KSC/NIS2 polaco para fornecedores de TI: avaliação e registo de ações

Um cliente pergunta se o seu negócio de TI se enquadra no NIS2 e onde guarda evidências de trabalho de segurança. Responda documentando a organização, a jurisdição aplicável e a base para a avaliação. Em seguida, atribua as ações a seguir. O rótulo de uma empresa como “software house” não estabelece sua classificação legal e um questionário preenchido não substitui uma decisão revisada.

Este guia diz respeito à legislação KSC da Polónia que implementa a NIS2. As traduções tornam o mesmo guia jurídico polaco acessível em outras línguas; eles não transformam suas datas em prazos para outro país. Verifique a legislação nacional aplicável onde sua organização opera. O processo aqui descrito é um método de trabalho editorial, separado dos requisitos legais das fontes abaixo.

Comece com a empresa que realmente fornece o serviço

Anote a pessoa jurídica, suas atividades, clientes e serviços. Distinguir o desenvolvimento de software para um cliente da operação de um serviço gerenciado ou do fornecimento de outro tipo de serviço de TIC. A atividade e os critérios legais são mais importantes do que o nome utilizado em um site. Inclua o papel da entidade num grupo e quaisquer relacionamentos relevantes para avaliar o seu tamanho.

Dê um proprietário a este registo. O proprietário coleta informações comerciais e organiza a revisão por pessoas com o conhecimento jurídico e técnico necessário. Um gerente de segurança pode compreender sistemas, mas precisa de finanças ou gerenciamento para confirmar relacionamentos de grupo. Um executivo pode conhecer o contrato, mas precisa de uma descrição técnica do que é operado para os clientes. A avaliação necessita de ambos os tipos de informação.

Mantenha as informações de origem com a decisão. Uma conclusão sem a descrição da actividade, a base de dimensão e a disposição aplicável torna-se difícil de rever após uma mudança de negócio. Se um fato for desconhecido, registre a lacuna e a pessoa que irá resolvê-la. Não escolha uma resposta simplesmente porque ela produz um resultado mais conveniente em um verificador.

Use o verificador como uma avaliação inicial

O verificador público KSC/NIS2 da Pulsar pergunta sobre atividades, tamanho e relacionamentos da empresa e produz uma avaliação inicial do escopo, prazos e uma lista de verificação de evidências. A descrição publicada diz que as respostas ficam no navegador e o resultado pode ser impresso. Inspecione as perguntas atuais e os resultados antes de confiar nessa descrição em seu processo.

Responda usando a entidade e as atividades que você documentou. Se uma pergunta depender do tamanho do grupo ou de uma categoria de atividade que você não consegue resolver, salve a pergunta para revisão. Registre a data e a versão da avaliação, quando disponível, juntamente com a fonte legal utilizada. O resultado deverá ajudar a identificar o que investigar e documentar; não é uma qualificação legal vinculativa.

Leia as explicações ao lado do resultado. Uma conclusão potencialmente abrangida deverá conduzir a uma revisão e não a uma declaração automática de conformidade. Um resultado aparentemente fora do escopo também deve permanecer vinculado aos fatos fornecidos. Pode mudar se a empresa começar a operar um novo serviço, adquirir outra entidade ou alterar as suas relações.

Trate a data de inscrição de outubro como um prazo vencido

Em 10 de outubro de 2026, 3 de outubro de 2026 já passou. As orientações publicadas pelo governo polaco identificam essa data de registo para entidades que cumprem os critérios legais no momento em que a alteração entrou em vigor. Também identifica 3 de abril de 2027 para conexão ao S46 e implementação de obrigações específicas nesse grupo. Leia as condições legais e as orientações governamentais atuais para a situação que se aplica à sua entidade.

Se o prazo de registo anterior aplicado à sua organização e o registo não tiver sido concluído, registre o problema com precisão e providencie uma revisão imediata da ação necessária. Não apresentar a data como tempo ainda disponível, inferir carência ou alterá-la para que o artigo pareça atual. Seu registo de ação deve conter a base aplicável e a situação atual real.

As entidades cujas circunstâncias diferem necessitam da sua própria avaliação do calendário aplicável. Não copie uma data em cada ação porque o verificador a exibe para um cenário específico. Um registo deve mostrar qual suposição produziu o prazo. Quando persistir uma questão jurídica, atribua-a ao revisor qualificado e mantenha a incerteza visível até ser resolvida.

