Leu em algum lugar que as multas da NIS2 podem chegar a dez milhões de euros ou dois por cento do volume de negócios, e está a questionar-se se isso o pode atingir. A resposta breve: esses valores estão de facto na diretiva, mas destinam-se a entidades essenciais e importantes — organizações que próprias se enquadram na NIS2, com obrigações de gestão de riscos, de registo e de notificação de incidentes. Se a sua empresa não se enquadra nessa categoria, mas fornece a uma dessas organizações, uma multa não é o risco que o deve preocupar.
O risco que o pode atingir mais rapidamente é mais prático e concreto: um cliente que próprio se enquadra nas obrigações de gestão de riscos tem de avaliar os seus fornecedores. Se não conseguir responder ao questionário ou demonstrar que cumpre os requisitos contratuais, o resultado não é geralmente uma multa, mas sim a perda do contrato. Esse processo costuma levar semanas, não anos.
Para quem a multa é realmente destinada
A diretiva orienta a aplicação da lei para as organizações que próprias estão sujeitas a obrigações: as entidades essenciais e importantes dos setores do anexo I e II. Para estas, a lei nacional — em Portugal a Lei de Cibersegurança — define como a autoridade competente atua se as obrigações de gestão de riscos ou de notificação de incidentes não foram cumpridas. Se não está próprio sujeito a obrigações mas fornece a uma dessas entidades, não é parte nesse processo de aplicação da lei. Sente bem o impacto da diretiva, mas através dos requisitos contratuais do seu cliente, não através de uma decisão de multa em seu nome. Se tem dúvidas sobre se a sua organização própria se enquadra na lei, pode esclarecê-lo com algumas perguntas através de a avaliação que traça a sua situação em alguns passos.
Os valores mencionados na diretiva
A diretiva indica valores máximos para entidades essenciais e importantes, com um limite superior para entidades essenciais do que para importantes. Trata-se sempre do maior de um valor fixo ou de uma percentagem do volume de negócios anual mundial — portanto, não automaticamente o valor completo em cada infração. A forma como a autoridade competente pondera num caso concreto, e qual o valor efetivamente imposto, não está definido na diretiva e depende da autoridade competente. Deliberadamente não fazemos previsões sobre isso; o que a diretiva e a lei nacional dizem exatamente pode consultar através do texto oficial e das publicações da autoridade competente.
Por que o contrato vem antes da multa
Um processo de multa normalmente só começa após sinais, investigação e uma oportunidade de correção — isso demora tempo. Um departamento de compras que envia um questionário de segurança não espera por isso. Se a resposta está em falta ou incompleta, a encomenda é muitas vezes simplesmente atribuída a outro fornecedor, ou recebe um prazo de remediação que deve cumprir. Isto torna a conversação com o seu cliente mais urgente do que a questão de uma multa vir a ser considerada. Mais detalhes sobre o que há por trás de um questionário desse tipo, pode ler em a visão geral dos tópicos que foram desenvolvidos para cada situação.
O que isto significa se está na cadeia de fornecimento
Se não está próprio sujeito a obrigações mas é fornecedor de uma organização que está sujeita, a questão não é se uma multa o ameaça, mas se pode demonstrar que tem as medidas solicitadas implementadas. Trata-se de documentação, um responsável por cada medida e uma resposta que não precisa reinventar cada vez. Quem o tiver documentado uma vez, responde ao próximo questionário com muito menos esforço. As perguntas frequentes sobre o que pode ser solicitado ou não estão compiladas em a página com perguntas frequentes.
Se próprio está classificado como essencial ou importante, a multa funciona como última sanção, mas a obrigação de gestão de riscos é o trabalho real: implementar medidas, documentá-las e poder demonstrá-las. Como esse processo é estruturado e de onde vêm as informações neste site está explicado em a página que explica como a plataforma funciona.
Quer saber se a sua organização própria se enquadra na NIS2, ou apenas é atingida através de um cliente? Faça a avaliação NIS2 gratuita, ou leia primeiro a base de conhecimento — ambas são acessíveis sem conta de utilizador.