Solução · NIS2
Requisitos NIS2: medidas, notificação, checklist
A Diretiva NIS2 (UE) 2022/2555 e as leis nacionais de transposição obrigam muito mais empresas do que até agora a investir em cibersegurança. Aqui encontra uma visão geral dos requisitos e de como o XMfortress apoia a implementação técnica.
Atualizado em 14 de novembro de 2026
FIGRequisitos NIS2
Quem é abrangido pela NIS2
A NIS2 distingue entidades essenciais e entidades importantes em numerosos setores, entre os quais energia, transportes, saúde, infraestruturas digitais, águas residuais, administração pública, serviços postais, resíduos, químicos, alimentação e indústria transformadora. Em regra, são determinantes a dimensão (a partir de 50 trabalhadores ou mais de 10 milhões de euros de volume de negócios anual e de balanço) e o setor; para algumas entidades, a NIS2 aplica-se independentemente da dimensão. As empresas abrangidas têm de se registar junto da autoridade nacional competente (na Alemanha, o BSI).
Medidas de gestão de riscos do art. 21.º
O art. 21.º da NIS2 exige medidas técnicas, operacionais e organizativas adequadas, entre outras:
- Políticas de análise de riscos e de segurança dos sistemas de informação
- Tratamento de incidentes
- Continuidade das atividades, gestão de cópias de segurança, gestão de crises
- Segurança da cadeia de abastecimento
- Segurança na aquisição, desenvolvimento e manutenção, incluindo o tratamento de vulnerabilidades
- Avaliação da eficácia das medidas
- Ciber-higiene e formação, criptografia, controlo de acessos, autenticação multifator
Notificação: 24 horas, 72 horas, um mês
Os incidentes significativos têm de ser notificados por fases: um alerta precoce no prazo de 24 horas, uma notificação no prazo de 72 horas com uma primeira avaliação e um relatório final no prazo de um mês. Isto só é possível se os incidentes forem detetados rapidamente e devidamente documentados, a função do XMfortress Detect.
Responsabilidade dos órgãos de gestão
Os órgãos de gestão têm de aprovar as medidas, supervisionar a sua execução e participar regularmente em formações. Podem ser responsabilizados em caso de incumprimento. As infrações podem dar origem a coimas até 10 milhões de euros ou 2 % do volume de negócios anual mundial (entidades essenciais) ou até 7 milhões de euros ou 1,4 % (entidades importantes).
Checklist NIS2: os primeiros passos
- Verificar se a empresa é abrangida e registá-la junto da autoridade competente
- Designar responsáveis e formar os órgãos de gestão
- Criar o inventário de ativos e mantê-lo atualizado
- Realizar a análise de riscos e definir um processo de vulnerabilidades com prazos
- Estabelecer e testar a deteção e os canais de notificação de incidentes
- Verificar e documentar regularmente a eficácia das medidas
- Incluir fornecedores e prestadores de serviços na avaliação
O XMfortress apoia a implementação técnica e fornece evidências. A responsabilidade pelo cumprimento continua a ser da empresa; a plataforma não substitui uma análise jurídica.
01Requisitos NIS2
Requisitos NIS2 e XMfortress
| Requisito | O que é exigido | XMfortress |
|---|---|---|
| Análise de riscos | Conhecer e avaliar os riscos | Surface e Exposure: inventário, caminhos de ataque |
| Tratamento de vulnerabilidades | Encontrar, tratar e divulgar vulnerabilidades | Vuln: priorização baseada no risco, com prazos |
| Tratamento de incidentes | Detetar, responder, notificar | Detect e Respond |
| Avaliar a eficácia | Verificar regularmente as medidas | Validate: simulação controlada de ataques |
| Segurança de rede | Separar zonas, controlar acessos | Gate: firewall para perímetro e zonas |
02Plataforma
Produtos relacionados
03FAQ
Perguntas frequentes
Desde quando se aplica a NIS2?
A diretiva é transposta para o direito nacional de cada Estado-Membro; na Alemanha, através da lei de transposição da NIS2. As empresas abrangidas devem implementar já as obrigações e registar-se junto da autoridade competente.
A minha empresa é abrangida pela NIS2?
São determinantes o setor e a dimensão, em regra a partir de 50 trabalhadores ou mais de 10 milhões de euros de volume de negócios e de balanço. As autoridades nacionais, como o BSI na Alemanha, disponibilizam ferramentas de verificação.
Uma certificação ISO 27001 é suficiente para a NIS2?
Cobre muitos requisitos, mas não automaticamente todos, por exemplo as obrigações de notificação por fases e o registo. Uma análise de lacunas é recomendável.
Know your exposure.
Control your risk.
4Contacto
Fale connosco sobre a sua superfície de ataque, as suas prioridades e a forma mais adequada de começar com o XMfortress.