Converta a avaliação em um pequeno registo de ação

Comece com um conjunto limitado de ações apoiadas pela avaliação revisada. Cada ação precisa de um propósito, proprietário, data de vencimento, evidências esperadas e um revisor quando apropriado. Evite uma longa lista que reproduza legislação sem identificar o próximo trabalho. A equipa deverá saber o que deve acontecer nesta semana e qual decisão aguarda informações.

Separar as ações de avaliação das ações de implementação. Confirmar que o negócio atende a um critério é diferente de alterar um procedimento de incidente. Preparar um documento é diferente de adotá-lo e utilizá-lo. O registo, a ligação técnica e o funcionamento de um processo de gestão de segurança da informação também têm saídas distintas. Uma única tarefa “NIS2 concluída” esconde essas diferenças.

Use nomes que expliquem o resultado. “Revisar o escopo do serviço gerenciado em relação à provisão aplicável” é mais útil do que “análise NIS2”. “Aprovar o procedimento de escalonamento de incidentes e realizar um ensaio” é mais útil do que “política de segurança”. A redação ajuda o revisor a julgar a conclusão com base nas evidências e não na confiança do autor.

Um exemplo sintético para um serviço de TI gerenciado

Consideremos um fornecedor de TI polaco fictício que desenvolve aplicações e também opera um serviço gerido para clientes. Sua gestão deseja documentar a avaliação do escopo e melhorar a forma como as ações de incidentes são atribuídas. Este exemplo não afirma que todas as empresas com essas atividades se enquadram no KSC; a sua classificação continua a ser uma tarefa a analisar em função dos critérios aplicáveis.

Crie um registo de requisito contendo a referência da fonte e a explicação de aplicabilidade revisada. Vincule um risco que descreve uma rota de escalonamento pouco clara e uma ação para revisar essa rota. Nomear o responsável pela preparação do procedimento, quem o analisa e a data da revisão. Mantenha a versão do documento de origem junto com o registo para que outra pessoa possa reconstruir a base.

Como prova, use um extrato de procedimento fictício e uma nota de ensaio. Identifique ambos como sintéticos. O exercício deve mostrar as relações de registo sem expor contratos de clientes ou dados de incidentes. O resultado é um exemplo prático de gerenciamento de requisitos, ações e evidências, e não uma evidência de que a organização fictícia ou real cumpre todas as obrigações legais.

Revise o que as evidências realmente demonstram

Um procedimento carregado demonstra que um documento estava disponível em uma versão específica. Um registo de revisão pode demonstrar quem considerou isso e que decisão tomou. Uma nota de ensaio pode mostrar o que aconteceu no exercício definido. Esses registos respondem a perguntas diferentes, e nenhum deve substituir silenciosamente todos os outros.

Peça ao revisor para verificar as evidências em relação ao critério de aceitação da ação. O novo procedimento nomeia proprietários e substitutos do escalonamento? O ensaio revelou a falta de um contato? Essa lacuna foi atribuída e resolvida? Caso o resultado esperado não seja demonstrado, mantenha a ação aberta ou solicite o próximo passo ao invés de fechá-la porque há um ficheiro anexado.

Armazene exceções junto com o resultado principal. Uma ação tardia, uma interpretação não resolvida ou uma dependência de fornecedor podem ser relevantes para a decisão da administração. Mantê-los visíveis apoia o planeamento e a responsabilização. Removê-los do registo para produzir uma porcentagem mais limpa torna o relatório menos útil precisamente quando a organização precisa dele.

Abordar dependências de fornecedores e clientes

Revise as partes do seu serviço que dependem de outra organização. Identifique o serviço, a responsabilidade, o contrato e as informações necessárias durante um incidente. O certificado de um fornecedor pode ser relevante, mas não responde a todas as perguntas sobre o serviço específico que sua empresa utiliza. Verifique o relacionamento e as evidências aplicáveis ​​ao seu escopo.

Os clientes podem impor condições de segurança através de contratos, mesmo quando uma classificação legal específica não se aplica à sua entidade. Registre esses requisitos contratuais separadamente dos deveres legais. Isso mantém a fonte e o revisor claros e evita que um questionário do cliente seja apresentado como legislação.

