- A aplicação do NIS2 está ativa. A supervisão proativa de entidades essenciais começou no início de 2025, e ações penais formais com constatações públicas têm surgido desde meados de 2025.
- As entidades essenciais enfrentam multas até 10 milhões de euros ou 2% do volume de negócios anual global. Entidades importantes enfrentam até 7 milhões de euros ou 1,4%. As multas reais dependem muito de a organização conseguir demonstrar um programa de segurança documentado.
- As disposições do artigo 20.º sobre responsabilidade pessoal são promulgadas na Bélgica e nos Países Baixos. CEOs, CISOs e membros do conselho podem enfrentar multas individuais e proibições temporárias de gestão.
- O aviso prévio de 24 horas é a obrigação NIS2 ignorada com maior frequência. A falha é quase sempre organizacional: as equipes de resposta de TI corrigem sem acionar a cadeia de notificação.
- As obrigações de segurança da cadeia de abastecimento estão a ser ativamente testadas em auditorias. As autoridades procuram provas de avaliações reais e requisitos contratuais, e não apenas documentos políticos que façam referência à segurança da cadeia de abastecimento.
- As organizações que sofreram incidentes, mas tinham programas de risco documentados, testaram planos de resposta e notificaram atempadamente, saíram-se muito melhor do que aquelas que não conseguiram demonstrar nada disto.
Como funciona a aplicação do NIS2
O NIS2 dá às autoridades supervisoras nacionais duas vias. A supervisão proativa envolve auditorias, avaliações de segurança e inspeções que as autoridades podem iniciar sem um evento desencadeador. A aplicação reativa é desencadeada por um incidente relatado, uma reclamação ou informações recebidas de outra autoridade. Ambas as faixas podem resultar em ordens corretivas e penalidades financeiras.
A classificação da sua organização determina a intensidade da supervisão. Entidades essenciais nos setores da energia, transportes, banca, infraestruturas do mercado financeiro, cuidados de saúde, água potável, águas residuais, infraestruturas digitais, gestão de serviços TIC, administração pública e espaço enfrentam o regime mais rigoroso: supervisão ex ante que não requer um incidente para ser desencadeada. Entidades importantes enfrentam supervisão ex post, desencadeada principalmente por incidentes ou reclamações, mas ainda estão sujeitas ao mesmo quadro de sanções.
A autoridade supervisora varia de acordo com o país. Nos Países Baixos, o NCSC-NL coordena com os reguladores do sector: De Nederlandsche Bank para o sector bancário, ACM para as telecomunicações, o NVWA para o abastecimento alimentar. Na Alemanha é o BSI (Bundesamt für Sicherheit in der Informationstechnik). Na Bélgica é o CCB (Centro de Cibersegurança da Bélgica). Na França, ANSSI. Para organizações do Reino Unido: a NIS2 não se aplica diretamente após o Brexit, mas os Regulamentos NIS do Reino Unido de 2018 cobrem terreno semelhante, e as próximas Projeto de Lei de Segurança Cibernética e Resiliência estenderá ainda mais as obrigações.
O que desencadeia uma investigação
Um incidente notificado é o gatilho mais comum. Ao abrigo da NIS2, as entidades devem apresentar um aviso prévio à sua autoridade no prazo de 24 horas após tomarem conhecimento de um incidente significativo, uma notificação completa no prazo de 72 horas e um relatório final no prazo de um mês. A falta de notificação atempada, a resposta inadequada ao incidente visível na notificação ou as discrepâncias entre a conta da entidade e as informações que a autoridade tem de outras fontes desencadeiam investigações de acompanhamento. As autoridades também iniciam investigações com base em informações partilhadas através da rede EU-CyCLONe e através de acordos de partilha de informações específicas do setor, o que significa que um incidente numa organização homóloga no seu setor pode levar a uma verificação do seu.
O quadro penal
As multas máximas são exatamente isso: máximas. As penalidades reais dependem de fatores agravantes e atenuantes: a gravidade e a duração da violação, se foi resultado de negligência ou má conduta deliberada, a cooperação da organização com a autoridade, se a violação foi comunicada pela própria autoridade ou descoberta pela autoridade, e se a organização tinha um programa de segurança demonstrável em vigor. Uma organização que sofreu um ataque sofisticado, mas que consegue apresentar um programa de gestão de riscos documentado, uma resposta testada a incidentes e uma notificação atempada, será tratada de forma muito diferente daquela que não consegue demonstrar nada disto.
A responsabilidade pessoal nos termos do Artigo 20 é o desvio mais significativo do modelo do GDPR. Os Estados-Membros podem responsabilizar pessoalmente os membros individuais dos órgãos de administração (CEOs, membros do conselho de administração, CISO) pelas violações da NIS2. A Bélgica e os Países Baixos promulgaram disposições sobre responsabilidade pessoal na sua legislação nacional de implementação. Isto pode assumir a forma de multas pessoais, proibições temporárias de ocupar cargos de gestão ou divulgação pública obrigatória das conclusões. O artigo 20.º exige também que os órgãos de administração aprovem medidas de gestão de riscos de cibersegurança e que os seus membros recebam formação em cibersegurança. Estas são obrigações executórias e não recomendações.
