A minha empresa está sujeita à NIS2?
Duas coisas determinam isto: o seu setor e a sua dimensão. Mas existe um terceiro grupo que fica fora e recebe na mesma os requisitos.
Setor e dimensão, por essa ordem
NIS2 é uma diretiva europeia sobre a segurança dos sistemas de redes e informação. Designa dezoito setores, divididos em dois anexos. O Anexo I são os setores de elevada criticidade: energia, transportes, saúde, água potável, infraestruturas digitais, administração pública. O Anexo II são os restantes setores críticos, como correios, resíduos, química, alimentação, indústria e prestadores de serviços digitais.
Se o seu setor não está presente, não está sujeito. Se está presente, a sua dimensão conta. A partir de aproximadamente cinquenta trabalhadores ou dez milhões de euros de faturação é de média dimensão e as obrigações aplicam-se. Se é maior que duzentos e cinquenta trabalhadores ou cinquenta milhões de faturação e se está no Anexo I, é uma entidade essencial e está sujeito a supervisão prévia. Os restantes são entidades importantes: a mesma zorgplicht, mas supervisão apenas se houver motivo.
O terceiro grupo, e é o maior
A grande maioria das organizações que com isto se deparam não está sujeita. Fornecem a alguém que está sujeito. A diretiva obriga as organizações obrigadas a avaliar a segurança dos seus fornecedores, e fazem-no com questionários e requisitos no contrato.
Para si significa nenhuma obrigação de registo, nenhuma obrigação de comunicação e nenhuma multa. Mas tem um cliente que quer resposta, e que faz contrato noutro lado se não conseguir responder. Na prática isso afeta mais empresas e mais depressa do que a lei propriamente dita.
Exceções que não deve ignorar
Mesmo abaixo do limiar pode estar obrigado. Se é o único prestador de um serviço num Estado-Membro, ou se a interrupção do seu serviço teria grandes consequências para a sociedade, a sua autoridade de supervisão pode designá-lo na mesma. Os prestadores de serviços de comunicação eletrónica pública e de serviços de confiança estão sujeitos independentemente da sua dimensão.
O oposto também se aplica. Os bancos e os mercados financeiros estão na prática sujeitos a DORA, o regulamento de resiliência digital para o setor financeiro. Isso é aplicado como regime especial. Se se identifica com isto, procure aconselhamento sobre o assunto.
Perguntas frequentes
Serei informado se estiver sujeito?
Não, e é a armadilha. Não vem nenhuma carta. Tem de estabelecê-lo você mesmo e registar-se você mesmo junto da autoridade de supervisão.
E se me enganar na avaliação?
Pensar equivocadamente que não está sujeito é o cenário mais caro: as multas chegam a dez milhões de euros ou dois por cento do faturamento global, e a administração é pessoalmente responsável. Se tem dúvidas, assuma que sim e deixe validar.
Isto aplica-se também à minha sucursal estrangeira?
A diretiva aplica-se em toda a UE, mas as obrigações surgem pela lei nacional de cada país, e não estão todas ao mesmo nível. Registra-se no país onde está estabelecido; em caso de várias sucursais pode ser em vários locais.
Esta é uma explicação, não um parecer sobre a sua situação. secria.eu não avalia a sua organização nem presta garantia.