Para o exercício sintético, crie uma pergunta do fornecedor com um proprietário e uma resposta esperada. Seja específico: que rota de contato e responsabilidade se aplicam a um incidente que afeta o serviço gerenciado? Não envie a pergunta a um fornecedor real como parte de uma demonstração. O exemplo pode ser completado com documentos fictícios e revisado de acordo com o critério declarado.

Mantenha as avaliações de CRA e de segurança organizacional separadas

Um fornecedor de TI também pode desenvolver um produto que necessite de uma avaliação do escopo CRA. Esta questão diz respeito ao produto, à distribuição e aos elementos digitais relevantes, incluindo as condições para o tratamento remoto de dados. KSC/NIS2 diz respeito ao contexto organizacional e de serviço aplicável. Mantenha as avaliações vinculadas quando for útil, mas mantenha suas diferentes bases.

Isso é importante quando um cliente faz uma pergunta ampla sobre “conformidade cibernética”. A resposta deve identificar qual produto ou entidade está sendo avaliada e qual lei prevê o requisito. Uma ferramenta que armazena ambos os registos não faz de uma avaliação uma resposta à outra. Atribua a revisão a alguém que possa avaliar o escopo específico.

Revisite os registos quando o negócio mudar. Um novo serviço gerenciado, aquisição, componente de produto ou mudança operacional significativa pode tornar obsoletas as premissas anteriores. Dê à avaliação um gatilho de revisão em vez de tratar o resultado de um verificador salvo como uma isenção ou certificação permanente.

Use o Pulsar para inspecionar uma obra completa

A oferta pública da Pulsar GRC descreve requisitos, riscos, controles, ações, documentos e evidências com responsabilidades e histórico de revisão. Inicie o teste com o requisito sintético e a ação acima. Use a interface atual e os guias de módulo; os nomes dos menus podem mudar, portanto as verificações importantes são os relacionamentos salvos e o registo resultante.

Abra o requisito, a ação vinculada e a evidência após salvar. Verifique o proprietário, data de vencimento, fonte e versão. Peça a uma pessoa autorizada que analise o resultado no processo disponível. Se um registo permanecer como rascunho ou aguardar aprovação, preserve esse status. A preparação do material não ativa um requisito nem conclui uma revisão automaticamente.

Finalize lendo um relatório ou exporte no escopo disponível. A administração consegue ver a interpretação aberta, o ensaio concluído e a questão não resolvida do fornecedor? Um teste útil produz um fragmento de trabalho inspecionável. Não apresenta registo estatutário, não vincula a organização ao S46 nem emite parecer jurídico.

Tome uma decisão versionada utilizável seis meses depois

Crie um índice de evidências simples para o exercício sintético. Inclua a descrição do negócio utilizada para a avaliação, a fonte de fornecimento, o resultado da avaliação, a decisão de revisão e os registos da ação. Cada item precisa de uma data e uma versão ou outro identificador que permita a um colega distingui-lo de um rascunho anterior. Não coloque todas as cópias de trabalho no índice sem mostrar qual delas apoia a decisão.

Use o índice para responder a uma pergunta específica de gestão: por que atribuímos esta ação e que informações estavam disponíveis quando a atribuímos? Uma revisão posterior do procedimento não deverá apagar essa base. Se a organização alterar o seu modelo de serviço, registe a nova avaliação e associe-a à conclusão anterior. A história explica o que mudou em vez de deixar duas respostas contraditórias e inexplicáveis.

Para uma fonte que requer interpretação especializada, preserve a pergunta e a revisão qualificada. Um resumo gerado por uma ferramenta pode ajudar a localizar o material, mas não pode substituir silenciosamente a fonte ou o raciocínio do revisor. Se o resumo e a fonte forem diferentes, corrija o resumo e registre a decisão que você usará. O índice de evidências deve ajudar o próximo revisor a identificar essa discrepância sem precisar pesquisar uma caixa de correio inteira.

