ARTIGO DE OPINIÃO
A cibersegurança tornou-se uma prioridade global, e a União Europeia (UE) tem liderado esforços para fortalecer a resiliência digital através de regulamentações robustas. A Diretiva NIS2 (Network and Information Security 2) é a mais recente evolução dessas iniciativas, substituindo a NIS original e introduzindo novas exigências para proteger infraestruturas críticas e serviços essenciais. Em Portugal, a transposição da NIS2 está em curso, trazendo mudanças significativas para as organizações.
O Que é a NIS2?
A NIS2 foi desenhada para responder à crescente exposição da Europa a ciberameaças. A diretiva estabelece um quadro legal unificado para garantir que a UE tenha um nível elevado de cibersegurança, abrangendo 17 setores de atividade económica, que incluem energia, saúde, transportes e setor financeiro. A NIS2 expande o âmbito da NIS original, através da inclusão de novos setores e reforçando as medidas de segurança.
Transposição da NIS2 em Portugal
Portugal está entre os primeiros países da UE a avançar com a transposição da NIS2. No passado dia 06 de fevereiro, o Conselho de Ministros aprovou a proposta de lei do novo regime de cibersegurança, que agora segue para o Parlamento para aprovação. Esta proposta visa reforçar a capacidade e robustez dos sistemas informáticos e digitais das empresas e entidades públicas em Portugal.
Âmbito de aplicação
A NIS2 é aplicada a entidades públicas ou privadas que atuem nos setores abaixo e que sejam consideras médias ou grandes empresas:
Portugal está entre os primeiros países da UE a avançar com a transposição da NIS2. No passado dia 06 de fevereiro, o Conselho de Ministros aprovou a proposta de lei do novo regime de cibersegurança, que agora segue para o Parlamento para aprovação. Esta proposta visa reforçar a capacidade e robustez dos sistemas informáticos e digitais das empresas e entidades públicas em Portugal.
- Médias – Entre 50 a 249 colaboradores, volume de negócio anual até €50.000.000 ou ativo líquido anual até €43.000.000
- Grandes – Mais de 250 colaboradores, volume de negócios anual superior a €50.000.000 ou ativo líquido anula superior a €43.000.000
As entidades são classificadas por nível de criticidade em entidades essenciais e importantes.
- Essenciais – entidades pertencentes aos seguintes setores:
Impactos para as empresas
A NIS2 impõe novos padrões e obrigações a um vasto leque de setores essenciais. As empresas devem adotar medidas rigorosas de gestão de risco de cibersegurança, coordenar-se com entidades públicas e privadas e submeter-se a uma supervisão mais rigorosa por parte do Centro Nacional de Cibersegurança (CNCS).
Entre as principais exigências são:
- Comunicação do ponto de contacto permanente e responsável de segurança,
- Realização de análises de risco regulares,
- Formação obrigatória do board em matéria de cibersegurança,
- Elaboração de planos de segurança,
- Possuir um plano e capacidade de resposta a incidentes,
- Obrigação de notificação de incidentes de segurança relevantes às autoridades competentes,
- Possuir um corpo normativo de políticas de cibersegurança e práticas e gestão de risco
- Possuir medidas de gestão do risco da cadeia de fornecimento,
- Possuir planos de continuidade de negócio,
- Definir práticas de gestão dos ativos para identificar e proteger os ativos de informação críticos.
A NIS2 também introduz penalidades mais rigorosas para o incumprimento das normas, com coimas que podem chegar a 10 milhões de euros.
Desafios e Oportunidades
A implementação da NIS2 representa tanto desafios quanto oportunidades para as organizações. Por um lado, as empresas precisam aumentar o investimento no fortalecimento da sua estratégia de segurança, por outro, a adoção da NIS2 pode ser vista como uma oportunidade para melhorar a resiliência e a garantia de continuidade das operações, protegendo-se contra ameaças cibernéticas crescentes.
A NIS2 promove igualmente a cooperação entre os Estados-membros da UE, visando uniformizar os padrões de segurança e fortalecer a resiliência coletiva contra ciberataques. Para as organizações em Portugal, isto significa estarem alinhadas com as melhores práticas europeias e contribuir para um ecossistema digital mais seguro.
Conclusões
A transposição da NIS2 em Portugal marca um passo significativo na melhoria da cibersegurança. As empresas devem estar preparadas para cumprir as novas exigências e aproveitar as oportunidades para fortalecer as suas defesas cibernéticas. Com a NIS2, Portugal não só reforça a sua resiliência digital, como marca o seu posicionamento enquanto líder na proteção contra ciberameaças no espaço europeu. A formação do board é um pilar essencial neste processo, garantindo que os líderes empresariais estejam equipados para enfrentar os desafios da cibersegurança com confiança e eficácia.
A Aon possui uma framework - Cyber Loop, para a gestão do risco cibernético que pode ser consultada em https://www.aon.com/cyberloop/default.
Subscreva o Observatório de Risco e Pessoas aqui