O que as primeiras ações de fiscalização revelam
Incident reporting gaps are the primary trigger
O não cumprimento dos prazos de notificação é a base mais comum para ações de fiscalização antecipadas. O padrão mais comum: uma organização vivencia um incidente, gerencia a resposta internamente e avalia o incidente como abaixo do limite “significativo” sem consultar aconselhamento jurídico ou regulatório. A autoridade posteriormente discorda dessa avaliação. O aviso prévio de 24 horas é o requisito ignorado com mais frequência, muitas vezes porque as equipes de resposta de TI iniciam a correção sem acionar a cadeia de notificação. No momento em que as funções de conformidade são ativadas, a janela já foi fechada. O resultado é uma violação técnica das obrigações de notificação do NIS2, que se soma a qualquer incidente de segurança que desencadeou a situação.
As obrigações da cadeia de abastecimento são testadas ativamente
A NIS2 exige que as organizações avaliem e gerenciem os riscos de segurança cibernética apresentados pelos seus fornecedores e prestadores de serviços. As primeiras descobertas das auditorias revelam um padrão consistente: existem políticas de gestão de risco dos fornecedores no papel, mas não foram realizadas avaliações reais, os acordos com os fornecedores não impõem requisitos de segurança e ninguém monitoriza a postura crítica de segurança dos fornecedores. As autoridades estão a distinguir entre documentação política e provas de implementação, verificando que estas últimas estão ausentes em muitos casos. Esta lacuna é particularmente pronunciada para fornecedores de software críticos, operadores de infraestruturas em nuvem e fornecedores de serviços geridos que têm acesso significativo aos sistemas e dados da entidade regulada.
A documentação de governança é examinada
A NIS2 exige supervisão do gerenciamento de riscos de segurança cibernética em nível de conselho. Nos primeiros casos de aplicação, os conselhos que aprovaram uma política de segurança da informação no papel, mas não mantiveram registo de riscos, nem actas de discussões sobre segurança, nem registos de formação, falham neste teste. A documentação da governação é tratada como prova da governação. Ausência de documentação é ausência de conformidade. As autoridades estão solicitando especificamente atas do conselho e entradas de registros de risco como parte de questionários de supervisão, e a ausência desses registros é em si uma constatação, independentemente da postura de segurança subjacente.
Os controles técnicos básicos são um piso mínimo
As autoridades estão a verificar controlos de higiene fundamentais: autenticação multifatorial em contas administrativas e acesso remoto, encriptação de dados em repouso e em trânsito, processos de gestão de patches documentados com provas de implementação e planos de continuidade de negócios e recuperação de desastres que foram testados. As organizações que não possuem estes controlos e depois sofrem um incidente enfrentam penalidades substancialmente maiores do que aquelas com um programa demonstrável que enfrentou um ataque sofisticado fora do seu controlo razoável. O princípio que a NIS2 aplica é o da proporcionalidade: a questão é se a organização implementou medidas adequadas aos riscos que enfrentou, e não se alcançou zero incidentes.
Os reguladores não procuram segurança perfeita. Procuram provas de um programa de gestão de riscos proporcional: uma avaliação de riscos documentada, controlos implementados apropriados a esses riscos, um processo de resposta a incidentes testado e um conselho que possa demonstrar que está envolvido com riscos de segurança cibernética. As organizações que conseguem produzir estas provas, incluindo aquelas que sofreram incidentes significativos, saem-se muito melhor do que aquelas que não conseguem.
A armadilha do relatório de incidentes
O aviso prévio de 24 horas é o requisito mais comumente ignorado. O problema é organizacional e não técnico: as equipas de TI detetam e respondem a incidentes sem notificar as funções jurídicas e de conformidade que têm a obrigação de notificação. No momento em que a questão dos relatórios regulamentares é levantada internamente, a janela de 24 horas já foi encerrada.
A definição de incidente significativo no âmbito da NIS2 é ampla. Os reguladores interpretaram que isso inclui: ataques de ransomware que criptografam sistemas de produção, mesmo se restaurados em poucas horas; exfiltração de dados que afeta dados pessoais, comerciais ou operacionais, independentemente de a disponibilidade do serviço ter sido afetada; indisponibilidade prolongada do serviço medida em horas; e incidentes em que os sistemas da entidade são usados para atacar outras organizações.
Avise com antecedência e atualize. Um alerta precoce não precisa ser abrangente. O artigo 23.º exige apenas que estabeleça a ocorrência do incidente e a sua natureza. Detalhes suplementares seguem na notificação completa de 72 horas e no relatório final de um mês. A notificação excessiva não acarreta essencialmente nenhum risco regulatório. A falta de notificação devido à incerteza sobre a importância acarreta um risco muito significativo.
