A minha empresa está sujeita à NIS2?
Se a sua empresa se enquadra ou não na Diretiva NIS2 depende de duas coisas: o setor em que atua e o tamanho da sua organização. A diretiva identifica em dois anexos os setores que considera importantes para a sociedade ou a economia, desde energia e transportes até infraestrutura digital e gestão de águas residuais. Se a sua empresa atua num desses setores E dentro do tamanho que a diretiva estabelece, é provável que seja uma entidade 'essencial' ou 'importante', com todas as obrigações correspondentes.
Mas a resposta não fica por aqui. Muitas mais empresas ficam fora do âmbito setorial e de tamanho, mas recebem as exigências mesmo assim: como fornecedora, instaladora ou prestadora de serviços de uma empresa que é obrigada. Essas organizações obrigadas devem avaliar a sua própria cadeia de fornecimento, o que se traduz em questionários e cláusulas contratuais junto a empresas que nunca precisam registar-se com uma autoridade supervisora.
Setor: anexo I e II
A diretiva enumera setores em dois anexos. O anexo I menciona os setores considerados essenciais: entre outros, energia, transportes, banca, água potável, infraestrutura digital e administração pública. O anexo II menciona setores considerados importantes, como serviços postais e de correio, gestão de resíduos, química, alimentação e determinados serviços digitais. Uma empresa de instalação, um prestador de serviços de TI ou uma consultoria geralmente não aparecem com o nome próprio nesses anexos, mas as descrições são mais amplas do que o nome sugere. Quem tem dúvidas se a sua atividade se enquadra num desses setores deveria ler a descrição no texto oficial em si, não apenas o nome do setor.
Tamanho: quando a sua empresa conta
Além do setor, a diretiva tem em consideração o tamanho da organização, usando a classificação comum da UE para pequenas, médias e grandes empresas com base no número de colaboradores e no volume de negócios ou total do balanço. Para a maioria dos setores, quanto maior a empresa, mais provável é enquadrar-se no âmbito. Existem também exceções em que o tamanho importa menos, por exemplo quando uma organização é a única fornecedora de um determinado serviço num país. Essas exceções estão descritas com precisão na diretiva e na lei nacional que a transpõe; uma avaliação exata para a sua situação específica depende de si, do seu jurista ou da autoridade supervisora.
O maior grupo fica fora, mas recebe as exigências mesmo assim
A parte da diretiva que atrai mais atenção diz respeito às obrigações de gestão de risco: as organizações obrigadas devem adotar medidas apropriadas e avaliar também os seus fornecedores. É precisamente aí que o maior grupo de empresas se vê confrontado. Uma empresa de instalação que mantém sistemas de gestão de edifícios para uma empresa de energia, uma empresa de limpeza que trabalha para um hospital, ou um parceiro de TI de uma câmara municipal: nenhum deles precisa registar-se, mas todos podem receber um questionário. Na prática, isso é frequentemente chamado 'afetado pela cadeia': você não se enquadra na diretiva, mas um cliente que se enquadra pede-lhe que comprove que a sua segurança está em ordem.
Se isto se aplica à sua empresa depende de quem são seus clientes e o quanto é importante o seu serviço para eles. É difícil de avaliar sem uma visão geral do setor, do tamanho e do papel na cadeia ao mesmo tempo. Em poucas perguntas vê onde a sua empresa se situa aproximadamente, com uma explicação de porquê e uma sugestão para o próximo passo.
Instituições financeiras: uma regulação separada
Bancos, seguradoras e outras instituições financeiras não se enquadram na NIS2, mas sim numa regulação separada sobre resiliência operacional digital, direcionada especificamente ao setor financeiro. Quem atua nesse setor costuma reconhecer isso já na primeira pergunta de triagem sobre o setor.
O que fazer se a resposta não for clara
Setor e tamanho em conjunto dão uma boa indicação inicial, mas a linha exata entre 'essencial', 'importante', 'afetado pela cadeia' e 'não afetado' requer uma análise personalizada. A base de conhecimento com todos os tópicos por situação fornece uma explicação para cada conceito e refere a localização no texto oficial. Se ainda tiver dúvidas após a leitura, um jurista ou a autoridade reguladora do seu país é a entidade apropriada para avaliar sua situação específica; secria.eu não se pronuncia deliberadamente sobre isso.
Deseja primeiro saber de onde vêm as informações nesta plataforma e como são mantidas atualizadas? Leia aqui como mantemos as fontes. A resposta a questões práticas sobre o uso da plataforma encontra-se em o resumo de perguntas frequentes.
A resposta breve à pergunta 'minha empresa está abrangida pela NIS2' obtém-se, portanto, colocando lado a lado o setor, o tamanho e o papel na cadeia de abastecimento. Faça a verificação gratuita e leia a base de conhecimento; já lhe proporcionam, sem necessidade de conta, uma primeira visão bem fundamentada de onde a sua empresa se situa.