--- id: CP-366 slug: diretiva-nis-2 lang: pt title: Diretiva NIS 2 description: O que a diretiva NIS 2 pede às organizações e aos seus dirigentes, o que muda para cada colaborador e em que ponto está a lei em França. canonical_url: https://startbrain.io/cyberpedia/pt/articles/diretiva-nis-2/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/diretiva-nis-2.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Diretiva NIS 2», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/diretiva-nis-2/ (CC BY 4.0) wing: 6 theme: report_incidents reflex: cr-017 schema: G3 updated: "2026-10-26" translations: pt: https://startbrain.io/cyberpedia/pt/articles/diretiva-nis-2/ fr: https://startbrain.io/cyberpedia/fr/articles/directive-nis-2/ en: https://startbrain.io/cyberpedia/en/articles/directive-nis-2/ de: https://startbrain.io/cyberpedia/de/articles/richtlinie-nis-2/ es: https://startbrain.io/cyberpedia/es/articles/directiva-nis-2/ it: https://startbrain.io/cyberpedia/it/articles/direttiva-nis-2/ nl: https://startbrain.io/cyberpedia/nl/articles/richtlijn-nis-2/ sources: - "n": 1 title: Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2) publisher: EUR-Lex, Journal officiel de l'Union européenne url: https://eur-lex.europa.eu/eli/dir/2022/2555/oj?locale=fr published: "2022-12-27" accessed: "2026-10-26" - "n": 2 title: NIS 2 | MesServicesCyber publisher: ANSSI url: https://messervices.cyber.gouv.fr/nis2 accessed: "2026-10-26" - "n": 3 title: SME definition publisher: Commission européenne url: https://single-market-economy.ec.europa.eu/smes/sme-fundamentals/sme-definition_en accessed: "2026-10-26" - "n": 4 title: "Violations de données personnelles : les règles à suivre" publisher: CNIL url: https://www.cnil.fr/fr/violations-de-donnees-personnelles-les-regles-suivre published: "2018-06-19" accessed: "2026-10-26" - "n": 5 title: Commission refers Ireland, Spain, France and the Netherlands to the Court of Justice for failing to transpose the rules on cybersecurity publisher: Commission européenne url: https://digital-strategy.ec.europa.eu/en/news/commission-refers-ireland-spain-france-and-netherlands-court-justice-failing-transpose-rules published: "2026-07-08" accessed: "2026-10-26" - "n": 6 title: Résilience des infrastructures critiques et renforcement de la cybersécurité publisher: Sénat url: https://www.senat.fr/leg/pjl24-033.html published: "2024-10-15" accessed: "2026-10-26" - "n": 7 title: "Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité : dossier législatif" publisher: Assemblée nationale url: https://www.assemblee-nationale.fr/dyn/17/dossiers/DLR5L17N50731 accessed: "2026-10-26" - "n": 8 title: Réunion du mardi 22 septembre 2026 publisher: Assemblée nationale, Conférence des présidents (relevé de conclusions) url: https://www2.assemblee-nationale.fr/17/la-conference-des-presidents/releve-de-conclusions/reunion-du-mardi-22-septembre-2026 published: "2026-09-22" accessed: "2026-10-26" - "n": 9 title: Réunion du mardi 6 octobre 2026 publisher: Assemblée nationale, Conférence des présidents (relevé de conclusions) url: https://www2.assemblee-nationale.fr/17/la-conference-des-presidents/releve-de-conclusions/reunion-du-mardi-6-octobre-2026 published: "2026-10-06" accessed: "2026-10-26" --- # Diretiva NIS 2 A NIS 2 é a Diretiva (UE) 2022/2555, adotada em 14 de dezembro de 2022, que fixa um nível comum de cibersegurança na União Europeia para as organizações cujos serviços são importantes para a economia e a sociedade. Substitui a primeira diretiva NIS, que datava de 2016 [1]. Em França, a ANSSI indica que vários milhares de entidades, repartidas por 18 setores de atividade, serão abrangidas: sobretudo médias e grandes empresas, autarquias locais e administrações públicas [2]. A diretiva pede aos Estados que imponham a estas organizações medidas de segurança e prazos curtos para declarar os incidentes