O que exige a NIS2 \u00e0 dire\u00e7\u00e3o?<\/h2>\n
As obriga\u00e7\u00f5es da dire\u00e7\u00e3o est\u00e3o previstas no artigo 20.\u00ba da diretiva NIS2<\/a>, dedicado \u00e0 governa\u00e7\u00e3o, e foram transpostas para Portugal pelo Decreto-Lei n.\u00ba 125\/2025. Resumem-se a quatro deveres que recaem sobre os \u00f3rg\u00e3os de gest\u00e3o e que n\u00e3o podem passar para o respons\u00e1vel de IT.<\/p>\n A dire\u00e7\u00e3o tem de aprovar as medidas de ciberseguran\u00e7a que a empresa adota para cumprir o artigo 21.\u00ba da diretiva. Esse artigo fixa um m\u00ednimo comum<\/strong> que inclui, entre outros, os seguintes pontos.<\/p>\n Em Portugal, o Decreto-Lei n.\u00ba 125\/2025 concretiza estas medidas no seu Anexo III e organiza-as em tr\u00eas n\u00edveis de exig\u00eancia, consoante o perfil de risco e a criticidade de cada entidade.<\/p>\n Aprovar significa conhecer estas medidas e valid\u00e1-las de forma expl\u00edcita, com uma decis\u00e3o que fique registada. Assinar um documento sem o ler n\u00e3o chega<\/strong>. Se quiseres rever todos os requisitos com detalhe, tens uma checklist da NIS2<\/a> que os re\u00fane ponto por ponto.<\/p>\n Aprovar as medidas \u00e9 apenas o primeiro passo. A NIS2 pede tamb\u00e9m \u00e0 dire\u00e7\u00e3o que confirme que essas medidas s\u00e3o mesmo aplicadas<\/strong> no dia a dia.<\/p>\n Isto n\u00e3o obriga os administradores a entrar no detalhe t\u00e9cnico. O que se espera \u00e9 que recebam informa\u00e7\u00e3o sobre o estado da seguran\u00e7a com alguma regularidade, que fa\u00e7am perguntas quando algo n\u00e3o bate certo e que acompanhem as falhas detetadas at\u00e9 estarem corrigidas. Se a equipa de IT avisar que um ter\u00e7o dos port\u00e1teis n\u00e3o est\u00e1 encriptado, a dire\u00e7\u00e3o tem de saber e decidir o que fazer.<\/p>\n A diretiva determina que os \u00f3rg\u00e3os de gest\u00e3o possam ser responsabilizados quando a entidade n\u00e3o cumpre as obriga\u00e7\u00f5es do artigo 21.\u00ba<\/strong>. \u00c9 a parte que mais preocupa os gestores, porque abre a porta \u00e0 responsabilidade pessoal. Tens o detalhe mais abaixo, na sec\u00e7\u00e3o sobre responsabilidade pessoal.<\/p>\n O artigo 20.\u00ba, n.\u00ba 2, obriga os membros dos \u00f3rg\u00e3os de gest\u00e3o a frequentar forma\u00e7\u00e3o em ciberseguran\u00e7a<\/strong>. O objetivo \u00e9 que tenham conhecimentos suficientes para identificar os riscos, avaliar as pr\u00e1ticas de gest\u00e3o de riscos e perceber o impacto que t\u00eam nos servi\u00e7os da empresa.<\/p>\n A diretiva n\u00e3o exige um curso certificado nem fixa um n\u00famero de horas. O importante \u00e9 que a forma\u00e7\u00e3o exista, que se repita com alguma regularidade e que fique registada. Al\u00e9m disso, incentiva as empresas a dar uma forma\u00e7\u00e3o semelhante ao resto da equipa de forma peri\u00f3dica.<\/p>\n Estas obriga\u00e7\u00f5es aplicam-se apenas \u00e0 dire\u00e7\u00e3o das empresas abrangidas pela NIS2. Em regra, s\u00e3o m\u00e9dias e grandes empresas dos setores inclu\u00eddos nos anexos I e II da diretiva<\/strong>, embora algumas entidades fiquem abrangidas independentemente da sua dimens\u00e3o.<\/p>\n Se tiveres d\u00favidas sobre o teu caso, podes consultar o artigo sobre a quem se aplica a diretiva NIS2 em Portugal<\/a>.