O que é a Diretiva NIS2?

A cibersegurança deixou de ser um tema exclusivamente técnico. Com a transposição da Diretiva Europeia NIS2 para o ordenamento jurídico português, a proteção digital tornou-se uma obrigação legal direta para milhares de organizações em Portugal.

O que muda de forma mais imediata é a responsabilidade: os órgãos de gestão - administradores, diretores, CEO - passam a ser pessoalmente responsáveis pelo cumprimento das medidas de cibersegurança. Já não basta delegar para o departamento de TI.

A quem se aplica?

A NIS2 aplica-se a organizações com 50 ou mais colaboradores e faturação igual ou superior a 10 milhões de euros, que operem em setores críticos como energia, saúde, banca, transportes, infraestruturas digitais, indústria alimentar ou setor químico, entre outros. As entidades são classificadas em duas categorias principais: Entidades Essenciais, que incluem os operadores mais críticos do país, e Entidades Importantes, que abrangem setores estratégicos de menor impacto direto mas igualmente relevantes. Um aspeto que muitas empresas desconhecem: as PME que fornecem serviços ou produtos a entidades abrangidas também são afetadas indiretamente. A NIS2 obriga as entidades essenciais e importantes a exigir conformidade na sua cadeia de fornecimento, criando um efeito que se estende por toda a economia.

Quais as principais obrigações?

Gestão de risco e segurança

• As organizações devem implementar um conjunto mínimo de medidas técnicas e organizativas, entre as quais se destacam a análise e gestão contínua de riscos, políticas de controlo de acessos, uso de autenticação multifator, criptografia e segurança da cadeia de fornecimento. Todas estas medidas têm de estar documentadas e ser demonstráveis perante as autoridades competentes.

Reporte de incidentes

• Em caso de incidente significativo, os prazos de notificação ao CNCS (Centro Nacional de Cibersegurança) são curtos e rígidos: alerta inicial em 24 horas, notificação formal em 72 horas e relatório final em 30 dias úteis. Não cumprir estes prazos é, por si só, uma infração.

Responsabilização da gestão

• Esta é a mudança mais estrutural. A responsabilidade pelo cumprimento da NIS2 não pode ser delegada para consultores externos ou equipas técnicas - recai diretamente sobre os titulares dos órgãos de gestão, com possibilidade de responsabilização pessoal em caso de incumprimento por dolo ou negligência grave.

Quais as sanções?

O regime sancionatório é expressivo. As entidades essenciais podem ser multadas até 10 milhões de euros ou 2% do volume de negócios anual mundial. As entidades importantes até 7 milhões de euros ou 1,4% do volume de negócios. O valor aplicado é sempre o mais elevado dos dois.

Como a Trigénius pode ajudar

Com 27 anos de experiência em tecnologias de informação e parcerias com líderes em cibersegurança como WatchGuard e ESET, a Trigénius está preparada para apoiar a sua organização em cada etapa do processo de conformidade com a NIS2.

Fazemos o diagnóstico inicial, identificamos as lacunas face às medidas obrigatórias e implementamos as soluções técnicas necessárias - desde segurança de rede e endpoint até sistemas de monitorização e resposta a incidentes. Apoiamos também na elaboração da documentação regulatória e na formação das equipas e da gestão.

Se a sua empresa está abrangida pela NIS2, ou se fornece serviços a quem está, o momento de agir é agora.