Requisitos e obrigações
O que a NIS2 exige à sua organização.
1 · Gestão de riscos
Medidas proporcionais ao risco — e documentadas.
As entidades abrangidas têm de adotar medidas técnicas, operacionais e organizativas para gerir os riscos que afetam as redes e os sistemas de informação de que dependem os seus serviços.
As medidas devem ser proporcionais: ter em conta a exposição ao risco, a dimensão da organização e o impacto de um incidente.
As medidas mínimas
A lei enumera um conjunto mínimo de áreas que as medidas têm de cobrir:
Políticas de análise de risco e de segurança dos sistemas de informação
Gestão de incidentes
Continuidade das atividades: cópias de segurança, recuperação de desastres e gestão de crises
Segurança da cadeia de abastecimento
Segurança na aquisição, desenvolvimento e manutenção de sistemas, incluindo tratamento de vulnerabilidades
Avaliação da eficácia das medidas de gestão de riscos
Práticas básicas de ciber-higiene e formação em cibersegurança
Criptografia e cifragem
Segurança dos recursos humanos, controlo de acessos e gestão de ativos
Autenticação multifator e comunicações seguras
2 · Notificação de incidentes
24 horas para dar o primeiro alerta.
Quando ocorre um incidente significativo, a organização tem de o notificar em várias fases, dentro de prazos fixos.
- 1
24 h
Alerta inicial
Primeira comunicação, com a informação disponível no momento.
- 2
72 h
Notificação do incidente
Atualização com a avaliação inicial: gravidade, impacto e indícios.
- 3
30 dias úteis
Relatório final
Descrição completa, causa provável e medidas aplicadas — após a notificação de fim de impacto.
Para cumprir estes prazos, o processo tem de existir antes do incidente: quem decide, quem notifica, com que modelo.
Como a NIS2Comply ajuda3 · Cadeia de abastecimento
A segurança dos fornecedores também é sua.
A segurança da cadeia de abastecimento faz parte das medidas obrigatórias. Inclui a relação com fornecedores e prestadores de serviços diretos, e as vulnerabilidades próprias de cada um.
Na prática, recomendamos:
Inventariar os fornecedores
Quais têm acesso aos seus sistemas ou suportam serviços críticos.Avaliar o risco de cada um
Questionários, certificações e evidências proporcionais à criticidade.Incluir cláusulas de segurança nos contratos
Requisitos mínimos, notificação de incidentes, direito de auditoria.Rever periodicamente
O risco muda: reavalie em cada renovação ou alteração relevante.
4 · Órgãos de gestão
A administração aprova, supervisiona e responde.
Os órgãos de gestão têm de aprovar as medidas de cibersegurança, supervisionar a sua aplicação e frequentar formação.
Não é uma formalidade: a lei prevê responsabilidade pessoal por dolo ou culpa grave.
Como a NIS2Comply ajuda em cada área
A. Feita para a lei portuguesa
Construída sobre o Regime Jurídico da Cibersegurança e o Regulamento n.º 756/2026, não adaptada de um produto estrangeiro.
Ver funcionalidades (5)B. Governação e pessoas
Políticas lidas, pessoas formadas, e prova disso.
Ver funcionalidades (4)C. Terceiros e alterações
Controlo sobre quem entra e o que entra na sua organização.
Ver funcionalidades (2)D. Evidência pronta para auditoria
A prova reúne-se sozinha e fica selada.
Ver funcionalidades (2)E. Soberania e confiança
Os seus dados, a sua infraestrutura, a sua escolha de IA.
Ver funcionalidades (3)
Transforme os requisitos num plano de ação.
Veja como a NIS2Comply organiza as medidas, os prazos e as evidências que o supervisor lhe pode pedir.