O ponto de inflexão regulamentar que atravessámos em julho de 2026
Julho de 2026 não foi um mês tranquilo para a regulação digital.
O primeiro grande prazo de auditoria da NIS2 passou no início do mês - o primeiro teste formal para saber se as organizações europeias tinham implementado as medidas de cibersegurança que a Diretiva exige. As obrigações do AI Act da UE para os sistemas de IA de risco elevado entraram em aplicação em agosto, depois de um período de conformidade que terminou este mês. O DORA está plenamente em vigor desde janeiro, e as primeiras avaliações de supervisão dos programas de gestão do risco de TIC das entidades financeiras estão em curso.
Para as organizações que passaram o primeiro semestre de 2026 a preparar-se, julho foi um momento de validação. Para o número significativo das que não o fizeram, foi um ajuste de contas.
Eis o que a atividade de conformidade deste mês revela sobre o rumo do mercado.
As três coisas que julho confirmou
1. A lacuna documental é real. Nas avaliações relativas à NIS2, ao DORA e ao AI Act da UE, a conclusão mais consistente é que as organizações implementaram medidas de segurança, mas não as conseguem provar. Os controlos de acesso existem, mas os registos de auditoria que os documentam são alteráveis. As avaliações de risco foram realizadas, mas os dados em que se baseiam não têm qualquer verificação de integridade. Os dados de treino foram selecionados, mas não existe prova com selo temporal de quando foram reunidos.
A conformidade já não tem que ver com o que fez. Tem que ver com o que consegue provar.
2. A governação da IA está a recuperar o atraso face à implementação da IA. Há três anos que a velocidade de adoção da IA nas empresas ultrapassa a governação. O prazo de aplicação do AI Act da UE em julho é o primeiro grande momento regulamentar em que esta lacuna tem consequências formais de fiscalização. As organizações que trataram a governação da IA como um mero item a assinalar na conformidade de TI estão a descobrir que esta exige investimento em infraestrutura.
3. A integridade dos dados é o fio condutor. Todos os quadros que estiveram em foco este mês - NIS2, DORA, AI Act da UE, RGPD - têm a integridade dos dados como base técnica. As organizações que gerem a conformidade de forma mais eficiente são as que o reconheceram cedo e construíram uma infraestrutura partilhada de integridade dos dados, em vez de silos de conformidade separados.
Em que se concentrar em agosto e daí em diante
Para as organizações que estão atrasadas em qualquer um dos três quadros:
Comece pela infraestrutura de integridade dos dados. Este é o investimento que dá retorno nos três quadros em simultâneo. Uma camada de verificação criptográfica da integridade, aplicada aos seus ativos de dados mais críticos, satisfaz os requisitos de base técnica da NIS2, do DORA e do AI Act da UE numa única implementação.
Feche a lacuna documental antes da auditoria. Se implementou medidas de segurança, mas não as consegue provar, o problema da prova é a prioridade. Pistas de auditoria criptográficas, pacotes de evidências com integridade verificada e registos resistentes a adulteração devem estar na sua lista de ações imediatas.
Mapeie os seus sistemas de IA face às categorias de risco elevado. Se tiver dúvidas sobre se alguma das suas implementações de IA se qualifica como de risco elevado ao abrigo do AI Act da UE, esta avaliação deve acontecer este mês, e não na próxima revisão trimestral.
Os recursos de conformidade empresarial da ROOTKey abrangem os três quadros. O simulador de conformidade com a NIS2 dá-lhe uma avaliação de preparação em 15 minutos. Comece a avaliação hoje.
- Julho de 2026: primeiro ciclo de auditoria da NIS2, avaliações de supervisão do DORA em curso e período de aplicação do AI Act da UE aos sistemas de risco elevado a chegar ao fim.
- A lacuna de conformidade mais comum nos três quadros: organizações que implementaram medidas, mas não as conseguem provar.
- A infraestrutura de integridade dos dados é a base técnica partilhada da NIS2, do DORA e do AI Act da UE.
- Para agosto: feche a lacuna documental, conclua a avaliação de classificação de risco da IA e comece a construir pistas de auditoria criptográficas.
- Acompanhe o nosso blog para os resumos mensais de conformidade - e veja todos os artigos que publicámos em julho para análises aprofundadas de cada tema.