Registar junto à autoridade supervisora: como funciona?
Quem se enquadra na Diretiva NIS2 como entidade essencial ou importante deve registar-se junto à autoridade supervisora nacional. Isso ocorre através de um portal que a autoridade supervisora estabelece para esse fim, contendo dados sobre a sua organização, os seus contactos e os serviços que presta. Não há carta que o recorde disso: a obrigação de registar-se recai sobre a organização, não sobre a autoridade supervisora para o localizar.
Isto último surpreende muitas direções. Com outras obrigações — uma licença, uma declaração anual — frequentemente recebe um sinal da própria autoridade. Com a obrigação de registar nos termos da Lei de Cibersegurança, funciona de forma inversa: a autoridade supervisora não sabe inicialmente quais as organizações que se enquadram na lei, e portanto depende da sua própria avaliação e ação.
Que dados são solicitados
O registo solicita normalmente dados de identificação da organização, como o nome, o número de identificação de pessoa coletiva e o endereço, complementados com o setor e a atividade sob a qual se enquadra na lei. Além disso, solicitam-se um ou mais contactos que a autoridade supervisora possa alcançar, com nome, número de telefone e endereço de e-mail — estas são muitas vezes pessoas diferentes do contacto comercial habitual, pois trata-se de contactabilidade em caso de incidente. Também os sistemas de rede e informação ou serviços relevantes para a qualificação como essencial ou importante, e por vezes os Estados-Membros em que presta serviços, fazem parte da imagem que a autoridade supervisora deseja obter.
Os campos precisos e o layout do formulário diferem por país, uma vez que cada Estado-Membro transpõe a diretiva na sua própria legislação nacional e a autoridade supervisora estabelece o portal. O que é solicitado na Holanda não precisa corresponder um-a-um com o que uma autoridade supervisora noutro país solicita a uma filial lá.
Por que não há carta
A obrigação de registar foi concebida como uma obrigação da organização, não como um convite do governo. A autoridade supervisora não dispõe, no início da lei, de uma lista completa de quem está ativo onde e sob qual limite se enquadra — essa informação deve vir do próprio setor. Isto é comparável a como funciona um registo na câmara comercial ou uma declaração de IVA: a responsabilidade de agir a tempo recai sobre o empresário, mesmo que ninguém envie um lembrete.
Para muitas PME afetadas através da cadeia de fornecimento, isto de qualquer forma não se coloca: apenas as entidades essenciais e importantes têm uma obrigação de registar. Empresas que apenas recebem um questionário de segurança de um cliente que efetivamente se enquadra na lei não se registam junto à autoridade supervisora. Se a sua organização está no primeiro ou no segundo grupo nem sempre é imediatamente claro; em algumas questões vê onde a sua organização se situa oferece uma primeira direção nesse sentido, com uma explicação por resultado.
Quando registar
A lei nacional determina dentro de que prazo e a partir de que momento uma organização deve registar-se depois de se qualificar como essencial ou importante. Esses prazos constam da transposição nacional da diretiva e do sítio Web da própria autoridade supervisora, e podem mudar à medida que a legislação é desenvolvida. Para a situação atual, deve contactar a autoridade supervisora competente ou um jurista, não um artigo geral — uma mudança no sítio ou um comunicado da autoridade supervisora é o que orienta neste ponto, não uma data que está guardada em algum lugar.
O que a secria.eu faz e não faz no registo
A plataforma ajuda você a preparar o texto e os dados que precisa para preencher o formulário de registro: quais pessoas de contato você deve fornecer, qual descrição de setor e atividade se alinha com a forma como a autoridade reguladora categoriza, e qual fundamentação está por trás da qualificação. O que definitivamente não faz é apresentar em seu nome. Você deve apresentar pessoalmente no portal de sua autoridade reguladora; secria.eu prepara o texto, você o envia. Como essa preparação é feita e quais fontes são usadas está explicado em a página sobre como as informações são produzidas.
Dúvida sobre sua própria situação
Se e quando o registro é necessário para sua organização depende do setor em que você atua, do tamanho de sua organização e da lei nacional que se aplica a você. Essa não é uma questão que um único artigo geral pode responder para sua situação específica; para isso, a autoridade reguladora competente ou um jurista é o interlocutor apropriado. Perguntas práticas frequentes sobre registro, obrigação de notificação e o papel dos fornecedores estão compiladas em a página com perguntas frequentes.
Gostaria primeiro de um resumo de todos os tópicos sobre a Diretiva NIS2 e a Lei de Segurança Cibernética, desde a classificação de setores até as dez medidas de gestão de risco? Você a encontra, selecionada por situação, em a página de resumo com todos os tópicos. E se você ainda não sabe se o registro é necessário para você, a verificação rápida gratuita é o primeiro passo mais rápido para obter clareza sobre isso.