A resposta breve
A indústria metalúrgica e de fabrico não está mencionada como tal nos anexos da Directiva NIS2. Isso não significa que o sector escape ileso. Parte da indústria de fabrico está abrangida pela directiva, nomeadamente onde a actividade coincide com um dos sectores mencionados — pense na fabricação de certos dispositivos médicos, máquinas, equipamentos eléctricos ou componentes de veículos, incluídos no Anexo II como sector produtivo. Uma empresa de construção comum ou um subcontratante de trabalhos de chapa metálica geralmente não se incluem nessa lista.
Se a sua empresa se enquadra exactamente nessa enumeração não é possível dizer à primeira vista: a directiva funciona com códigos NACE e descrições mais precisas do que "metal" ou "indústria de fabrico" como termo colectivo. Além disso, o tamanho e a posição na cadeia também têm um papel, e esses três factores devem ser considerados em conjunto antes de se chegar a uma conclusão. em algumas perguntas ver onde se situa a sua empresa fornece uma primeira orientação, sem que tenha de pesquisar todo o texto por si próprio.
Sector: que parte da indústria de fabrico é efectivamente mencionada
O Anexo I contém os sectores considerados "essenciais", como energia, água potável e transportes — as infraestruturas de utilidade pública clássicas. O Anexo II acrescenta sectores considerados "importantes", e parte da indústria de fabrico também se encontra aí: a fabricação de certos dispositivos médicos e testes de diagnóstico in vitro, computadores e produtos eletrónicos, equipamentos eléctricos, máquinas e aparelhos, e veículos e componentes de veículos. Um fornecedor que se enquadra exactamente nesse grupo de produtos pode portanto estar efectivamente sujeito à directiva, mesmo que a empresa nunca se tenha visto como "infraestrutura crítica".
Para empresas que estão fora dessa enumeração — pense em trabalho de metal geral, trabalho de chapa, trabalho de soldadura ou construção de estruturas sem um produto final específico mencionado — a condição sectorial não se aplica. Isso não exclui uma obrigação através da cadeia, e voltaremos a isso mais adiante.
Tamanho: o limite entre médio e grande
Se o sector se encaixa, o tamanho da empresa conta depois. A directiva utiliza a classificação europeia de micro, pequenas, médias e grandes empresas, baseada no número de funcionários em combinação com o volume de negócios ou o total do balanço. As pequenas e médias empresas estão geralmente fora da obrigação directa, com excepções que o legislador nacional pode especificar. Os limiares exactos e as eventuais excepções constam do texto da directiva e da transposição nacional; não inventamos esses números aqui, mas podem ser encontrados através da fonte oficial.
Para uma empresa familiar com quinze funcionários que se enquadra exactamente num grupo de produtos mencionado, o sector não é portanto uma obrigação automática — o tamanho pode ser decisivo para que não surja uma obrigação directa. Para o maior fabricante de máquinas exportador com centenas de funcionários, essa mesma classificação sectorial pode bem conduzir a uma obrigação.
Posição na cadeia: também afectado sem obrigação própria
A maior parte da indústria metalúrgica e de fabrico não é afectada pela lista de sectores, mas pelo cliente. Uma entidade essencial ou importante — uma empresa de energia, uma autoridade de água, um grande fabricante de equipamento médico — deve também avaliar sob a obrigação de diligência os riscos na sua própria cadeia de fornecimento. Isso traduz-se na prática em questionários de segurança, requisitos contratuais e por vezes um procedimento obrigatório para comunicar incidentes ao cliente, enquanto a empresa fornecedora está ela própria fora da lei. Quem como operador de CNC, empresa de soldadura ou fornecedor de componentes entrega a tal entidade, obtém as consequências mais cedo através do contrato do que através da própria lei. Como ler e responder a tal questionário é uma questão separada; a explicação por tema apresenta as situações mais comuns lado a lado.
Sistemas de produção conectados à rede
Uma razão pela qual os clientes na indústria de manufatura fazem perguntas específicas aqui é a ligação entre automação de escritório e produção. Máquinas, CLPs e linhas de produção que uma vez funcionavam isoladas estão agora conectadas, em muitas empresas, à mesma rede que o planeamento, a faturação e o correio eletrônico. Um cliente que avalia sua própria cadeia não olha apenas para os sistemas de escritório, mas também para como esses sistemas de produção estão protegidos, quem tem acesso a eles e o que acontece em caso de falha ou interrupção. Isso explica por que os questionários neste setor frequentemente vão além de "tem uma política de palavra-passe" e perguntam especificamente sobre segmentação de rede entre escritório e produção.
O que fazer se ainda não for claro
Como setor, tamanho e posição na cadeia são independentes uns dos outros, é bem possível que uma empresa metalúrgica não se enquadre precisamente em nenhum dos três, se enquadre em um ou em todos os três simultaneamente. Uma resposta inequívoca requer que coloque lado a lado o seu próprio código NACE, os últimos números anuais e uma visão geral dos principais clientes. como o resultado da verificação é alcançado mostra quais fontes são utilizadas para isso, incluindo a data em que foram consultadas. Para a sua situação própria e definitiva, um jurista ou a autoridade supervisora designada permanece como o interlocutor apropriado.
Quer ter uma primeira orientação para sua própria empresa sem dedicar meio dia: a verificação NIS2 é gratuita e pede apenas setor, tamanho e algumas questões sobre seus principais clientes. perguntas frequentes sobre NIS2 e a indústria de manufatura responde a várias questões que frequentemente surgem neste setor, antes mesmo de você precisar ligar.