O seu dossiê de conformidade
NIS2 em 5 dias

Autenticação multifator (MFA)

« Para que serviços impõe a MFA? Correio eletrónico, VPN, RDP, administração da rede e da nuvem, contas com privilégios. »

Segurança do correio eletrónico

« Que controlos utiliza contra a usurpação de identidade por correio eletrónico (SPF, DKIM, DMARC)? Desativou os protocolos herdados (IMAP, POP3, SMTP não seguros)? »

Plano de resposta a incidentes

« Qual é o seu plano de resposta a incidentes e em que prazo nos notificaria de um incidente de cibersegurança? »

Subcontratação e cadeia de abastecimento

« Recorre a subcontratantes de quarto nível? Aceitará cláusulas contratuais que imponham a conformidade com a NIS2 (controlos, notificação de violações, direito de auditoria)? »

Cópias de segurança e continuidade

« São realizadas cópias de segurança? A integridade e os procedimentos de restauro são testados pelo menos uma vez por ano? »

Governação da segurança

« A sua política de segurança da informação assenta num referencial reconhecido (NIST, ISO 27001)? »

Quem está abrangido?

A diretiva visa as empresas «médias» ou «grandes» (na aceção do direito europeu) ativas numa lista de setores considerados críticos: energia, transportes, saúde, banca, água, setor digital, administração pública, por um lado; correios, resíduos, química, agroalimentar, fabrico, investigação, por outro. Um Estado pode também incluir estruturas mais pequenas se desempenharem um papel essencial.

O que a NIS2 realmente lhe impõe

Em termos claros: pôr em prática medidas de segurança «proporcionadas», saber identificar os seus riscos, proteger os seus dados, detetar um ataque, reagir-lhe e retomar a atividade depois. Acrescem a segurança física das instalações, o controlo dos acessos e das autorizações, e a verificação da segurança dos seus prestadores e fornecedores.

Em caso de contratempo, um calendário preciso

Se ocorrer um incidente «significativo», é necessário avisar a autoridade em três tempos: um alerta rápido em 24h, uma notificação mais detalhada em 72h e, por fim, um relatório final no prazo de um mês. Os clientes afetados devem também ser informados sem demora das medidas a tomar do seu lado.

As sanções, sem dramatizar

O limite máximo das coimas é fixado pela diretiva: até 10 M€ ou 2 % do volume de negócios mundial (o montante mais elevado) para as entidades «essenciais»; até 7 M€ ou 1,4 % do volume de negócios mundial para as entidades «importantes». São limites legais, não uma fatura automática, e a coima só surge depois de uma escala de medidas corretivas - ver o pormenor mais abaixo.

As datas a reter

A diretiva está em vigor desde 16 de janeiro de 2023. Cada Estado-Membro devia ter transposto as suas obrigações para a lei nacional o mais tardar a 17 de outubro de 2024, para uma aplicação efetiva desde 18 de outubro de 2024, data em que o antigo texto NIS1 foi revogado.

Em França, quem conduz o dossiê

A ANSSI é a autoridade designada para acompanhar a conformidade com a NIS2. Publicou um «Référentiel Cyber France» (ReCyF, disponível desde 17 de março de 2026) e propõe uma plataforma «MonEspaceNIS2», bem como um «ClubSSI», para ajudar as empresas a orientar-se.

O que já se passa nos nossos vizinhos

Na Alemanha, a autoridade BSI indica que o prazo legal de registo das empresas abrangidas já foi ultrapassado: as que ainda não o fizeram devem fazê-lo sem esperar. Um sinal concreto de que o movimento europeu já está em marcha, muito para além dos textos.

Está em estudo uma simplificação

A Comissão Europeia apresentou em 2026 uma proposta («pacote ómnibus») para aliviar a conformidade com a NIS2, em especial para as estruturas mais pequenas: cerca de 28 700 empresas seriam abrangidas por este alívio, das quais 6 200 microempresas e pequenas empresas.

Uma clínica privada ou um laboratório de análises

Enquadra-se no setor «Saúde» do Anexo I desde que se trate de um estabelecimento de saúde na aceção do direito europeu, se ultrapassar o limiar de dimensão média.

Um subcontratante automóvel ou um fabricante de máquinas

Enquadra-se no setor «Indústria transformadora» do Anexo II (veículos, equipamento elétrico, máquinas, eletrónica) acima do limiar de dimensão.

Um fornecedor de nuvem ou uma empresa de gestão informática externalizada (MSP/MSSP)

Faz parte da «Infraestrutura digital» ou da «Gestão de serviços de TIC» do Anexo I: abrangida a partir da dimensão média (entidade importante), entidade essencial se for grande. Única exceção de dimensão: se for também prestadora de serviços de confiança qualificados, registo de nomes de domínio ou prestadora de serviços DNS.

Uma autarquia ou um estabelecimento público regional

Enquadra-se no setor «Administração pública» do Anexo I se o Estado-Membro a designar, em especial quando a paralisação dos seus serviços tiver um impacto significativo nas atividades societais ou económicas críticas.

Um transformador agroalimentar ou um grossista

Cabe em «Produção, transformação e distribuição de produtos alimentares» do Anexo II desde que exerça uma atividade grossista ou uma produção/ transformação industrial.

Uma empresa «fora dos 18 setores», mas fornecedora de uma entidade abrangida

Não está diretamente no âmbito da NIS2, mas pode ser empurrada para lá por contrato: ver a secção «Efeito ricochete» acima nesta página.

