NIS2
A NIS2 é direito da União Europeia, não uma certificação. As entidades essenciais e importantes têm de adotar medidas de gestão dos riscos de cibersegurança, responsabilizar o órgão de direção por elas e notificar os incidentes significativos dentro de prazos fixos. O Complyanz conduz esse programa, incluindo a lei nacional que efetivamente se lhe aplica.
As medidas, a responsabilização e os prazos de notificação
Como funciona um programa NIS2
Classificação da entidade
Registe o seu setor, dimensão e casos especiais e veja se é uma entidade essencial ou importante, ou se está fora do âmbito.
Medidas do artigo 21.º
Avalie os riscos de cibersegurança e registe a aplicabilidade e o estado de cada uma das dez medidas de gestão dos riscos.
Governação e designações
Aprovação e formação do órgão de direção, além do responsável de cibersegurança, do ponto de contacto permanente e do registo que a sua autoridade nacional exige.
Notificação de incidentes
Declare um incidente significativo e cada relatório é acompanhado face ao seu prazo, por país, até ser submetido.
A NIS2 a par dos seus outros programas
A NIS2 é autónoma no Complyanz — não exige a ISO 27001. Ainda assim, a maioria das medidas do artigo 21.º corresponde a controlos da ISO 27001, e os mesmos ativos, incidentes, fornecedores e registos de formação servem ambos, por isso muitas empresas europeias conduzem-nos em conjunto.
Perguntas frequentes sobre NIS2
A NIS2 aplica-se a nós?
Em geral, se opera num dos setores enumerados nos anexos da diretiva e tem pelo menos 50 trabalhadores ou mais de 10 milhões de euros tanto de volume de negócios como de balanço. Alguns prestadores estão abrangidos independentemente da dimensão, como os serviços de DNS, os prestadores de serviços de confiança e as comunicações eletrónicas públicas. O passo de classificação no Complyanz conduz essa análise e regista o resultado.
Que leis nacionais cobrem?
O Decreto-Lei n.º 125/2025, em vigor desde abril de 2026, incluindo as designações junto do CNCS e as etapas próprias de notificação de incidentes em Portugal. A lei espanhola ainda é uma proposta; as suas obrigações estão incluídas e claramente assinaladas como proposta até serem aprovadas. Para os restantes Estados-Membros, trabalha a partir da própria diretiva.
Como funciona a notificação de incidentes?
Declara um incidente como significativo e o Complyanz cria cada relatório com o seu prazo: um alerta rápido nas 24 horas após tomar conhecimento, uma notificação do incidente em 72 horas e um relatório final no prazo de um mês. Em Portugal segue-se uma sequência própria: notificação inicial, atualização às 72 horas, notificação do fim de impacto significativo e relatório final 30 dias úteis depois.
Existe um certificado NIS2?
Não. A conformidade com a NIS2 é supervisionada pela autoridade nacional, não certificada. Um certificado ISO 27001 é muitas vezes usado como evidência de muitas das medidas, e o Complyanz conduz ambos.
Monte o seu programa NIS2
Crie uma organização e as medidas, a classificação e o fluxo de notificação estarão prontos para uso.