<\/p>\n A diretiva fala de \u00f3rg\u00e3os de gest\u00e3o sem entrar em cada tipo de sociedade. O Decreto-Lei n.\u00ba 125\/2025 refere-se aos \u00f3rg\u00e3os de gest\u00e3o, dire\u00e7\u00e3o e administra\u00e7\u00e3o<\/strong>, ou seja, aos \u00f3rg\u00e3os que t\u00eam poderes de gest\u00e3o estrat\u00e9gica e de representa\u00e7\u00e3o da empresa.<\/p>\n Numa sociedade an\u00f3nima, isso costuma corresponder ao conselho de administra\u00e7\u00e3o<\/strong> ou ao administrador \u00fanico<\/strong>. Numa sociedade por quotas, corresponde \u00e0 ger\u00eancia<\/strong>, isto \u00e9, aos gerentes que a representam.<\/p>\n Para efeitos de san\u00e7\u00f5es, a diretiva menciona tamb\u00e9m as pessoas singulares com fun\u00e7\u00f5es de dire\u00e7\u00e3o ao n\u00edvel de diretor-geral ou de representante legal<\/strong>. Por isso, o CEO e os quadros de gest\u00e3o de topo com poderes executivos tamb\u00e9m se devem sentir visados.<\/p>\n A NIS2 distingue entre entidades essenciais e entidades importantes<\/a>. As obriga\u00e7\u00f5es da dire\u00e7\u00e3o s\u00e3o as mesmas nos dois casos, mas a supervis\u00e3o e as san\u00e7\u00f5es mudam.<\/p>\n As entidades essenciais t\u00eam uma supervis\u00e3o proativa<\/strong>, com inspe\u00e7\u00f5es e auditorias mesmo que n\u00e3o tenha acontecido nada. As entidades importantes t\u00eam uma supervis\u00e3o reativa<\/strong>, que normalmente s\u00f3 arranca depois de um incidente ou de uma den\u00fancia. Em Portugal, essa supervis\u00e3o cabe ao Centro Nacional de Ciberseguran\u00e7a (CNCS) e \u00e0s autoridades setoriais. Al\u00e9m disso, a possibilidade de afastar temporariamente um gestor das suas fun\u00e7\u00f5es s\u00f3 est\u00e1 prevista para as essenciais.<\/p>\n Sim e n\u00e3o. A dire\u00e7\u00e3o pode delegar a execu\u00e7\u00e3o, mas a responsabilidade continua a ser sua. \u00c9 a ideia que mais conv\u00e9m ter clara, porque \u00e9 tamb\u00e9m a que gera mais confus\u00e3o.<\/p>\n A dire\u00e7\u00e3o n\u00e3o tem de tratar do trabalho t\u00e9cnico<\/strong>. Tudo o que \u00e9 operacional pode ficar nas m\u00e3os do CISO, da equipa de IT ou de um fornecedor externo, que s\u00e3o quem tem conhecimentos para o fazer.<\/p>\n A aprova\u00e7\u00e3o das medidas, a supervis\u00e3o da sua aplica\u00e7\u00e3o e a pr\u00f3pria forma\u00e7\u00e3o continuam a ser da dire\u00e7\u00e3o. Tamb\u00e9m n\u00e3o se podem delegar as decis\u00f5es de fundo, como que riscos se aceitam, quanto or\u00e7amento se dedica \u00e0 seguran\u00e7a ou que falhas se corrigem primeiro.<\/p>\n A lei portuguesa \u00e9 clara neste ponto. Segundo o Decreto-Lei n.\u00ba 125\/2025, a responsabilidade dos \u00f3rg\u00e3os de gest\u00e3o s\u00f3 pode ser delegada noutro titular desses mesmos \u00f3rg\u00e3os.<\/p>\n Delegar a execu\u00e7\u00e3o no respons\u00e1vel de seguran\u00e7a \u00e9 perfeitamente compat\u00edvel com a NIS2. O que a lei n\u00e3o aceita \u00e9 que a dire\u00e7\u00e3o se alheie do tema<\/strong>.<\/p>\n Com a NIS2, a ciberseguran\u00e7a deixa de ser um problema apenas da empresa. Se as coisas forem mal feitas, quem a gere tamb\u00e9m pode sofrer as consequ\u00eancias.<\/p>\n Um gestor n\u00e3o responde s\u00f3 porque a empresa sofreu um ciberataque. Responde quando n\u00e3o fez a sua parte<\/strong>, ou seja, quando n\u00e3o aprovou as medidas de seguran\u00e7a, n\u00e3o supervisionou a sua aplica\u00e7\u00e3o ou ignorou os problemas que lhe foram comunicados.