NIS2: a França é reenviada ao TJUE, 15 000 entidades sem enquadramento nacional

A diretiva NIS2 deveria ter sido transposta até 17 de outubro de 2024. A França não cumpriu o prazo, ao ponto de a Comissão ter decidido, a 8 de julho de 2026, reenviá-la para o Tribunal de Justiça da UE, juntamente com Espanha, Irlanda e Países Baixos, com pedido de sanções financeiras. A chamada lei Resiliência, destinada a transpor o texto, não consta da agenda da sessão de julho: a sua discussão passa para o outono. A obrigação europeia, essa, aplica-se desde outubro de 2024.

Há um pormenor que muda tudo para quem quer avançar: o referencial técnico já está publicado. A ANSSI publicou em março de 2026 o seu Referencial Cyber França, que traduz as exigências da NIS2 em objetivos de segurança, vinte para as entidades essenciais, quinze para as entidades importantes. Ou seja, o essencial do que será exigido já é conhecido antes mesmo da votação da lei. Esperar pelo texto para começar é esperar pela formalização de obrigações cuja substância já se conhece.

A verdadeira questão está na mudança de escala: de algumas centenas de operadores ao abrigo da NIS1, a França passa a ter entre 15 000 e 18 000 entidades abrangidas, repartidas entre "entidades essenciais" e "entidades importantes". PME industriais de maior dimensão, autarquias, atores da saúde, dos transportes ou da agroalimentar vão descobrir que estão no âmbito de aplicação, com obrigações de gestão de risco, notificação de incidentes e supervisão da ANSSI.

A mudança conceptual é semelhante à que ocorreu com o RGPD: a cibersegurança deixa de ser um assunto de especialistas e boas intenções para se tornar um dispositivo cuja existência e funcionamento têm de poder ser demonstrados. Governação, análise de riscos, segurança da cadeia de fornecimento, gestão de incidentes, continuidade: cada exigência da diretiva pressupõe evidências.

E a assimetria das sanções concentra as atenções: até 10 milhões de euros ou 2% do volume de negócios mundial para as entidades essenciais, com controlos proativos; 7 milhões ou 1,4% para as entidades importantes, controladas após incidente. Em ambos os casos, no dia da fiscalização, a improvisação nota-se.

A NIS2 impõe um conjunto mínimo de medidas: políticas de segurança e análise de riscos, gestão de incidentes, continuidade de atividade e gestão de crise, segurança da cadeia de fornecimento, segurança das aquisições e do desenvolvimento, avaliação da eficácia das medidas, higiene informática e formação, criptografia, segurança dos recursos humanos e controlo de acessos, autenticação multifator. Dez famílias de exigências que, na prática, desenham um referencial.

A isto acresce a mecânica de notificação de incidentes significativos, com prazos apertados: alerta precoce em 24 horas, notificação em 72 horas, relatório final em um mês. Cumprir estes prazos não se improvisa no dia do incidente: pressupõe uma deteção, uma qualificação e uma cadeia de decisão já existentes, e já testadas.

O âmbito real ultrapassa as 15 000 entidades formalmente designadas: a diretiva obriga-as a garantir a segurança da sua cadeia de fornecimento, e essa exigência propaga-se contratualmente. Um subcontratante de software, um prestador de manutenção industrial ou um operador logístico fora do âmbito direto vai receber os questionários e as cláusulas dos seus clientes regulados.

Para estes fornecedores, a leitura inteligente é comercial: quem chega com uma maturidade cibernética medida e demonstrável transforma uma imposição num argumento de referenciação. Nos concursos de 2027, será um critério de seleção, não um bónus.

Para uma organização que descobre agora o tema, a ordem razoável cabe em três passos: determinar se está no âmbito de aplicação, e a que título; medir a sua maturidade real face às exigências da diretiva, entidade a entidade, em vez de acumular auditorias pontuais; e converter os desvios num plano de ação com prazos definidos, porque a atualização vai levar meses e o calendário não vai esperar.

O nosso catálogo conta com 11 referenciais de cibersegurança para apoiar esta medição, e a lógica aplica-se também a grupos: cada subsidiária avaliada com a mesma base, uma consolidação que mostra onde concentrar o esforço. A conformidade com a NIS2 será uma maratona administrada; mais vale entrar nela com um instrumento.