Direito cibernético NIS2 para empresas essenciais: qual é a diferença entre NIS1 e NIS2?

A Diretiva Europeia NIS2 substitui a NIS1, a primeira diretiva da UE em matéria de cibersegurança, de 2016. Os Estados-Membros tinham até 17 de outubro de 2024 para transpor as novas regras para a legislação nacional. Na Holanda, a NIS2 é implementada através da Cyberbeveiligingswet, que foi aprovada em julho de 2026 e entra em vigor a 15 de agosto de 2026. O que é que mudou exatamente? Apresentamos-te as diferenças entre a NIS1 e a NIS2.

A NIS1 aplicava-se apenas a empresas essenciais num pequeno número de setores. Ao abrigo da NIS2, as regras abrangem também empresas «importantes»: milhares de organizações de média e grande dimensão que, pela primeira vez, passam a estar sujeitas à legislação europeia em matéria de cibersegurança.

O que é a diretriz NIS2?

A NIS2 é a sucessora da NIS1, que foi introduzida há alguns anos para as empresas essenciais. A nova diretiva NIS2 (oficialmente: Diretiva (UE) 2022/2555)) foi publicada pela ENISA, a Agência da União Europeia para a Cibersegurança. A diretiva prescreve requisitos mínimos de segurança, bem como a obrigação de comunicar incidentes (graves) à autoridade nacional ou à Equipa Europeia de Resposta a Incidentes de Segurança Informática (CSIRT). A nova diretiva substitui a diretiva original, que entrou em vigor em 2016.

O NIS2 substitui o NIS1?

Sim. A NIS2 substitui totalmente a NIS1. Quando a NIS2 entrou em vigor, em outubro de 2024, a diretiva NIS original de 2016 foi revogada. Tudo o que estava abrangido pela NIS1 está agora abrangido pela NIS2, juntamente com muitos novos setores e requisitos mais rigorosos.

Estas são as principais diferenças entre o NIS1 e o NIS2:

• A diretiva aplica-se a mais sectores
  A NIS2 aplica-se tanto às empresas essenciais como às grandes empresas. Mais empresas de média e grande dimensão devem começar a cumprir a diretiva. Além disso, o Governo neerlandês pode designar empresas mais pequenas com um elevado risco de segurança que também devem começar a cumprir a diretiva.
• Lista de segurança mínima de base
  A diretiva é mais concreta, graças a uma lista de segurança mínima de base que as empresas devem implementar. A diretiva impõe uma abordagem de gestão do risco.
• Divisão em sectores essenciais e sectores-chave
  A nova diretiva SRI divide as empresas em sectores essenciais e sectores-chave. Desaparece a distinção entre operadores de serviços essenciais e prestadores de serviços digitais.
• Aborda a segurança na cadeia
  As empresas devem começar a abordar os riscos de segurança na sua cadeia de abastecimento. Isto inclui os riscos criados pelas relações com os fornecedores.
• Supervisão mais rigorosa
  As autoridades nacionais podem fazer uma supervisão e fiscalização mais rigorosas. A nova diretiva torna os regimes de penalização e os requisitos de comunicação de informações em todos os Estados-Membros mais uniformes.

O que são empresas essenciais?

A diretiva SRI aplica-se às empresas essenciais. Estes sectores são:

• Energia
• Água potável
• Águas residuais
• Transporte
• Banca
• Mercados financeiros
• Infra-estruturas digitais
• Administrações públicas
• Cuidados de saúde
• Espaço

Dica: Queres saber exatamente quais são as empresas "essenciais" ou "importantes"? Descarrega o quadro Sectores abrangidos pelo NIB2 da CBS.

A nova diretiva NIS2 aplicar-se-á também às grandes empresas. Estes sectores são:

• Serviços postais e de correio
• Processamento e distribuição
• Processamento de resíduos
• Fornecedores digitais
• Empresas transformadoras
• Indústria química
• Indústria alimentar

Diferença de controlo entre empresas essenciais e importantes

As autoridades locais controlarão proactivamente as principais empresas. O controlo das empresas-chave será efectuado a posteriori, se houver provas de um incidente.

As empresas-chave e essenciais terão o dever de comunicar e o dever de diligência. Têm de implementar a segurança na sua cadeia de abastecimento e comunicar claramente a forma como lidam com os ciberincidentes.

Porque é que a nova diretriz é importante?

A nova diretiva NIS2 deverá tornar as redes e os sistemas de informação das empresas mais seguros. Desta forma, os Países Baixos e toda a União Europeia deverão tornar-se menos vulneráveis a ciberataques.

O Ministro Dilan Yeşilgöz-Zegerius (Justiça e Segurança) afirmou: "Estamos cada vez mais dependentes dos processos digitais, especialmente desde que trabalhamos cada vez mais a partir de casa. Além disso, assistimos a uma ameaça digital crescente, tanto de criminosos como de actores estatais, que, com uma guerra na fronteira oriental da Europa, não vai diminuir por enquanto. Por conseguinte, é agora necessário dar o próximo passo para elevar o nível de cibersegurança na UE. Ao fazê-lo, evitaremos que os incidentes digitais perturbem a nossa sociedade".

O Ministro Micky Adriaansens (Assuntos Económicos e Clima) acrescenta: "Temos de estar atentos aos riscos dos ciberataques. O impacto pode ser significativo, como o esvaziamento das prateleiras das lojas ou a interrupção da produção industrial. A gestão da segurança digital continua a ser uma responsabilidade individual das empresas e dos consumidores. Mas, com esta legislação, podemos dar um passo para garantir que o nível de cyber security aumenta entre as (médias) empresas dos sectores mais importantes."

