NIS2
A NIS2 é lei da União Europeia, não uma certificação. Entidades essenciais e importantes precisam adotar medidas de gestão de riscos de cibersegurança, responsabilizar a direção por elas e notificar incidentes significativos dentro de prazos fixos. O Complyanz conduz esse programa, incluindo a lei nacional que de fato se aplica a você.
As medidas, a responsabilização e os prazos de notificação
Como funciona um programa NIS2
Classificação da entidade
Registre seu setor, porte e casos especiais e veja se você é uma entidade essencial ou importante, ou se está fora do escopo.
Medidas do artigo 21
Avalie os riscos de cibersegurança e registre a aplicabilidade e o status de cada uma das dez medidas de gestão de riscos.
Governança e designações
Aprovação e formação da direção, além do responsável de cibersegurança, do ponto de contato e do registro que sua autoridade nacional exige.
Notificação de incidentes
Declare um incidente significativo e cada relatório é acompanhado contra seu prazo, por país, até ser enviado.
A NIS2 junto com seus outros programas
A NIS2 é independente no Complyanz — não exige a ISO 27001. Ainda assim, a maioria das medidas do artigo 21 corresponde a controles da ISO 27001, e os mesmos ativos, incidentes, fornecedores e registros de treinamento servem aos dois, por isso muitas empresas europeias os conduzem juntos.
Perguntas frequentes sobre NIS2
A NIS2 se aplica a nós?
Em geral, se você atua em um dos setores listados nos anexos da diretiva e tem pelo menos 50 colaboradores ou mais de €10 milhões tanto de faturamento quanto de balanço. Alguns prestadores estão no escopo independentemente do porte, como serviços de DNS, prestadores de serviços de confiança e comunicações eletrônicas públicas. A etapa de classificação no Complyanz conduz essa análise e registra o resultado.
Quais leis nacionais vocês cobrem?
O Decreto-Lei 125/2025 de Portugal, em vigor desde abril de 2026, incluindo as designações junto ao CNCS e as etapas próprias de notificação de incidentes de Portugal. A lei da Espanha ainda é um projeto; suas obrigações estão incluídas e claramente sinalizadas como projeto até a aprovação. Para os demais Estados-Membros, você trabalha com a própria diretiva.
Como funciona a notificação de incidentes?
Você declara um incidente como significativo e o Complyanz cria cada relatório com seu prazo: um alerta precoce em até 24 horas após tomar conhecimento, uma notificação do incidente em até 72 horas e um relatório final em até um mês. Portugal segue sua própria sequência: notificação inicial, atualização em 72 horas, notificação do fim do impacto e um relatório final 30 dias úteis depois.
Existe um certificado NIS2?
Não. A conformidade com a NIS2 é supervisionada pela sua autoridade nacional, não certificada. Um certificado ISO 27001 costuma ser usado como evidência de muitas das medidas, e o Complyanz conduz os dois.
Monte seu programa NIS2
Crie uma organização e as medidas, a classificação e o fluxo de notificação estarão prontos para uso.