A parte silenciosa do regime
O prazo de registo previsto no Decreto-Lei n.º 125/2025 dominou a conversa nas equipas de segurança portuguesas durante três meses, o que se compreende - os prazos concentram a atenção. É também um pouco infeliz, porque o registo é a exigência menos pesada de todo o regime.
O que começa agora é uma obrigação contínua, com três componentes que funcionam de forma muito diferente de uma submissão pontual: uma cadência de notificação de incidentes medida em horas, uma disposição de responsabilização dos órgãos de direção que recai pessoalmente sobre quem dirige e uma relação de supervisão que, no caso das entidades essenciais, pode ser exercida de forma proativa e não apenas depois de algo correr mal.
Se se registou nas últimas duas semanas, este é o artigo a entregar a quem passa agora a ser responsável pela obrigação.
A contagem dos prazos de notificação
A NIS2 substituiu as obrigações vagas de notificação de incidentes da diretiva que a antecedeu por uma cadência específica e faseada. Em traços gerais: um alerta precoce no prazo de 24 horas a contar do momento em que se toma conhecimento de um incidente significativo, uma notificação mais completa no prazo de 72 horas, que inclua uma avaliação inicial da gravidade e do impacto, e um relatório final no prazo de um mês.
Três detalhes operacionais determinam se uma organização consegue, de facto, cumprir esta cadência.
Primeiro, a contagem começa no momento em que se toma conhecimento do incidente, não no momento da contenção. As equipas que, por instinto, querem compreender um incidente antes de o notificar vão falhar a janela das 24 horas nos incidentes que levam mais de um dia a caracterizar, que são a maioria dos incidentes graves.
Segundo, «significativo» é um juízo, e os juízos têm de ficar registados. A decisão de que um incidente não foi significativo é uma decisão que uma autoridade de supervisão pode vir a examinar mais tarde, e uma organização que não consegue demonstrar quando tomou essa decisão e com que fundamento fica numa posição mais fraca do que uma cuja decisão sobre o limiar está documentada em tempo real.
Terceiro, os três relatórios têm de ser coerentes entre si. Uma notificação às 72 horas que contradiga o alerta precoce das 24 horas suscita perguntas sobre qual dos dois era exato, e um relatório final que deixe cair discretamente uma afirmação anterior suscita ainda mais.
A responsabilização dos órgãos de direção não é uma formalidade
As disposições da NIS2 sobre os órgãos de direção são a parte que muda comportamentos nos conselhos de administração, assim que alguém as lê com a devida atenção. Os órgãos de direção têm de aprovar as medidas de gestão dos riscos de cibersegurança, supervisionar a sua aplicação e podem ser responsabilizados pessoalmente por falhas. São também obrigados a frequentar formação.
A consequência prática é que a aprovação das medidas de segurança pelo conselho de administração passa a ser um ato comprovado por evidências, e não uma formalidade do livro de atas. Se uma autoridade de supervisão perguntar quando é que o órgão de direção aprovou as atuais medidas de gestão dos riscos, o que lhe foi apresentado e o que decidiu, a resposta tem de ser mais concreta do que uma linha na ata.
É um pedido razoável, e difícil de satisfazer retroativamente. As organizações que se antecipam registam as decisões de segurança do conselho de administração da mesma forma que registam qualquer outra decisão regulada: com o material apresentado, a data e um registo que não possa ser discretamente alterado mais tarde.
- Designe um responsável nominal pelo alerta precoce das 24 horas, com autoridade para o submeter sem esperar por um quadro completo
- Defina e documente já o seu limiar de significância, antes de ter de o aplicar sob pressão
- Registe as decisões sobre o limiar relativas aos incidentes que decidir não notificar, com a respetiva data e fundamentação
- Estabeleça uma fonte única para os factos que vão constar dos três relatórios, para que a coerência seja estrutural e não editorial
- Aplique um carimbo temporal às aprovações das medidas de segurança pelo conselho de administração, juntamente com o material apresentado
- Inscreva no calendário as obrigações anuais e periódicas - formação, atualização da avaliação de riscos, testes de continuidade - em vez de as tratar como trabalho de projeto
O que as autoridades de supervisão estão, na prática, a pedir
A autoridade de supervisão portuguesa iniciou a atividade de auditoria, e o padrão visível até agora corresponde ao da fiscalização noutros pontos da União. As autoridades de supervisão estão a testar se uma organização consegue apresentar registos em vez de descrições, e se esses registos batem certo com a cronologia que a organização descreve.
Abordámos em pormenor o que o CNCS está a examinar em O supervisor da NIS2 em Portugal inicia as primeiras auditorias, e o panorama mais amplo da fiscalização na União no acompanhamento da fiscalização da NIS2. Lidos em conjunto, descrevem uma cultura de supervisão menos interessada na qualidade da documentação do que em saber se é possível demonstrar que a documentação existia quando afirma ter existido.
- Confirme que o seu registo está concluído e que o seu ponto de contacto é uma caixa de correio funcional monitorizada
- Realize um exercício de simulação (tabletop) dedicado especificamente ao alerta precoce das 24 horas, e não à resposta técnica
- Verifique se o seu registo de incidentes começa no momento da deteção e não no da criação do ticket
- Avalie a cobertura atual dos seus controlos face ao decreto com o Simulador NIS2
Se o problema mais difícil é que os seus registos de incidentes, as aprovações do conselho de administração e as decisões sobre o limiar estão em sistemas que preferiria não entregar a uma autoridade de supervisão sem edição, isso tem solução sem mudar a forma como a sua equipa trabalha. Pode ancorar o seu primeiro conjunto de registos em poucos minutos.