As organizações que gerenciam corretamente a resposta a incidentes, mas não conseguem cumprir a legislação e a conformidade, estão criando exposição regulatória. O plano de resposta a incidentes deve ser conectado diretamente ao processo de notificação: no momento em que um incidente P1 ou P2 é declarado, o departamento jurídico e de conformidade devem ser notificados nas primeiras duas horas, enquanto ainda há tempo para fazer o alerta antecipado de 24 horas. Incorporar isso no runbook não é opcional.
O que as equipes de compliance devem priorizar agora
A janela para construir um programa NIS2 antes da aplicação é fechada. Os reguladores perguntam agora se é possível demonstrar uma gestão proporcional dos riscos de segurança. Essa resposta determina se você receberá uma ordem corretiva ou uma multa material.
- Confirme a sua classificação em cada estado membro relevante: verifique se está classificado como uma entidade essencial ou importante ao abrigo da legislação nacional de implementação em cada país da UE onde opera. A classificação determina a profundidade das suas obrigações e o limite máximo de penalidade aplicável. Os requisitos de autorregisto variam consoante a jurisdição: os Países Baixos exigiram o registo até meados de 2025; A Alemanha e a Bélgica têm os seus próprios horários. Se ainda não confirmou a sua classificação, comece por aqui.
- Mapeie e teste sua cadeia de notificação: identificar o indivíduo responsável por fazer o alerta antecipado de 24 horas em cada jurisdição. Garanta que seu plano de resposta a incidentes acione a cadeia de notificação de conformidade automaticamente quando um incidente grave for declarado, e não após a conclusão da resposta técnica. Execute um cenário de mesa testando especificamente se a cadeia é acionada a tempo: declare um incidente P1 simulado e meça quanto tempo leva até que o departamento jurídico e a conformidade tenham conhecimento e a decisão de notificação seja tomada.
- Documente sua avaliação de risco: NIS2 exige medidas de segurança proporcionais baseadas numa avaliação formal de riscos. Se não tiver uma avaliação de riscos documentada que mapeie os riscos identificados para os controlos implementados, esta é a lacuna de maior prioridade no seu programa. A avaliação de risco não precisa ser exaustiva, mas deve existir, ser atual e informar comprovadamente os controles implementados. As autoridades estão solicitando isso em questionários de supervisão iniciais.
- Evidencie a segurança da sua cadeia de suprimentos: revisar os contratos dos fornecedores quanto aos requisitos de segurança cibernética. Conduza ou comissione avaliações de segurança de fornecedores para seus fornecedores críticos e de alto risco. Guarde evidências de ambos. Uma política que faz referência à segurança da cadeia de abastecimento sem provas de implementação é uma constatação em auditorias de supervisão. No mínimo, os seus contratos com fornecedores críticos devem incluir requisitos de segurança, obrigações de notificação de incidentes e direitos de auditoria.
- Documente o treinamento e o envolvimento do quadro: O artigo 20.º exige que os membros do órgão de administração recebam formação em cibersegurança. Um briefing de 90 minutos ministrado por um consultor independente, com registos de presença assinados e conteúdo documentado, satisfaz esta obrigação para a maioria das autoridades. Programe e documente. Esta é uma das lacunas mais rápidas de colmatar e aborda diretamente a exposição à responsabilidade pessoal que torna o NIS2 uma preocupação a nível do conselho de administração, em vez de apenas uma responsabilidade da equipa de conformidade.
- Teste seu plano de resposta a incidentes: um plano não documentado ou não testado não é um plano aos olhos de uma autoridade supervisora. Execute um exercício de mesa que inclua TI, jurídico, conformidade, comunicações e pelo menos um executivo sênior. Documente o exercício, as conclusões e as ações tomadas como resultado. Esta prova é solicitada especificamente em questionários de supervisão. O próprio exercício demonstra o compromisso de governação exigido pelo artigo 20.º.
- Estabeleça um processo de monitoramento regulatório: A legislação de implementação da SRI2, as orientações setoriais e as publicações das autoridades de supervisão continuam a evoluir. Designe um indivíduo nomeado para monitorar as atualizações e garantir que seu programa reflita as obrigações atuais. O que satisfez a autoridade em 2025 poderá não a satisfazer em 2026, à medida que as expectativas de supervisão amadurecem. As autoridades nacionais estão a publicar orientações sectoriais específicas e resumos de aplicação que revelam exactamente onde estão a centrar a sua atenção.
Ryland fornece programas de segurança cibernética, conformidade e gerenciamento de TI para organizações regulamentadas em todo o Reino Unido e na Holanda há mais de 20 anos, incluindo cargos seniores na Microsoft, ING, IPsoft, PPHE e muito mais. Ver perfil completo