Está abrangido pela NIS2?
Anexo I: energia, transportes, banca, mercados financeiros, saúde, água potável e residuais, infraestrutura digital, TIC geridas, administração pública, espaço. Anexo II: correios, resíduos, química, alimentação, indústria transformadora, fornecedores digitais e investigação.
Resultado
Entidade importante
Supervisão
Posterior, após comunicação ou incidente
Coima máxima
Até 1,4% do volume de negócios mundial
A dimensão não é a última palavra: uma empresa pequena está na mesma abrangida se for o único fornecedor de um serviço essencial, se a sua falha tiver impacto sistémico ou se a autoridade a identificar pelo nome. Na dúvida, consulte o registo nacional, não a tabela.
Perguntas frequentes
Quem fica abrangido pela NIS2 e o que muda
Qual é a diferença entre entidade essencial e entidade importante?
As obrigações de segurança são as mesmas; o que muda é a supervisão e a coima. As entidades essenciais têm supervisão prévia, com auditorias e inspeções mesmo sem incidente, e coimas até 2% do volume de negócios mundial. As importantes são supervisionadas depois de uma comunicação ou de um incidente, com um teto de 1,4%.
Uma empresa pequena pode estar abrangida?
Sim. Os limiares de dimensão são a regra geral, não o único critério. Ficam abrangidos o único fornecedor de um serviço essencial num território, as entidades cuja paragem teria efeitos sistémicos, os fornecedores de redes públicas de comunicação e os prestadores de serviços de confiança, além de quem a autoridade identifique diretamente.
Somos fornecedores de uma entidade NIS2: isso afeta-nos?
Indiretamente, quase sempre. A diretiva obriga as entidades abrangidas a gerir o risco da sua cadeia de fornecimento, por isso os requisitos chegam por contrato: questionários, cláusulas de segurança, prazos de comunicação de incidentes. A coima não é sua, mas o cliente vai pedir-lhe que se adapte.
O que é preciso fazer em concreto?
Registar-se junto da autoridade nacional, adotar medidas de gestão do risco proporcionadas e comunicar os incidentes significativos dentro dos prazos apertados da diretiva: um aviso inicial em poucas horas e um relatório mais completo depois. Os órgãos de direção respondem pessoalmente pela adequação das medidas.
Qual é a diferença entre entidade essencial e importante?
Os deveres de segurança são iguais; a supervisão e as coimas não. As entidades essenciais têm supervisão proativa, com auditorias e inspeções mesmo sem incidente, e coimas até 2 por cento do volume de negócios mundial.
Uma empresa pequena também pode estar abrangida?
Sim. Os limiares de dimensão são a regra geral, não o único critério. Os fornecedores únicos de um serviço essencial numa zona, as entidades cuja falha teria efeitos sistémicos, os operadores de rede e os prestadores de serviços de confiança entram seja qual for a dimensão.
Fornecemos uma entidade abrangida: isso chega até nós?
De forma indireta, quase sempre. A diretiva obriga as entidades abrangidas a gerir o risco da cadeia de fornecimento, por isso os requisitos chegam pelos contratos: questionários, cláusulas de segurança, prazos de notificação. A coima não é sua, o negócio pode ser.