NIS2 em Portugal: como uma PME deve responder sem cair em compliance de fachada
NIS2 em Portugal: como uma PME deve responder sem cair em compliance de fachada
O novo regime jurídico da cibersegurança em Portugal vai obrigar muitas empresas a rever pressupostos que, até aqui, raramente eram questionados. Com o Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2 e entra em vigor a 3 de abril de 2026, o universo de entidades potencialmente abrangidas alarga-se de forma significativa. As estimativas apontam para 7.000 a 9.000 entidades.
Para muitas PME, a leitura inicial será previsível: trata-se de mais uma obrigação pensada para grandes grupos, setores altamente regulados ou estruturas com equipas internas de compliance. Essa leitura pode sair cara. O novo enquadramento não se limita às grandes organizações, e o seu efeito vai muito além das empresas formalmente abrangidas. Em muitos casos, a pressão chegará por via contratual, por exigências de clientes, fornecedores ou parceiros que passem a exigir controlos mínimos, evidência e capacidade de resposta.
O ponto mais importante não é jurídico. É de gestão. A pergunta relevante para uma PME não é apenas “o que diz a lei?”, mas sim: estamos no âmbito, quem responde por este tema internamente, e como evitamos transformar isto num exercício caro de documentação sem impacto real?
A NIS2 não é apenas um tema para grandes empresas
Uma das ideias mais erradas à volta da NIS2 é a de que estamos perante um regime desenhado exclusivamente para grandes operadores. Não é esse o caso.
O novo regime abrange setores de importância crítica e outros setores críticos, incluindo energia, transportes, banca, saúde, infraestruturas digitais e serviços geridos de TIC, mas também resíduos, alimentar, químico, partes da indústria transformadora, serviços digitais e investigação. Em muitos casos, o enquadramento depende de uma combinação entre setor e dimensão.
Isso significa que empresas com 50 ou mais trabalhadores ou 10 milhões de euros ou mais de faturação, dependendo da atividade, podem enquadrar-se como entidades importantes. E mesmo quando não exista enquadramento direto, existe um efeito indireto que merece atenção: a cadeia de abastecimento. Muitas empresas vão sentir esta pressão porque prestam serviços a organizações que passarão a exigir MFA, políticas mínimas, controlo de acessos, registos de atividade, processos de resposta a incidentes e garantias adicionais sobre fornecedores.
Ou seja, ficar “fora” do âmbito legal não significa ficar fora do problema.
O principal risco é responder com compliance de fachada
Sempre que surge um novo enquadramento regulatório, o mercado reage de forma previsível. Multiplicam-se checklists, templates, políticas standard e ofertas que prometem “tratar do assunto” com rapidez. O problema é que, em matérias como esta, a documentação é apenas a parte visível. E muitas vezes nem sequer é a mais importante.
A NIS2 não expõe apenas falhas documentais. Expõe fragilidades de organização: ausência de responsáveis claros, acessos mal controlados, dependência excessiva de fornecedores, backups nunca testados, processos de incidente que existem apenas em teoria e falta de evidência sobre aquilo que a empresa realmente faz.
É precisamente aqui que muitas respostas falham. Produzem-se políticas, relatórios e pastas de auditoria, mas a operação mantém-se igual. Quando surge um incidente, ou quando um cliente exige prova concreta de controlos, percebe-se depressa a diferença entre uma postura de governance e um exercício de fachada.
Para uma PME, esta distinção é decisiva. O objetivo não deve ser “parecer conforme”. Deve ser organizar o essencial, com responsabilidade, rotina e capacidade de demonstrar o que está efetivamente a ser feito.
O que uma PME deve organizar primeiro
O novo regime cobre áreas como gestão de incidentes, continuidade de negócio, segurança da cadeia de abastecimento, controlo de acessos, autenticação multifator, formação, políticas de segurança e avaliação das medidas adotadas. Tudo isto é relevante. Mas, do ponto de vista da gestão, convém traduzir estas obrigações em prioridades operacionais claras.
A primeira é a responsabilidade. A lei exige a designação de um Responsável de Cibersegurança, interno ou externo, com ligação real ao órgão de gestão. Este ponto parece administrativo, mas não é. Sem responsabilidade atribuída, não existe decisão. E sem decisão, todos os temas críticos ficam perdidos entre a direção, o fornecedor de IT e a urgência do dia-a-dia.
A segunda é o conjunto de controlos mínimos que deixam de poder ser tratados como detalhe técnico: MFA nas contas críticas, gestão de acessos, backups com testes de reposição, um mínimo de logging e um processo claro de resposta a incidentes.