graves, e que responsabilizem os respetivos dirigentes pela sua aplicação [1]. Segundo a Comissão Europeia, a maioria dos Estados-Membros transpôs-na para o direito nacional [5]. A França é um dos quatro países que a Comissão remeteu para o Tribunal de Justiça da União Europeia em 8 de julho de 2026, por falta de transposição completa [5]. ## Em 30 segundos - Quem está abrangido: as empresas e administrações dos 18 setores visados, entre os quais a energia, os transportes, a saúde, a água, o digital e uma parte da indústria, em geral a partir da dimensão de uma média empresa. - O que muda para si: em França, assim que a lei de transposição entrar em vigor, regras de segurança mais estritas no trabalho, formação e um primeiro alerta a enviar nas 24 horas seguintes a um incidente grave. - O reflexo: comunique qualquer incidente de segurança à equipa de cibersegurança assim que o detetar, mesmo que tenha dúvidas sobre a sua gravidade. - Se já aconteceu: clicou numa ligação duvidosa, perdeu um equipamento ou reparou em algo anormal há alguns dias sem dizer nada? Comunique agora, a informação continua a ser útil. ## Perguntas diretas ### A minha empresa está abrangida? Contam dois critérios: o setor e a dimensão. A diretiva visa as entidades dos setores enumerados nos seus anexos I e II que sejam, pelo menos, médias empresas, e certas entidades independentemente da dimensão, como os prestadores de serviços DNS ou os prestadores de serviços de confiança [1]. Segundo a definição europeia, uma empresa deixa de ser pequena a partir de 50 trabalhadores, ou se o seu volume de negócios e o seu balanço total ultrapassarem ambos 10 milhões de euros [3]. Estes limiares valem para a empresa isolada, mas uma empresa que faz parte de um grupo pode ter de contabilizar também os efetivos e os valores desse grupo [3]. Na aceção da diretiva, as grandes empresas dos setores do anexo I são, em princípio, «entidades essenciais», a maior parte das outras são «entidades importantes», e as sanções máximas diferem de uma categoria para a outra [1]. ### Arrisco uma sanção como colaborador? As sanções previstas pela diretiva visam as entidades e os seus dirigentes [1]. O que o afeta no dia a dia serão as regras internas que o empregador instituir para cumprir a diretiva, como a formação, a autenticação de dois fatores ou o procedimento de comunicação de incidentes. ### A França já transpôs a NIS 2? Ainda não, à data de atualização deste artigo. A ANSSI indica que a transposição está em curso [2], e o projeto de lei que a contém, aprovado pelo Senado, ainda não foi apreciado em sessão pública na Assembleia Nacional [7]. ## O que muda para os colaboradores Para um colaborador, a NIS 2 traduzir-se-á sobretudo em regras internas mais claras, em França assim que a lei de transposição entrar em vigor. O artigo 21 pede que cada entidade abrangida adote uma lista mínima de medidas, entre as quais as práticas básicas de ciberhigiene, a formação em cibersegurança, políticas de controlo de acesso e, consoante as necessidades, a autenticação multifator [1]. O artigo 20 pede ainda aos Estados que incentivem as entidades a formar regularmente o seu pessoal, para que cada um saiba identificar os riscos e avaliar as práticas de segurança [1]. O ponto que mais depende de si é a comunicação dos incidentes. A diretiva pede que uma entidade envie um alerta precoce ao CSIRT ou à autoridade competente nas 24 horas seguintes ao conhecimento de um incidente significativo, depois uma notificação do incidente em 72 horas e um relatório final num prazo de um mês [1]. Estes prazos perdem o sentido se a informação ficar retida pelo caminho. Um correio eletrónico suspeito aberto na segunda-feira e comunicado na quinta-feira são três dias durante os quais um atacante pôde avançar sem que ninguém o procurasse. Na aceção da diretiva, um incidente é «significativo» se