NIS2 e a Lei de Cibersegurança (Cyberbeveiligingswet): a minha empresa está abrangida?

Desde 15 de agosto de 2026 está em vigor nos Países Baixos a Lei de Cibersegurança. Talvez já tenha ouvido o termo NIS2 da parte de um cliente, de um fornecedor ou de um consultor. Neste artigo explicamos de forma resumida o que é esta lei, quem está abrangido e o que significa para uma pequena empresa que não está, ela própria, abrangida.

Este artigo apresenta uma explicação geral e não constitui aconselhamento jurídico. As regras atualizadas podem ser consultadas junto do NCSC e no texto da lei.

O que é?

A NIS2 é uma diretiva europeia de 2022 (Diretiva (UE) 2022/2555) que tem como objetivo tornar as organizações de setores importantes digitalmente mais resilientes. Cada país transpõe a diretiva para uma lei própria. Nos Países Baixos, essa lei é a Lei de Cibersegurança (Cbw). A lei está em vigor desde 15 de agosto de 2026, sem período de transição, e substitui a antiga Lei de segurança das redes e dos sistemas de informação (Wbni). Segundo o NCSC, mais de 8.000 organizações estão abrangidas. O NCSC é o ponto de contacto.

A minha empresa está abrangida?

Isso depende de duas questões: o seu setor e a sua dimensão.

1. A sua empresa atua num setor previsto na lei?

Para alguns setores aplicam-se condições adicionais. Assim, nem todas as empresas que trabalham com produtos alimentares ficam automaticamente abrangidas.

2. A sua empresa tem dimensão suficiente? Em resumo, estão abrangidas as organizações de média e grande dimensão. A sua empresa conta se:

• tiver 50 ou mais trabalhadores (ETI), ou
• tiver menos de 50 trabalhadores, mas o volume de negócios anual e o total do balanço forem ambos superiores a 10 milhões de euros.

As empresas parceiras e as empresas associadas também contam. Uma empresa com 20 trabalhadores que pertença a um grupo de 200 pode, portanto, estar abrangida.

Exceções, independentemente da dimensão. Alguns tipos de organizações estão sempre abrangidos, por mais pequenos que sejam. Por exemplo, prestadores de serviços de DNS, registos de domínios de topo, fornecedores de redes e serviços públicos de comunicações eletrónicas, prestadores de serviços de confiança e organismos da administração pública. Se a sua organização tiver sido designada ao abrigo da Lei de resiliência das entidades críticas, também fica abrangida pela Lei de Cibersegurança.

Verificar por si próprio com a autoavaliação

A Inspeção Estatal das Infraestruturas Digitais (RDI) disponibiliza uma autoavaliação NIS2 gratuita. Responde a perguntas sobre o seu setor, a sua dimensão e os seus serviços e obtém um resultado. Este indica também se a sua organização é uma entidade essencial ou uma entidade importante. A diferença reside sobretudo na supervisão: no caso das entidades essenciais, a autoridade de supervisão pode também fiscalizar por iniciativa própria; no caso das entidades importantes, a supervisão ocorre sobretudo a posteriori. A sua empresa pertence a um grupo ou atua em vários países? Nesse caso, o guia para modelos empresariais complexos do NCSC pode ajudar.

O que deve fazer se estiver abrangido?

• Registo. Regista a sua organização através do MijnNCSC.
• Dever de diligência. Elabora uma análise de riscos e adota medidas adequadas e proporcionais. O NCSC indica pelo menos dez temas, entre os quais o tratamento de incidentes, as cópias de segurança e a recuperação, a segurança da cadeia de abastecimento, a formação, as atualizações, a gestão de acessos, a autenticação multifator ou as passkeys, a encriptação e o teste da eficácia das medidas. A administração aprova as medidas e supervisiona a sua aplicação.
• Dever de notificação. Um incidente significativo é notificado através do MijnNCSC: no prazo de 24 horas, um alerta inicial; no prazo de 72 horas, uma notificação com uma primeira avaliação da gravidade e do impacto; e no prazo de um mês, um relatório final.

Esta notificação é independente do dever de notificação de violações de dados pessoais previsto no RGPD. Esse dever aplica-se a todos os que tratam dados pessoais, incluindo os trabalhadores independentes, e a notificação é feita à Autoridade de Proteção de Dados neerlandesa. Para saber quando algo constitui uma violação de dados e se tem de a notificar, consulte Isto é uma violação de dados e tenho de a notificar? Um ataque em que também tenham sido roubados dados de clientes pode, portanto, ter de ser notificado a ambas as entidades.

Não está abrangido? A cadeia pode, ainda assim, afetá-lo

A maioria das pequenas empresas não está abrangida pela lei. Nesse caso, não existe obrigação de registo, nem dever de notificação ao NCSC, nem supervisão. No entanto, as organizações que estão abrangidas têm de ter em conta também os riscos associados aos seus fornecedores e prestadores de serviços diretos. Segundo o NCSC, a lei não impõe obrigações aos próprios fornecedores, mas os clientes podem estabelecer requisitos relativos à sua segurança digital. Esses requisitos surgem então num contrato ou num questionário.

Fornece serviços a uma organização de maior dimensão, por exemplo como criador de sites, gestor de TI ou gabinete de contabilidade? Nesse caso, poderá receber perguntas como: utilizam verificação em dois passos, quem tem acesso aos nossos dados, onde estão guardadas as cópias de segurança e com que rapidez comunicam um incidente?

• Os requisitos devem ser adequados ao risco do seu serviço. Um fornecedor com acesso aos sistemas terá requisitos mais exigentes do que a padaria que entrega o almoço.
• Estão em causa os fornecedores diretos. Os fornecedores dos seus fornecedores ficam de fora.
• A lei não exige um certificado. Pode ajudar na conversa, mas não constitui uma garantia.
• Comece atempadamente: faça um levantamento das medidas que já tem em vigor e registe por escrito os acordos com o seu cliente.

Saber mais

• NCSC: Lei de Cibersegurança (NIS2)
• NCSC: A minha organização está abrangida pela Lei de Cibersegurança?
• NCSC: Dever de diligência
• NCSC: Dever de notificação
• NCSC: A Lei de Cibersegurança e os fornecedores
• RDI: Autoavaliação NIS2
• Texto da Lei de Cibersegurança

Quer saber mais? Siga o curso gratuito Online em segurança para empresários, lição 9.1 A NIS2 e a Lei de Cibersegurança.