NIS 2 em 2026: alcance, obrigações e como se preparar

A diretiva NIS 2 deixou de ser uma conversa de comitê para se tornar uma obrigação legal que afeta milhares de empresas. Se a sua organização está em um dos setores abrangidos, em 2026 já não se trata de se preparar: trata-se de demonstrar que está preparada. Neste artigo explico, de forma clara, o que a NIS 2 exige, quem é afetado, o que muda em relação à NIS 1, os prazos de notificação, as sanções reais e como a certificação Lead Implementer da PECB se encaixa no seu roteiro.

O que é a NIS 2 e o que muda em relação à NIS 1

A NIS 2 é a Diretiva (UE) 2022/2555 relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança em toda a União. Ela substitui a diretiva NIS de 2016 e a transforma em algo mais ambicioso: amplia os setores abrangidos, eleva o nível mínimo das medidas técnicas e organizacionais, endurece as obrigações de notificação e, acima de tudo, atribui a responsabilidade final ao órgão de administração da entidade.

Cada Estado-membro transpõe a NIS 2 para a sua legislação nacional e designa uma autoridade nacional competente, apoiando-se nos CSIRTs para a notificação de incidentes. Na Espanha, por exemplo, a NIS 2 está sendo transposta por meio do "Anteproyecto de Ley" (anteprojeto de lei), que ainda tramita no processo legislativo, em vez de ser uma lei concluída.

A quem se aplica

O alcance é amplo e, se você nunca o analisou, pode surpreender. A NIS 2 abrange 18 setores agrupados em duas categorias:

Entidades essenciais (alto impacto): energia, transportes, setor bancário, infraestruturas dos mercados financeiros, saúde, água potável, águas residuais, infraestrutura digital, gestão de serviços de TIC, administração pública e espaço.

Entidades importantes (impacto significativo): serviços postais e de courier, gestão de resíduos, fabricação, produção e distribuição de produtos químicos, produção, transformação e distribuição de alimentos, fabricação de dispositivos médicos, computadores e eletrônicos, veículos e outros equipamentos de transporte, prestadores de serviços digitais e organizações de pesquisa.

O critério de porte é decisivo: em geral, a NIS 2 se aplica a entidades médias e grandes (mais de 50 funcionários ou mais de 10 milhões de euros de faturamento) dentro desses setores. Mas há exceções: certos serviços críticos são abrangidos independentemente do porte, incluindo PMEs que prestam serviços essenciais a outras entidades.

As medidas do artigo 21

O artigo 21 da NIS 2 estabelece dez blocos de medidas técnicas, operacionais e organizacionais que toda entidade abrangida deve implementar. É a espinha dorsal da conformidade. Estes são os dez blocos, com o que cada um significa na prática:

1. Análise de riscos e políticas de segurança da informação. Uma estrutura formal de gestão de riscos, e não algo improvisado.
2. Tratamento de incidentes. Processos para detectar, responder e recuperar.
3. Continuidade de negócios. Gestão de backups, recuperação de desastres e gestão de crises.
4. Segurança da cadeia de suprimentos. Como você gerencia o risco dos seus fornecedores de TIC.
5. Segurança na aquisição, no desenvolvimento e na manutenção de sistemas. Incluindo o tratamento e a divulgação de vulnerabilidades.
6. Políticas e procedimentos para avaliar a eficácia das medidas. Como você mede se o que implementou realmente funciona.
7. Práticas básicas de higiene cibernética e treinamento. Conscientização recorrente, e não um curso anual de conformidade.
8. Políticas e procedimentos sobre o uso de criptografia. E cifragem onde for relevante.
9. Segurança de recursos humanos. Controle de acesso, gestão de identidades.
10. Autenticação multifator e soluções de comunicação seguras.

Se a sua organização já tem um sistema de gestão de segurança da informação conforme a ISO/IEC 27001, você parte com boa parte do caminho já percorrido. Mas a NIS 2 vai além em alguns pontos, especialmente na gestão de riscos da cadeia de suprimentos e na responsabilidade da direção.

Prazos de notificação de incidentes

Uma das mudanças mais exigentes da NIS 2 é o regime de notificação de incidentes significativos. Os prazos são curtos e não deixam espaço para improvisação:

• 24 horas: alerta precoce ao CSIRT competente se houver indícios de que o incidente pode ser resultado de atos maliciosos ou ter impacto transfronteiriço.
• 72 horas: notificação formal do incidente, com uma avaliação inicial (gravidade, impacto, indicadores de comprometimento).
• 1 mês: relatório final com causas raiz, medidas adotadas e consequências.

Esses prazos não são negociáveis e exigem ter processos maduros de detecção e classificação em funcionamento antes de o incidente acontecer, não depois.

Sanções e responsabilidade da direção

O regime de sanções da NIS 2 é deliberadamente dissuasório. Para as entidades essenciais, as multas podem chegar a 10 milhões de euros ou 2% do faturamento anual mundial, o que for maior. Para as entidades importantes, 7 milhões de euros ou 1,4% do faturamento.

Mas a novidade mais importante não é o valor: é que a NIS 2 torna os membros do órgão de administração pessoalmente responsáveis. A diretiva exige que eles aprovem as medidas de gestão de riscos, supervisionem a sua implementação e recebam treinamento periódico em cibersegurança. Eles podem ser temporariamente impedidos de exercer cargos de direção em caso de infração grave comprovada.

Um roteiro para começar

Se a sua organização está no escopo e ainda não avançou, isto é o que recomendo nos projetos em que trabalho, nesta ordem:

1. Teste de aplicabilidade. Confirme se a sua entidade está abrangida (setor + porte) e em qual categoria (essencial ou importante). Há nuances, e elas não são óbvias.
2. Análise de lacunas em relação ao artigo 21. Dez blocos de medidas, o que você já tem e o que falta. Provavelmente tem mais do que imagina, sobretudo se trabalha com a ISO 27001.
3. Estrutura de notificação de incidentes. Procedimentos, modelos e exercícios para os prazos de 24 horas, 72 horas e 1 mês.
4. Inventário de fornecedores críticos de TIC. Sem um mapa claro dos fornecedores, o pilar da cadeia de suprimentos é impossível.
5. Envolvimento formal do órgão de administração. Aprovação das políticas, um plano de treinamento específico e rastreabilidade documental do seu envolvimento.

A diferença entre as organizações que cumprirão a NIS 2 sem sobressaltos e as que enfrentarão sanções não será o orçamento, mas a antecipação. Quem começa com calma em 2026 chega lá; quem começa na primeira inspeção já está atrasado.

Treinamento e certificação

Se você quer dar o passo rumo à certificação oficial PECB, o curso NIS 2 Lead Implementer é o caminho direto: autoestudo oficial PECB para você avançar no seu ritmo e se preparar para o exame de certificação.