O prazo terminou. A obrigação não.
O dia 30 de junho de 2026 marcou um momento importante para as organizações europeias abrangidas pela Diretiva NIS2: o prazo para concluir uma primeira auditoria de conformidade. Para muitas equipas de conformidade, foi uma corrida contra o tempo - avaliar controlos, colmatar lacunas e reunir documentação sob pressão.
Mas passar a primeira auditoria não é a meta. É o tiro de partida. A NIS2 não é uma certificação única. É uma obrigação contínua, e as autoridades nacionais competentes dos Estados-Membros da UE estão agora a entrar numa fase de supervisão ativa. As organizações que trataram o prazo de junho como uma simples caixa a assinalar vão ficar expostas nos próximos meses.
Este artigo descreve o que acontece a seguir - e como tornar a sua postura de conformidade verdadeiramente defensável, e não apenas documentada periodicamente.
O que a primeira auditoria abrangeu realmente
A primeira auditoria de conformidade NIS2 centrou-se nas dez medidas mínimas de cibersegurança definidas no artigo 21.º. Estas incluem políticas de gestão de riscos, procedimentos de tratamento de incidentes, medidas de continuidade das atividades, segurança da cadeia de abastecimento e práticas de controlo de acessos.
Para muitas organizações, sobretudo as recém-classificadas como entidades essenciais ou importantes ao abrigo das leis nacionais de transposição, a auditoria foi a primeira avaliação estruturada da sua governação da cibersegurança. O portal de registo do BSI alemão entrou em funcionamento em janeiro de 2026. O Decreto-Lei n.º 125/2025, em Portugal, fez entrar em vigor as suas próprias obrigações em abril de 2026. Em toda a UE, os reguladores passaram da diretiva à aplicação efetiva.
A auditoria determinou se uma organização tinha as políticas e os controlos certos implementados num determinado momento. O que não conseguia verificar facilmente era se esses controlos se manteriam dia após dia, sistema após sistema.
Lacunas comuns detetadas após a primeira ronda
Na comunidade de conformidade, várias fragilidades recorrentes emergiram das primeiras auditorias NIS2:
Qualidade das evidências. Muitas organizações tinham políticas e procedimentos implementados, mas faltavam-lhes registos verificáveis e com carimbo temporal que provassem que esses controlos eram efetivamente aplicados. Um documento de política não é uma evidência. Um registo de auditoria com integridade criptográfica é.
Cobertura da cadeia de abastecimento. O artigo 21.º exige explicitamente que as organizações avaliem e giram os riscos de cibersegurança nas suas cadeias de abastecimento. Muitas constataram que os seus inventários de fornecedores estavam incompletos ou que as suas avaliações de terceiros careciam de substância.
Preparação para a deteção e notificação de incidentes. A NIS2 exige que os incidentes significativos sejam notificados às autoridades competentes no prazo de 24 horas a contar da notificação inicial, seguidos de um relatório completo no prazo de 72 horas. Muitas organizações descobriram que o seu fluxo de trabalho entre a deteção e a notificação não estava ensaiado.
Monitorização contínua. Uma avaliação pontual diz-lhe onde estava num determinado dia. Não lhe diz se um ficheiro foi modificado na terça-feira passada, se uma configuração se desviou na semana passada ou se a integridade das suas cópias de segurança se degradou desde o último teste.
Da auditoria periódica à conformidade contínua
A mudança que os reguladores estão a sinalizar - e que as equipas de conformidade mais avançadas já estão a fazer - é a passagem da auditoria periódica para evidências contínuas de conformidade.
Isto significa ter sistemas que não se limitam a registar políticas, mas que verificam continuamente a integridade dos ativos que essas políticas se destinam a proteger. Cada ficheiro, base de dados e configuração crítica deve ter uma impressão digital criptográfica - um registo selado e com carimbo temporal do seu estado exato em cada momento. Qualquer desvio desse registo desencadeia um alerta, e não uma descoberta seis meses depois, durante a auditoria seguinte.
A infraestrutura de confiança verificável da ROOTKey foi criada precisamente para este contexto. Ao ancorar os seus ativos de dados críticos num registo público independente e ao manter uma verificação contínua da integridade, a sua organização pode demonstrar conformidade não apenas no dia da auditoria - mas todos os dias.
Comece o seu percurso de conformidade contínua com a ROOTKey - plano gratuito disponível, sem necessidade de cartão de crédito.
- Ancorar criptograficamente todos os ativos de dados críticos - ficheiros, bases de dados, resultados de APIs e registos de configuração - para que qualquer modificação seja detetada de imediato.
- Criar uma camada de monitorização contínua da integridade que emita alertas sobre desvios em tempo real, e não apenas no momento da auditoria.
- Garantir que o fluxo de notificação de incidentes está ensaiado e assenta em evidências verificadas, e não reconstruído de memória.
- Mapear os ativos da cadeia de abastecimento e exigir integridade verificável aos principais fornecedores de tecnologia.
- Documentar as evidências de conformidade num formato que as autoridades nacionais competentes possam verificar de forma independente - e não apenas em folhas de cálculo internas.
O que os reguladores vão procurar a seguir
As autoridades nacionais competentes não estão à espera de 2027. A supervisão já está ativa. Na Alemanha, o BSI sinalizou um escrutínio reforçado das entidades essenciais dos setores da energia e da saúde. Em Portugal, o CNCS está a operacionalizar o seu quadro de fiscalização na sequência do DL 125/2025. Em toda a UE, o foco está a passar de «tem uma política?» para «consegue provar que funciona?»
As organizações que vão atravessar este contexto com mais confiança são as que conseguem responder a pedidos de supervisão com evidências verificáveis e legíveis por máquina - e não reunindo documentação a posteriori, depois de um pedido do regulador.
A conformidade com a NIS2 já não é um projeto. É uma capacidade operacional.