Há ainda um ponto particularmente sensível: o regime de notificação. Em caso de incidente relevante, existe um alerta inicial em 24 horas após a deteção. Isto obriga a que a empresa tenha um circuito interno funcional. Quem deteta? Quem avalia? Quem decide? Quem comunica? Quem articula com fornecedores e, quando aplicável, com a CNPD? Sem esta base, a obrigação existe no papel mas não na prática.
Por fim, há o tema dos fornecedores e dependências externas. Muitas PME operam sobre uma combinação de cloud, software crítico, acessos remotos, prestadores de serviços geridos e sistemas legados. Ignorar essa camada é deixar uma parte material do risco fora da análise.
Este é também um tema de governance de dados e de IA
É aqui que, na minha opinião, a conversa costuma ficar curta demais.
A maior parte das abordagens ao tema trata a NIS2 como um projeto isolado de cibersegurança. Para algumas empresas isso pode bastar. Para muitas outras, não. Quando uma organização é obrigada a rever acessos, responsabilidades, registos, fornecedores, evidência e processos de decisão, está já a tocar em matérias que se cruzam diretamente com governance de dados e, cada vez mais, com governance de IA.
Na prática, as mesmas empresas que não conseguem responder com clareza a perguntas básicas sobre acessos críticos também raramente têm uma visão madura sobre:
- onde estão os dados sensíveis;
- que ferramentas de IA já estão a ser utilizadas internamente;
- quem aprova o uso dessas ferramentas;
- como se documentam decisões;
- e como se demonstra consistência perante um cliente, auditor ou parceiro.
Responder a estes temas de forma isolada costuma criar duplicação, fricção e custo desnecessário. Por isso, faz sentido olhar para este momento como uma oportunidade para estruturar uma base de governance mais coerente, em vez de acumular soluções avulsas.
Como faz sentido abordar este tema numa PME
A abordagem mais útil, na minha perspetiva, começa por uma avaliação de âmbito e governance, e não por uma implementação apressada.
O primeiro passo é perceber se a empresa está no âmbito direto, se está exposta por via contratual ou se, mesmo ficando formalmente fora, já enfrenta exigências que justificam organização prévia. Em paralelo, importa clarificar quem assume responsabilidade interna, quais são os sistemas e fornecedores críticos e onde estão os gaps mais relevantes.
O segundo passo é um diagnóstico curto e pragmático, focado no essencial: acessos, MFA, backups, testes de reposição, logging, resposta a incidentes, gestão de fornecedores, documentação mínima e evidência.
O terceiro passo é, muitas vezes, o mais negligenciado: criar uma camada de rotina e evidência que se mantenha no tempo. Audit trails, registos de alterações, alertas, documentação viva e revisões periódicas têm mais valor do que um conjunto extenso de políticas que ninguém atualiza. É também aqui que a automação pode acrescentar utilidade real, ao reduzir dependência de tarefas manuais e memória organizacional.
Quando a situação exige trabalho técnico mais profundo, seja em controlos, infraestrutura ou operação gerida, a execução deve ser feita com os parceiros adequados. Para muitas PME, este modelo é mais realista e mais eficaz do que tentar comprar uma promessa vaga de “conformidade total”.
O que faria sentido rever nos próximos 30 dias
Para uma PME portuguesa, os próximos passos não precisam de começar por um projeto pesado. Devem começar por perguntas simples, mas concretas:
- A empresa opera num setor abrangido, ou fornece organizações que possam exigir estes controlos?
- Existe uma responsabilidade clara por cibersegurança e governance?
- MFA está ativo em email, cloud e acessos administrativos?
- Os backups existem, e já foram testados?
- Há uma lista séria de fornecedores críticos e dos acessos que esses fornecedores têm?
- Existe um processo de incidente que funcione dentro da janela de 24 horas?
Se estas perguntas não tiverem resposta clara, então o tema já merece atenção executiva. E quanto mais cedo essa clarificação for feita, menor a probabilidade de responder sob pressão, com custos mais altos e piores decisões.
Precisa de perceber se a sua PME está abrangida?
Se a sua empresa precisa de perceber se pode estar abrangida pela NIS2, ou se faz sentido preparar uma resposta por fases sem cair em compliance de fachada, o melhor ponto de partida é uma avaliação de âmbito e governance.
O objetivo dessa primeira etapa é simples: clarificar exposição, identificar os gaps mais relevantes e desenhar um plano realista que pode integrar cibersegurança, governance de dados e governance de IA, com execução técnica apoiada pelos parceiros certos quando necessário.