Fale connosco
Security
17/06/2026
NIS2 e a mudança de paradigma na Cibersegurança
A pergunta que ouço em quase todas as conversas com gestores é sempre a mesma: "A NIS2 é apenas mais uma regulamentação, ou marca mesmo uma viragem de página?"
A resposta curta: não é uma evolução, é uma verdadeira transformação. E quem a encarar como um mero exercício de compliance vai desperdiçar uma oportunidade única de transformar a Cibersegurança num verdadeiro ativo estratégico.
O fim da “checklist”: quando a cibersegurança deixou de ser um tema técnico
Durante anos, a Cibersegurança foi tratada como um domínio reservado às equipas de IT – uma lista de controlos para assinalar e arquivar. A NIS2 põe fim a essa abordagem fragmentada.
Hoje, a Cibersegurança é, em simultâneo:
-
Uma responsabilidade da gestão de topo. Os órgãos de administração respondem pessoalmente pela conformidade: a diretiva prevê responsabilização direta de quem lidera.
-
Um pilar da continuidade de negócio. Exigem-se planos de recuperação testados e capacidade de resposta a incidentes em tempo real.
-
Uma questão de resiliência operacional. Não basta ter políticas; é preciso demonstrar que funcionam na prática.
O foco passou a estar em provar que a organização consegue prevenir, detetar, responder e recuperar de forma eficaz. É a diferença entre ter um extintor na parede… e saber usá-lo quando o fogo começa.
Portugal entra no jogo: o Decreto-Lei n.º 125/2025
No contexto nacional, o Decreto-Lei n.º 125/2025 veio reforçar a exigência: alargou o universo de entidades abrangidas, intensificou as responsabilidades da gestão e tornou mais rigorosa a supervisão sobre a forma como o risco cibernético é tratado.
Um ponto que costumo sublinhar: a classificação entre entidades essenciais e entidades importantes não é uma mera formalidade administrativa. Reflete o impacto que uma interrupção pode ter nos serviços críticos da sociedade, e a regra é simples: quanto maior a criticidade, maior tem de ser a maturidade em Cibersegurança.
O que a NIS2 realmente exige
Por trás do discurso estratégico há requisitos muito concretos.
Em primeiro lugar, governance que se demonstra, não que se declara: a atribuição clara de responsabilidades está no centro de tudo. Políticas e processos bem definidos – gestão de acessos, continuidade de negócio, gestão de risco – têm de ser testados regularmente, documentados e conhecidos por toda a organização. As auditorias e avaliações de eficácia deixam de ser um ritual anual para se tornarem o instrumento que mede a maturidade e ajusta os controlos. E nada disto funciona sem uma gestão de ativos sólida: inventário completo, classificação por criticidade, mapeamento de dependências e monitorização contínua, sempre assente numa abordagem de risco.
A cadeia de abastecimento também já não é um problema dos outros: a NIS2 estende a responsabilidade à cadeia de fornecedores. Exige-se due diligence inicial, monitorização contínua, avaliações periódicas de risco e cláusulas contratuais específicas de Cibersegurança. Em caso de falha, organização e fornecedor podem ser responsabilizados com coimas que podem atingir os 10 milhões de euros ou 2% do volume de negócios. A falta de visibilidade sobre quem nos fornece passou a ser uma exposição material ao risco.
E, last but not least, o fator humano como linha da frente: nenhuma tecnologia compensa um colaborador que clica no link errado. Por isso, um programa de Security Awareness Training contínuo – com simulações reais de phishing, quishing e engenharia social – deixa de ser “formação” para se tornar uma ferramenta de diagnóstico e de evolução. Mede vulnerabilidades reais, ajusta comportamentos e alimenta a maturidade exigida pela diretiva. É, no fundo, resiliência construída pessoa a pessoa.
Da conformidade à vantagem competitiva
E aqui está o ponto que muda tudo: a NIS2 não deve ser encarada apenas como conformidade.
Para as organizações portuguesas, o verdadeiro desafio é transformar a Cibersegurança numa vantagem competitiva, numa garantia de continuidade e num compromisso com a sociedade reforçando a governance, reduzindo a exposição ao risco e construindo resiliência real, testada e demonstrável.
A diretiva é, no fundo, um despertar necessário. As organizações que a lerem como uma checklist vão gastar recursos a cumprir mínimos. As que a lerem como uma oportunidade vão sair mais fortes e mais confiáveis aos olhos de clientes, parceiros e reguladores.
A pergunta, afinal, não é se a NIS2 muda o jogo. Isso é ponto assente. Mas de que lado da mudança queremos estar?
Manuel Ferreira, Consulting Lead da Claranet Portugal
Iniciativas
Descubra os nossos eventos
Acompanhe a nossa agenda e as tendências do setor.
Soluções
Explore as soluções Data & AI
Lorem ipsum dolor sit amet, consectetur adipiscing elit.