causar, ou puder causar, uma perturbação grave dos serviços ou perdas financeiras para a entidade, ou prejuízos consideráveis para outras pessoas [1]. A triagem cabe à equipa de segurança; o seu papel é comunicar. Se o incidente afetar dados pessoais, o RGPD acrescenta a sua própria obrigação: notificar a CNIL no prazo máximo de 72 horas após uma violação que apresente risco para as pessoas [4]. O artigo sobre o RGPD detalha este procedimento. No programa Brain, este gesto corresponde ao reflexo «Comunicar qualquer incidente de segurança à equipa de cibersegurança». Comunique também os seus próprios erros, um clique por engano, por exemplo: sem a sua comunicação, a equipa de segurança pode nunca vir a saber que um ataque começou. O artigo sobre a cultura da sanção explica por que razão o medo de ser punido leva a esconder os incidentes. ## O que muda para a direção A NIS 2 leva a cibersegurança até ao nível dos órgãos de direção. A diretiva pede que estes aprovem as medidas de gestão dos riscos e supervisionem a sua aplicação, que possam ser responsabilizados se a entidade violar estas obrigações, e que os seus membros recebam formação [1]. Em França, estas obrigações aplicar-se-ão quando a lei de transposição entrar em vigor. Quanto às coimas, os Estados devem prever um limite máximo de pelo menos 10 milhões de euros ou 2 % do volume de negócios anual a nível mundial, aplicando-se o montante mais elevado, quando uma entidade essencial incumpre as suas obrigações de segurança ou de declaração. Para uma entidade importante, esse limite é de pelo menos 7 milhões de euros ou 1,4 % [1]. Numa entidade essencial que não corrija as suas falhas apesar das injunções da autoridade, a diretiva permite ainda que esta solicite que uma pessoa com responsabilidades de direção, ao nível de diretor-geral ou de representante legal, seja temporariamente proibida de exercer essas responsabilidades na entidade [1]. A segurança da cadeia de abastecimento faz parte das medidas exigidas pela diretiva, incluindo as relações com os fornecedores e prestadores de serviços diretos [1]: o artigo sobre a avaliação do risco dos fornecedores trata deste tema. Para ajudar as organizações, a ANSSI publicou uma versão de trabalho do seu Référentiel Cyber France (ReCyF), que enumera as medidas que recomenda para atingir os objetivos de segurança da NIS 2 [2]. Um exercício de crise em mesa permite verificar, antes de um incidente real, que o alerta pode partir em menos de 24 horas. ## O que diz o texto A diretiva foi publicada no Jornal Oficial da União Europeia em 27 de dezembro de 2022. Os Estados deviam transpô-la até 17 de outubro de 2024 e aplicá-la a partir de 18 de outubro de 2024, data em que a diretiva NIS de 2016 foi revogada [1]. Deviam também elaborar a lista das suas entidades essenciais e importantes até 17 de abril de 2025 [1]. O artigo 21 fixa uma lista mínima de medidas, assente numa abordagem «todos os riscos» [1]: - análise dos riscos e políticas de segurança dos sistemas de informação; - gestão de incidentes; - continuidade das atividades, cópias de segurança e gestão de crises; - segurança da cadeia de abastecimento; - segurança na aquisição, no desenvolvimento e na manutenção das redes e dos sistemas de informação, incluindo o tratamento e a divulgação de vulnerabilidades; - avaliação da eficácia das medidas; - ciberhigiene de base e formação em cibersegurança; - criptografia e, se for caso disso, cifragem; - segurança dos recursos humanos, controlo de acesso e gestão de ativos; - autenticação multifator e comunicações seguras, consoante as necessidades. O artigo 23 fixa o calendário de declaração de um incidente significativo [1]: ```text Prazos contados a partir do momento em que a entidade tem conhecimento do incidente significativo 24 horas alerta precoce ao CSIRT ou à autoridade competente 72 horas notificação do