIS2 se exercerem atividades num dos 18 setores abrangidos e excederem os limiares de dimensão (50 trabalhadores ou 10 milhões de euros de orçamento). Por exemplo, uma associação que gere uma rede de distribuição de água, um estabelecimento de saúde em forma associativa ou uma fundação de investigação científica poderia estar sujeita à diretiva. A forma jurídica (associação, fundação, etc.) não é o critério determinante: o que conta é a natureza da atividade e os limiares de dimensão. As associações de pequena dimensão que operam fora dos setores críticos geralmente não são afetadas. Em caso de dúvida, aconselha-se consultar o CNCS ou um advogado especializado.

Question 13

O que é a cadeia de abastecimento NIS2?

Accepted Answer

A segurança da cadeia de abastecimento é uma das obrigações fundamentais do NIS2. Impõe às entidades abrangidas que avaliem e gerem os riscos de cibersegurança decorrentes das suas relações com fornecedores e prestadores de serviços, em particular os que acedem aos seus sistemas de informação, tratam dados críticos ou fornecem componentes de software integrados nos seus produtos. Na prática, isto traduz-se num mapeamento dos fornecedores críticos, questionários de segurança, cláusulas contratuais que impõem níveis mínimos de segurança e direitos de auditoria. Esta obrigação responde à proliferação de ataques à cadeia de abastecimento (como o SolarWinds) que contornam as defesas de uma organização visando os seus fornecedores.

Question 14

O CNCS já controla as empresas?

Accepted Answer

Sim, o CNCS já dispõe de poderes de controlo, herdados da diretiva NIS1, que exerce sobre os operadores de serviços essenciais e os prestadores de serviços digitais identificados no âmbito do regime anterior. Com o NIS2, transposto pelo Decreto-Lei n.º 20-B/2025, estes poderes foram significativamente alargados e reforçados. O CNCS pode agora realizar inspeções documentais e in loco, solicitar auditorias de segurança realizadas por prestadores qualificados, emitir injunções de conformidade com prazos e aplicar sanções administrativas. Para as entidades essenciais, os controlos podem ser iniciados de forma proativa, sem aguardar a ocorrência de um incidente. O pleno desdobramento destes poderes de controlo será gradual à medida que o CNCS identificar as entidades abrangidas em Portugal.

Question 15

O NIS2 aplica-se em toda a Europa?

Accepted Answer

Sim, o NIS2 é uma diretiva europeia que se impõe a todos os 27 Estados-Membros da União Europeia. No entanto, sendo uma diretiva (e não um regulamento), necessita de transposição para o direito nacional de cada Estado-Membro. Isto significa que as modalidades práticas de aplicação (identificação das entidades, processos de notificação, sanções efetivas) podem variar de país para país, mesmo que os requisitos substantivos sejam harmonizados. Para os grupos internacionais, isto implica acompanhar a transposição em cada país relevante. O mecanismo de supervisão é organizado em torno do princípio do estabelecimento principal: uma entidade que opere em vários Estados-Membros é geralmente supervisionada pela autoridade do país onde se encontra o seu estabelecimento principal para os serviços transfronteiriços.

Perguntas frequentes sobre a NIS2

Perguntas frequentes sobre a NIS2