P. O que é a Diretiva NIS2, numa frase?

É o texto europeu que substituiu, desde 18 de outubro de 2024, a antiga lei de 2016 sobre cibersegurança: a Comissão Europeia descreve-o como um texto que «eleva o nível comum de ambição da UE em matéria de cibersegurança, através de um âmbito de aplicação mais alargado, regras mais claras e instrumentos de controlo reforçados».

P. Sou uma PME: estou realmente abrangido pelos limiares de dimensão?

O texto visa, em primeiro lugar, as empresas «médias» ou «grandes» na aceção europeia, um critério legal preciso que remete para a Recomendação 2003/361/CE (na prática: a partir de 50 trabalhadores, ou de mais de 10 M EUR de volume de negócios e de balanço em simultâneo), ativas num dos 18 setores enumerados. Abaixo disso, em princípio não está diretamente sujeito, salvo se o seu Estado incluir estruturas mais pequenas consideradas essenciais, ou se fornecer uma entidade que o seja (efeito ricochete, ver acima nesta página).

P. Enquanto dirigente, posso ser pessoalmente responsabilizado?

Sim, e é o ponto menos conhecido do texto: o resumo legal oficial da diretiva precisa que o órgão de direção deve aprovar as medidas de gestão dos riscos e supervisionar a sua implementação, e que pode ser responsabilizado em caso de incumprimento. A cibersegurança não é, portanto, apenas um assunto informático: é uma questão de governação que sobe até ao dirigente.

P. Como saber concretamente se a minha empresa tem de se registar?

Cada Estado-Membro deve manter atualizada uma lista oficial das entidades essenciais e importantes, revista de dois em dois anos (primeiro prazo europeu: 17 de abril de 2025). Em França, a ANSSI disponibiliza uma ferramenta gratuita de autoavaliação em linha, o «MonEspaceNIS2», que responde diretamente à pergunta «estou abrangido?».

P. A França está em atraso? O que muda isso para mim hoje?

Sim: a lei francesa de transposição continua por publicar, muito para além do prazo europeu. Em julho de 2026, a Comissão Europeia levou, aliás, a França ao Tribunal de Justiça da UE por não ter notificado as suas medidas de transposição (ver o calendário detalhado acima). Concretamente: nenhuma sanção «NIS2 francesa» é ainda possível enquanto o decreto não sair, mas no dia em que for publicado, as empresas já preparadas não terão nada a recuperar.

P. O que muda realmente face à antiga lei NIS1?

A NIS1 (2016) limitava-se à energia, aos transportes, à saúde, às finanças, à água e ao setor digital. A NIS2 alarga fortemente este âmbito: passam a acrescer as comunicações eletrónicas para o grande público, as redes sociais e plataformas digitais, a gestão de resíduos, o fabrico de produtos críticos, os serviços postais e a administração pública. Muitas empresas até aqui fora do radar entram agora no âmbito.

P. Está previsto algum alívio para as estruturas pequenas?

Sim, em estudo: a Comissão Europeia apresentou em 2026 um pacote de simplificação para reduzir a carga administrativa associada à NIS2, em especial para as entidades mais pequenas. Cerca de 28 700 empresas seriam abrangidas por este alívio, das quais 6 200 microempresas e pequenas empresas. O texto ainda não foi adotado a título definitivo: a acompanhar, sem esperar para se preparar.

Coima administrativa máxima: pelo menos 10 000 000 EUR OU pelo menos 2 % do volume de negócios mundial do exercício anterior - aplica-se o montante mais elevado dos dois.

Coima administrativa máxima: pelo menos 7 000 000 EUR OU pelo menos 1,4 % do volume de negócios mundial do exercício anterior - mesma lógica, retém-se o montante mais elevado.

Quem sanciona?

Cada Estado-Membro designa uma ou várias «autoridades competentes» encarregadas da supervisão e da execução da diretiva. Em França, esse papel cabe à ANSSI.

O último recurso - só para as essenciais

Se as medidas anteriores ficarem sem efeito, a autoridade pode pedir a um tribunal a suspensão temporária de uma certificação ou de uma autorização, ou mesmo o afastamento temporário de um dirigente (diretor-geral ou representante legal) das suas funções, até ao cumprimento. Esta escalada extrema diz respeito APENAS às entidades essenciais, não às entidades importantes.

O montante não é automático

A lei impõe que se tenha em conta, caso a caso: a gravidade e a duração da infração, a reincidência, o dano causado, a intenção ou a negligência, as medidas tomadas para limitar o prejuízo, a adesão a códigos de conduta ou certificações, o nível de cooperação com a autoridade. Duas empresas na mesma situação não recebem automaticamente a mesma coima.

Os dirigentes, pessoalmente responsáveis

O texto prevê expressamente que as pessoas singulares que dirigem a entidade (diretor-geral, representante legal) podem ser responsabilizadas em caso de incumprimento das suas obrigações de conformidade - tanto para as entidades essenciais como para as entidades importantes.

E se for também uma fuga de dados?

Se o incidente constituir igualmente uma violação de dados pessoais, a autoridade NIS2 deve informar sem demora a autoridade competente em matéria de RGPD (a CNIL, em França). Os dois regimes coordenam-se - não é uma acumulação automática de sanções, mas uma informação cruzada entre autoridades.

Exemplos com números? Ainda não, honestamente

À data deste acompanhamento, nenhuma decisão de sanção NIS2 tornada pública foi encontrada numa fonte oficial. O dispositivo depende da lei de transposição de cada Estado-Membro, em fase de finalização. Sinal de que o movimento está em marcha: na Alemanha, a autoridade BSI indica que o prazo legal de registo das entidades abrangidas já foi ultrapassado.