incidente, com uma primeira avaliação da gravidade e do impacto a pedido relatório intercalar 1 mês relatório final, contado a partir da notificação do incidente ``` ## Em que ponto está a aplicação A Comissão Europeia enviou cartas de notificação para cumprimento em 28 de novembro de 2024, depois pareceres fundamentados em 7 de maio de 2025. Em 8 de julho de 2026, recorreu ao Tribunal de Justiça da União Europeia contra a Irlanda, a Espanha, a França e os Países Baixos, pedindo uma quantia fixa e sanções pecuniárias diárias até à transposição completa [5]. Em França, a transposição passa pelo projeto de lei relativo à resiliência das infraestruturas críticas e ao reforço da cibersegurança. Na versão depositada, o seu título II, dedicado à cibersegurança, remete para a Diretiva (UE) 2022/2555 e define as entidades essenciais e importantes, com, por exemplo, um limiar de pelo menos 50 trabalhadores para uma entidade importante [6]. O Governo depositou-o no Senado em 15 de outubro de 2024, em procedimento acelerado, e o Senado aprovou-o em 12 de março de 2025. A comissão especial da Assembleia Nacional depositou o seu texto em 10 de setembro de 2025 [7]. A Conferência dos Presidentes da Assembleia tinha inscrito o projeto de lei nas sessões de 7 e 9 de outubro de 2026 [8], e retirou-o depois, em 6 de outubro de 2026, sem fixar nova data [9]. À data da consulta, o dossiê legislativo não menciona nenhuma apreciação em sessão pública na Assembleia [7]. Entretanto, a ANSSI convida as futuras entidades essenciais e importantes a reforçar desde já o seu nível de segurança, e esclarece que o seu referencial ReCyF poderá ser ajustado ao longo dos debates parlamentares [2]. ## Fontes 1. EUR-Lex, Journal officiel de l'Union européenne, «Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2)», 27 de dezembro de 2022. https://eur-lex.europa.eu/eli/dir/2022/2555/oj?locale=fr (consultado em 26 de outubro de 2026) 2. ANSSI, «NIS 2 | MesServicesCyber». https://messervices.cyber.gouv.fr/nis2 (consultado em 26 de outubro de 2026) 3. Commission européenne, «SME definition». https://single-market-economy.ec.europa.eu/smes/sme-fundamentals/sme-definition_en (consultado em 26 de outubro de 2026) 4. CNIL, «Violations de données personnelles : les règles à suivre», 19 de junho de 2018. https://www.cnil.fr/fr/violations-de-donnees-personnelles-les-regles-suivre (consultado em 26 de outubro de 2026) 5. Commission européenne, «Commission refers Ireland, Spain, France and the Netherlands to the Court of Justice for failing to transpose the rules on cybersecurity», 8 de julho de 2026. https://digital-strategy.ec.europa.eu/en/news/commission-refers-ireland-spain-france-and-netherlands-court-justice-failing-transpose-rules (consultado em 26 de outubro de 2026) 6. Sénat, «Résilience des infrastructures critiques et renforcement de la cybersécurité», 15 de outubro de 2024. https://www.senat.fr/leg/pjl24-033.html (consultado em 26 de outubro de 2026) 7. Assemblée nationale, «Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité : dossier législatif». https://www.assemblee-nationale.fr/dyn/17/dossiers/DLR5L17N50731 (consultado em 26 de outubro de 2026) 8. Assemblée nationale, Conférence des présidents (relevé de conclusions), «Réunion du mardi 22 septembre 2026», 22 de setembro de 2026. https://www2.assemblee-nationale.fr/17/la-conference-des-presidents/releve-de-conclusions/reunion-du-mardi-22-septembre-2026 (consultado em 26 de outubro de 2026) 9. Assemblée nationale, Conférence des présidents (relevé de conclusions), «Réunion du mardi 6 octobre 2026», 6 de outubro de 2026. https://www2.assemblee-nationale.fr/17/la-conference-des-presidents/releve-de-conclusions/reunion-du-mardi-6-octobre-2026 (consultado em 26 de outubro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/diretiva-nis-2/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.