Faça um breve ensaio de escalada

Escolha um incidente fictício que afete o serviço gerenciado fora do horário normal de expediente. O exercício começa com uma notificação sintética e termina com um registo interno da decisão. Nomeie a pessoa que recebe a notificação, o substituto, o investigador técnico e a pessoa que analisa qualquer questão de relato. Use o procedimento aplicável da organização para decidir quais informações devem ser coletadas.

Registre o horário em que cada pessoa recebe as informações do exercício. Verifique se a via de contato realmente chega ao substituto e se o decisor consegue localizar o procedimento aprovado. Mantenha as conclusões técnicas separadas da decisão legal sobre uma obrigação de comunicação. Os factos necessários para essa decisão podem estar incompletos no início, o que é em si uma conclusão útil do exercício.

Não envie uma notificação de exercício a uma autoridade ou a um cliente real. Rotule os registos de forma sintética e mantenha-os separados dos incidentes operacionais. Atribua quaisquer lacunas descobertas durante o ensaio como ações com seu próprio dono e critério. A repetição do exercício é útil quando se verifica se uma lacuna específica foi resolvida; a repetição apenas para criar uma porcentagem de conclusão verde acrescenta pouco.

Leia a visão da administração antes de encerrar o exercício

Peça a um revisor para identificar a questão legal vencida, a lacuna processual e o ensaio concluído a partir dos registos disponíveis. O relatório deve tornar visíveis os seus diferentes estados. Uma ação de formação concluída não faz desaparecer uma questão cadastral não resolvida e um documento de fornecedor carregado não comprova que seu escopo de serviço responde à pergunta que você fez.

Verifique quem pode ver o relatório e o que acontece quando ele é exportado. Compartilhe apenas o escopo justificado pela função do destinatário. Se a organização fornecer provas a um cliente, decida quais informações podem ser divulgadas e quais precisam ser minimizadas. A capacidade técnica para exportar não é motivo para fornecer todos os registos de segurança ou incidentes a todos os clientes.

Tome a decisão de compra a partir do resultado

Registre o esforço necessário para criar os relacionamentos, analise as evidências e localize o trabalho restante. Peça a um colega para encontrar a base da decisão sem ser orientado pelo autor. Se essa pessoa puder explicar o proprietário, a fonte e a próxima ação, o exercício testou algo útil para sua equipa.

O teste de 14 dias do Pulsar requer uma forma de pagamento. Revise o plano atual, o preço pós-teste, a primeira cobrança e os termos de cancelamento antes de confirmar. Use registos fictícios ou devidamente minimizados para o exercício inicial. Conclua a avaliação jurídica e as ações estatutárias por meio das pessoas responsáveis ​​e dos canais oficiais, enquanto a Pulsar organiza o trabalho e as evidências que você escolhe registrar.

Exemplos hipotéticos. Os cenários e os resultados explicam um fluxo de trabalho; não constituem um relatório de auditoria de um cliente nem um resultado garantido. Consulte a oferta atual para confirmar o âmbito das funcionalidades, os fluxos de trabalho do CrewShift e as condições do serviço.

Comece a autoavaliação sem esperar por uma notificação individual. Algumas entidades são inscritas oficiosamente, e as autoridades podem emitir decisões de designação ao abrigo de disposições específicas. A Lei do Sistema Nacional de Cibersegurança polaco, na sua versão alterada — a lei KSC — aplica-se desde 3 de abril de 2026 (Diário Oficial polaco de 2026, posição 252) e coloca todo o trabalho de enquadramento na empresa: cabe-lhe determinar se está abrangida e apresentar o pedido de inscrição no registo KSC. Para as entidades que cumpriam os critérios no dia em que a alteração entrou em vigor, o prazo termina em 3 de outubro de 2026.

As empresas não deixam de cumprir este regime por terem ignorado a lei. Isso acontece porque consultaram a lista de setores, não se encontraram nela e encerraram o assunto — embora a lei contenha outras quatro vias de enquadramento. Essas vias e as obrigações que não são visíveis numa lista de setores são apresentadas abaixo.

Este artigo estrutura o trabalho operacional e não determina a situação jurídica de nenhuma organização concreta. Quando um ponto é efetivamente controverso, assinalo-o, em vez de fabricar uma certeza.

1. A autoavaliação não pode esperar por uma notificação

A inscrição no registo KSC é declarativa. O estatuto decorre do cumprimento dos critérios legais, e não da inscrição — a ausência de inscrição não o coloca fora da lei, mas em incumprimento, mantendo-se todas as outras obrigações.