<\/p>\n Em Portugal, o artigo 25.\u00ba do Decreto-Lei n.\u00ba 125\/2025 concretiza esta ideia. Os titulares dos \u00f3rg\u00e3os de gest\u00e3o podem ser responsabilizados a t\u00edtulo individual por a\u00e7\u00e3o ou omiss\u00e3o, quando atuem com dolo ou culpa grave.<\/p>\n Por isso \u00e9 t\u00e3o importante conseguir demonstrar que a dire\u00e7\u00e3o acompanhou o tema de perto.<\/p>\n As consequ\u00eancias dependem do tipo de empresa e da gravidade do incumprimento.<\/p>\n Podes ver mais informa\u00e7\u00e3o sobre tudo isto no artigo sobre as san\u00e7\u00f5es por incumprimento da diretiva NIS2<\/a>.<\/p>\n Portugal j\u00e1 transp\u00f4s a NIS2 para a legisla\u00e7\u00e3o nacional<\/strong>. F\u00ea-lo atrav\u00e9s do Decreto-Lei n.\u00ba 125\/2025, de 4 de dezembro, que aprovou o novo Regime Jur\u00eddico da Ciberseguran\u00e7a e que est\u00e1 em vigor desde 3 de abril de 2026. Podes ver o calend\u00e1rio completo no artigo sobre quando entra em vigor a diretiva NIS2 em Portugal<\/a>.<\/p>\n Para a dire\u00e7\u00e3o, a lei portuguesa traz tr\u00eas pontos a ter em conta.<\/p>\n O CNCS tem vindo a publicar a regulamenta\u00e7\u00e3o que concretiza estas obriga\u00e7\u00f5es, por isso conv\u00e9m acompanhar as suas orienta\u00e7\u00f5es de perto.<\/p>\n Al\u00e9m disso, os gestores j\u00e1 tinham deveres em mat\u00e9ria de ciberseguran\u00e7a antes desta lei. O C\u00f3digo das Sociedades Comerciais exige-lhes a dilig\u00eancia de um gestor criterioso e ordenado. Se um ciberataque causar danos e se provar que a dire\u00e7\u00e3o ignorou os riscos ou os avisos da sua equipa, pode acabar por responder por isso, esteja ou n\u00e3o a empresa abrangida pela NIS2.<\/p>\n A forma mais pr\u00e1tica de cumprir o artigo 20.\u00ba \u00e9 transformar a supervis\u00e3o da ciberseguran\u00e7a numa rotina de governa\u00e7\u00e3o<\/strong>, tal como a revis\u00e3o das contas ou dos riscos financeiros. Estes s\u00e3o os passos b\u00e1sicos.<\/p>\n Define quem trata da seguran\u00e7a no dia a dia<\/strong>, com que autoridade e com que recursos. Pode ser um CISO, um respons\u00e1vel de IT ou um fornecedor externo, mas o seu papel e a forma como presta contas \u00e0 dire\u00e7\u00e3o t\u00eam de estar documentados.<\/p>\n Em Portugal, este passo est\u00e1 ligado \u00e0 obriga\u00e7\u00e3o de designar o respons\u00e1vel de ciberseguran\u00e7a prevista no Decreto-Lei n.\u00ba 125\/2025. Muitas empresas criam tamb\u00e9m um comit\u00e9 de ciberseguran\u00e7a<\/strong> ou incluem o tema como ponto fixo na ordem de trabalhos do conselho de administra\u00e7\u00e3o.<\/p>\n Para supervisionar, a dire\u00e7\u00e3o precisa de informa\u00e7\u00e3o clara e regular. O mais pr\u00e1tico \u00e9 pedir um relat\u00f3rio trimestral, sem tecnicismos e com alguns indicadores simples como estes.<\/p>\n Para que estes indicadores sejam fi\u00e1veis, a empresa precisa primeiro de saber o que tem. \u00c9 aqui que entra o invent\u00e1rio de ativos na NIS2<\/a>, que \u00e9 a base de quase qualquer relat\u00f3rio de seguran\u00e7a.<\/p>\n As medidas de seguran\u00e7a precisam de or\u00e7amento, tempo e pessoas. Se a dire\u00e7\u00e3o as aprovar sem lhes dar recursos, o problema continua a ser seu.