Serás multado se não cumprires?

As empresas que não cumprirem a nova diretiva vão receber uma advertência, depois um aviso e, por fim, arriscam-se a uma multa avultada. Para as empresas essenciais, a multa máxima é de 10 milhões de euros ou 2% do volume de negócios anual a nível mundial, o que for mais elevado. Para as empresas importantes, o máximo é de 7 milhões de euros ou 1,4%. Novidade na NIS2: os dirigentes também podem ser responsabilizados pessoalmente pelo incumprimento.

Implementação do NIS2 por país da UE (2026)

A NIS2 é uma diretiva europeia, por isso cada Estado-Membro tem de a transpor para a legislação nacional. Nem todos os países avançam ao mesmo ritmo. Eis a situação dos principais mercados em 2026:

• Bélgica: um dos primeiros países a transpor a diretiva. A lei belga relativa à NIS2 está em vigor desde 18 de outubro de 2024, sob a supervisão do Centro de Cibersegurança da Bélgica (CCB).
• Itália: transposta antecipadamente através do Decreto Legislativo n.º 138/2024, em vigor desde outubro de 2024. A agência nacional de cibersegurança, a ACN, supervisiona o registo e o cumprimento da legislação.
• Alemanha: a lei NIS2UmsuCG entrou em vigor a 6 de dezembro de 2025. Cerca de 29 500 empresas estão abrangidas por esta lei e tiveram de se registar junto do BSI.
• Polónia: a Lei do Sistema Nacional de Cibersegurança (KSC), na sua versão alterada, entrou em vigor a 3 de abril de 2026 e abrange cerca de 42 000 empresas, com prazo de registo até outubro de 2026.
• Países Baixos: a Lei de Segurança Cibernética (Cyberbeveiligingswet) foi aprovada em julho de 2026 e entra em vigor a 15 de agosto de 2026, sem período de transição.
• França: ainda em fase de tramitação legislativa. Espera-se que a Lei da Resiliência seja aprovada em 2026, mas a ANSSI já incentiva as organizações a registarem-se e a prepararem-se.
• Espanha: o projeto de lei sobre a coordenação e a governação da cibersegurança ainda está a ser analisado no parlamento, pelo que a diretiva ainda não foi totalmente transposta.

Conclusão: independentemente de onde estejas na UE, as obrigações em matéria de formação e gestão de riscos previstas na NIS2 já se aplicam a ti ou vão aplicar-se muito em breve.

NIS2 vs ISO 27001: qual é a diferença?

A NIS2 é legislação, enquanto a ISO 27001 é uma norma internacional voluntária para a segurança da informação. A certificação ISO 27001 não é exigida por lei e não significa automaticamente que estejas em conformidade com a NIS2. No entanto, há muitas semelhanças: as organizações que seguem a ISO 27001 já cumprem grande parte do que a NIS2 exige, como a gestão de riscos, os procedimentos em caso de incidentes e a formação em sensibilização para a segurança.

Prevenir os danos causados pela cibercriminalidade: o que podes fazer?

Mesmo sem uma lei sobre cibersegurança como a NIS2, é importante levar a sério o cibercrime. Podes proteger a tua empresa, por exemplo, com:

• Segurança desde a conceção
  Começa todas as reuniões com a segurança (digital). Que medidas tomas para evitar abusos e quais são os riscos e vulnerabilidades? Se pensares nisto como norma, crias (novos) sistemas mais seguros por defeito.
• Ligação segura
  Utiliza uma ligação segura para a tua empresa. Evita que outros vejam indesejadamente ou até roubem dados. A ligação segura está disponível em todo o mundo, a qualquer momento e a partir de qualquer local.
• Forma os empregados em matéria de cibersegurança
  Quem não sabe quais são os riscos não se pode proteger contra eles. Dá formação aos empregados e certifica-te de que reconhecem as vulnerabilidades e não caem em armadilhas quando os cibercriminosos as montam.

Como a EyeOn utiliza o Guardey para cumprir o NIS2

As empresas que têm de cumprir a NIS2 são obrigadas a oferecer formação em sensibilização para a segurançaaosseus colaboradores. Esta obrigação inclui explicitamente o conselho de administração: nos termos do artigo 20.º da diretiva, a direção também tem de frequentar formação em cibersegurança.

O nosso cliente Gezamenlijke Brandweer Amsterdam (um corpo de bombeiros holandês) é uma organização essencial e, por isso, precisa de aderir ao regulamento NIS2. Para garantir que os seus funcionários estão preparados para reconhecer ameaças cibernéticas, utiliza o Guardey para oferecer formação em security awareness . Todas as semanas, a sua equipa joga um pequeno desafio de 3 horas que os ajuda a desenvolver lentamente o conhecimento de cyber security .

Lê a história completa aqui

Facilita as coisas com o Guardey

Na Guardey compreendemos que podes ter muito em que pensar. Como é que cumpre o NIS2, quais são as vulnerabilidades da sua empresa e como é que evita um hack, uma violação de dados ou outro crime cibernético?

É por isso que gostamos de facilitar as coisas para ti. Com Guardey, escolhe uma solução cyber security completa de uma só vez. Somos plug & play, para uma ligação segura, contra software malicioso e para formar os teus empregados de forma profissional (mas divertida!).

Queres melhorar o cyber security da tua empresa e cumprir a nova diretiva NIS2? Descobre a nossa solução ou coloca-nos as tuas questões. Teremos todo o gosto em explicar como podes estar protegido com o Guardey de uma forma muito acessível, simples e económica.