NIS2 e a Lei de Cibersegurança: a sua empresa está abrangida?
Desde 15 de agosto de 2026 que está em vigor nos Países Baixos a Lei de Cibersegurança. Talvez já tenha ouvido o termo NIS2 da parte de um cliente, de um fornecedor ou de um consultor. Neste artigo poderá ler, em resumo, o que é a lei, quem está abrangido por ela e o que significa para uma pequena empresa que não está abrangida.
Este artigo apresenta uma explicação geral e não constitui aconselhamento jurídico. As regras atuais encontram-se junto do NCSC e no texto da lei.
O que é?
A NIS2 é uma diretiva europeia de 2022 (Diretiva (UE) 2022/2555) que visa tornar as organizações em setores importantes mais resilientes a nível digital. Cada país transpõe a diretiva para uma lei própria. Nos Países Baixos, essa lei é a Lei de Cibersegurança (Cbw). A lei está em vigor desde 15 de agosto de 2026, sem período de transição, e substitui a antiga Lei de Segurança das Redes e dos Sistemas de Informação (Wbni). Segundo o NCSC, mais de 8.000 organizações estão abrangidas por esta lei. O NCSC é o ponto de contacto.
A minha empresa está abrangida?
Isso depende de duas questões: o seu setor e a dimensão da sua empresa.
1. Trabalha num setor abrangido pela lei?
| Anexo 1 | Anexo 2 |
|---|---|
| Energia, transportes, setor bancário, infraestruturas dos mercados financeiros, cuidados de saúde, água potável, águas residuais, infraestrutura digital, gestão de serviços de TIC, administração pública, espaço | Serviços postais e de correio expresso, gestão de resíduos, produtos químicos, produtos alimentares, fabricação (indústria transformadora), fornecedores digitais, investigação |
Para alguns setores aplicam-se condições adicionais. Por isso, nem todas as empresas que trabalham com produtos alimentares estão automaticamente abrangidas.
2. A sua empresa é suficientemente grande? Resumidamente, as organizações médias e grandes estão abrangidas. É contabilizado se:
- tiver 50 ou mais colaboradores (ETI), ou
- tiver menos de 50 colaboradores, mas o volume de negócios anual e o balanço total forem ambos superiores a 10 milhões de euros.
As empresas parceiras e as empresas associadas também são contabilizadas. Por isso, uma empresa com 20 colaboradores que faça parte de um grupo com 200 pode, ainda assim, estar abrangida.
Exceções, independentemente da dimensão. Alguns tipos de organizações estão sempre abrangidos, por mais pequenos que sejam. Por exemplo, fornecedores de serviços DNS, registos de domínios de topo, fornecedores de redes e serviços de comunicações eletrónicas públicas, prestadores de serviços de confiança e organizações públicas. Se a sua organização for designada ao abrigo da Lei de Resiliência das Entidades Críticas, também está abrangida pela Lei de Cibersegurança.
Verificar por si próprio com a autoavaliação
A Rijksinspectie Digitale Infrastructuur (RDI) disponibiliza uma autoavaliação NIS2 gratuita. Responde a perguntas sobre o seu setor, dimensão e serviços e recebe um resultado. Esse resultado também indica se a sua organização é uma entidade essencial ou uma entidade importante. A diferença está sobretudo na fiscalização: nas entidades essenciais, a entidade fiscalizadora também pode controlar por iniciativa própria, enquanto nas entidades importantes a fiscalização ocorre sobretudo a posteriori. A sua empresa faz parte de um grupo ou atua em vários países? Nesse caso, o guia sobre modelos empresariais complexos do NCSC pode ajudar.
O que deve fazer se estiver abrangido?
- Registo. Deve registar a sua organização através do MijnNCSC.
- Dever de diligência. Deve elaborar uma análise de risco e tomar medidas adequadas e proporcionais. O NCSC refere pelo menos dez temas, incluindo a gestão de incidentes, cópias de segurança e recuperação, a segurança da cadeia de abastecimento, formação, atualizações, gestão de acessos, autenticação multifator ou passkeys, encriptação e a verificação de que as medidas funcionam. A direção aprova as medidas e exerce supervisão.
- Dever de notificação. Um incidente significativo deve ser comunicado através do MijnNCSC: um primeiro aviso no prazo de 24 horas, uma notificação com uma primeira avaliação da gravidade e do impacto no prazo de 72 horas, e um relatório final no prazo de um mês.
Esta notificação é independente do dever de notificação de violações de dados do RGPD. Esse dever aplica-se a todos os que tratam dados pessoais, incluindo trabalhadores independentes, e é comunicado à Autoriteit Persoonsgegevens. Um ataque em que também tenham sido roubados dados de clientes pode, assim, ter de ser comunicado a ambas as entidades.
Não está abrangido? Ainda assim pode ser afetado pela cadeia de fornecimento
A maioria das pequenas empresas não está abrangida pela lei. Nesse caso, não tem dever de registo, não tem dever de notificação junto do NCSC e não está sujeita a fiscalização. No entanto, as organizações que estão abrangidas também têm de ter em conta os riscos junto dos seus fornecedores e prestadores de serviços diretos. Segundo o NCSC, a lei não impõe obrigações diretas aos fornecedores, mas os clientes podem exigir requisitos quanto à sua segurança digital. Esses requisitos ficam depois definidos num contrato ou num questionário.
Fornece serviços a uma organização maior, por exemplo como criador de sites, gestor de TI ou gabinete de contabilidade? Nesse caso, pode receber perguntas como: utilizam verificação em dois passos, quem tem acesso aos nossos dados, onde estão guardadas as cópias de segurança e com que rapidez comunicam um incidente?
- Os requisitos devem ser adequados ao risco do seu serviço. Um fornecedor com acesso aos sistemas recebe requisitos mais exigentes do que o padeiro que entrega o almoço.
- Trata-se de fornecedores diretos. Os fornecedores dos seus fornecedores não estão incluídos.
- A lei não exige um certificado. Pode ajudar na conversa, mas não constitui uma garantia.
- Comece atempadamente: identifique as medidas que já tem implementadas e registe os acordos com o seu cliente.