<\/p>\n A boa not\u00edcia \u00e9 que a NIS2 n\u00e3o exige o mesmo a todas as empresas. As medidas t\u00eam de se ajustar \u00e0 dimens\u00e3o e ao risco de cada uma, por isso uma PME n\u00e3o precisa de investir como um banco. O importante \u00e9 que a dire\u00e7\u00e3o decida o que \u00e9 razo\u00e1vel e o deixe por escrito.<\/p>\n Isto inclui os fornecedores e as aplica\u00e7\u00f5es SaaS que a tua equipa usa<\/a>, que tamb\u00e9m fazem parte do risco da empresa.<\/p>\n Se houver uma inspe\u00e7\u00e3o, n\u00e3o basta dizer que a dire\u00e7\u00e3o supervisionou. \u00c9 preciso conseguir prov\u00e1-lo.<\/p>\n Por isso, conv\u00e9m guardar tudo o que deixe rasto dessa supervis\u00e3o. As atas onde se aprovam as medidas, os relat\u00f3rios que a dire\u00e7\u00e3o analisou, as decis\u00f5es sobre riscos e or\u00e7amento e os registos de forma\u00e7\u00e3o dos seus membros. Com estes documentos, qualquer inspetor consegue ver que a dire\u00e7\u00e3o fez a sua parte.<\/p>\n \u00c9 tamb\u00e9m a mesma documenta\u00e7\u00e3o que te v\u00e3o pedir numa auditoria NIS2<\/a>. Quanto mais cedo come\u00e7ares a produzi-la, menos trabalho ter\u00e1s quando chegar a altura.<\/p>\n A dire\u00e7\u00e3o s\u00f3 consegue supervisionar bem se tiver dados claros e atualizados. O problema \u00e9 que, em muitas empresas, essa informa\u00e7\u00e3o est\u00e1 espalhada por folhas de c\u00e1lculo, emails e ferramentas diferentes, e reuni-la leva horas.<\/p>\n O Factorial IT<\/a> junta dispositivos, acessos e aplica\u00e7\u00f5es numa \u00fanica plataforma ligada aos RH. Assim, a equipa de IT tem sempre \u00e0 m\u00e3o o estado real da seguran\u00e7a e pode partilh\u00e1-lo com a dire\u00e7\u00e3o sem ter de o procurar de cada vez.<\/p>\n Ainda assim, a ferramenta fornece os dados e as evid\u00eancias, mas aprovar as medidas, decidir os recursos e deixar tudo registado em ata continua a ser tarefa da dire\u00e7\u00e3o. Se quiseres ver todos os requisitos que cobre, podes ler como \u00e9 que o Factorial IT ajuda a cumprir a NIS2<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"Aprovar as medidas de gest\u00e3o de riscos<\/h3>\n
\n
Supervisionar a aplica\u00e7\u00e3o das medidas<\/h3>\n
Responder pelos incumprimentos<\/h3>\n
Ter forma\u00e7\u00e3o em ciberseguran\u00e7a<\/h3>\n
A que gestores se aplica?<\/h2>\n
Quem faz parte dos \u00f3rg\u00e3os de gest\u00e3o<\/h3>\n
Entidades essenciais e importantes<\/h3>\n
A dire\u00e7\u00e3o pode delegar a NIS2?<\/h2>\n
O que se pode delegar<\/h3>\n
\n
O que n\u00e3o se pode delegar<\/h3>\n
Que responsabilidade pessoal assumem os gestores?<\/h2>\n
Quando \u00e9 que um gestor responde<\/h3>\n
O que pode acontecer<\/h3>\n
\n
NIS2 e a dire\u00e7\u00e3o em Portugal<\/h2>\n
\n
Como cumprir a NIS2 a partir da dire\u00e7\u00e3o?<\/h2>\n
1. Atribuir responsabilidades por escrito<\/h3>\n
2. Receber informa\u00e7\u00e3o peri\u00f3dica sobre riscos e incidentes<\/h3>\n
\n
3. Dedicar recursos proporcionais ao risco<\/h3>\n
4. Deixar registo documental da supervis\u00e3o<\/h3>\n
Como supervisionar a ciberseguran\u00e7a com o Factorial IT?<\/h2>\n
\n
![\"gest\u00e3o](\"https:\/\/factorialhr.pt\/wp-content\/uploads\/2026\/09\/14121148\/gestion-activos-factorial-it-1024x505.png\")
<\/p>\n\n
![\"controlos](\"https:\/\/factorialhr.pt\/wp-content\/uploads\/2026\/09\/18140225\/controles-factorial-it-1024x500.png\")
<\/p>\n\n