qual é a diferença entre uma entidade essencial e uma entidade importante

Supervisão mais rigorosa para entidades críticas, mais leve para entidades importantes

A diferença não está nas obrigações em si, mas na supervisão sobre elas. Entidades críticas e entidades importantes têm a mesma obrigação de diligência, a mesma obrigação de registo e a mesma obrigação de notificação em caso de incidente. A distinção surge do setor em que uma organização opera e da dimensão dessa organização — em conjunto, determinam se uma organização é classificada como crítica ou importante. Entidades críticas provêm geralmente de setores considerados mais vulneráveis ou criticamente importantes para a sociedade, como energia, abastecimento de água potável ou infraestrutura digital, e são frequentemente as organizações maiores dentro desses setores. Entidades importantes situam-se em setores classificados com um pouco menos de peso, ou são organizações menores dentro de um setor de maior peso.

A consequência prática situa-se principalmente na supervisão: entidades críticas podem estar sujeitas a supervisão ativa e contínua, enquanto nas entidades importantes a supervisão é mais reativa — isto é, após uma notificação ou indicação de que algo não está correto. Para um empresário que se questiona sobre em que categoria se situa a sua própria organização, é uma questão separada estabelecer primeiro se há sequer uma obrigação de conformidade com a lei; quem ainda não o sabe, pode começar em como faço para saber se minha empresa está sujeita à Diretiva (EU) 2022/2555. O setor em que uma organização opera é uma das principais abordagens, e esses setores estão enumerados na página sobre quais setores estão sujeitos à Diretiva (EU) 2022/2555.

De onde vem esta distinção

A distinção entre crítica e importante resulta da classificação setorial e dos critérios de dimensão da Diretiva NIS2, e foi desenvolvida em Portugal através da transposição nacional dessa diretiva. A obrigação de diligência que se aplica a ambas as categorias está estabelecida no artigo 21.º, n.º 2 da Diretiva, com as dez medidas que daí resultam. As autoridades nacionais competentes fornecem orientações sobre como essa obrigação de diligência e a obrigação de notificação funcionam na prática.