O mecanismo é simples e rigoroso. Avalia o seu próprio estatuto e apresenta o pedido através do sistema S46, autenticando-se com uma assinatura eletrónica qualificada, o Perfil de Confiança polaco ou um cartão de identificação eletrónica. A inscrição produz efeitos no momento da apresentação do pedido (artigo 7d) — nenhuma autoridade a concede. O pedido implica responsabilidade penal por declarações falsas, o que atribui a uma avaliação superficial um custo muito superior ao de uma coima administrativa.

O prazo conta-se de forma diferente da sugerida pela maioria das fontes. O dia 3 de outubro de 2026 aplica-se às entidades que cumpriam os critérios em 3 de abril de 2026. O artigo 7c(1) concede seis meses a partir do dia em que os critérios são cumpridos. Se ultrapassar o limiar em novembro, o seu prazo termina em maio de 2027, contado individualmente. Uma aquisição, uma nova linha de serviços, um aumento de receitas: cada um pode iniciar a sua própria contagem, e ninguém o irá recordar.

Existe uma segunda via, no sentido inverso. Para os grupos enumerados no artigo 7a(2), a inscrição é oficiosa, com base nos registos ou decisões pertinentes. O artigo 7b regula a notificação e a conclusão dos dados. A inscrição oficiosa não significa, por si só, que a entidade tenha anteriormente incumprido uma obrigação; verifique o fundamento aplicável e o seu próprio prazo.

2. Os limiares são calculados para o grupo

Avalie a dimensão com base no número de pessoas, no volume de negócios e no total do balanço. Uma pequena empresa tem menos de 50 pessoas e um volume de negócios ou total de balanço não superior a 10 milhões de EUR. Ultrapassar apenas o volume de negócios não determina a categoria quando o critério alternativo do balanço é cumprido. Verifique também as regras relativas aos períodos contabilísticos.

O essencial está noutro ponto. A lei remete para o anexo I do Regulamento (UE) n.º 651/2014 da Comissão, que exige a agregação dos dados das empresas parceiras e associadas. Uma empresa com 32 trabalhadores, detida em 60% por uma empresa-mãe que emprega 400 pessoas, não é uma pequena empresa após a consolidação. Este exemplo exige o cálculo das ligações entre empresas. Verifique as exclusões do artigo 5(6)–(7) relativas a sistemas de informação independentes ou a serviços que não são prestados em conjunto.

As entidades de saúde que não são empresas têm uma divisão própria: o artigo 5(8) fixa o limiar em 50–249 trabalhadores para uma entidade importante e a partir de 250 para uma entidade essencial. Nesse setor, a regra geral pode induzi-lo em erro.

Utilize a definição de PME e ferramenta de autoavaliação da Comissão Europeia para verificar a categoria. Reveja o resultado à luz dos dados do seu grupo e da lei polaca.

3. Por vezes, a dimensão é irrelevante

O artigo 5(1)(4) enumera entidades essenciais independentemente do número de pessoas e do volume de negócios: prestadores de serviços DNS, prestadores qualificados de serviços de confiança, entidades críticas na aceção da Diretiva 2022/2557, entidades públicas indicadas no anexo 1 e operadores de instalações nucleares. Os registos de TLD e os agentes de registo de nomes de domínio têm obrigações próprias no capítulo 3a; o registo de domínios, por si só, não estabelece o estatuto de entidade essencial.

O ponto que terá impacto no mercado polaco de TI está imediatamente ao lado. Um prestador de serviços de segurança geridos é uma entidade essencial a partir do limiar de pequena empresa (artigo 5(1)(3)) — aproximadamente a partir de dez pessoas. Esse regime é mais rigoroso do que o aplicável a uma fábrica de média dimensão: supervisão preventiva e reativa, auditoria obrigatória e todo o âmbito de um sistema de gestão da segurança da informação. As empresas que vendem conformidade a terceiros estão mais profundamente abrangidas do que os seus clientes, e muitas ainda não se aperceberam disso.

A sua aritmética também não tem a última palavra. O artigo 7l(1) permite à autoridade designar como essencial ou importante uma empresa que não atinge os limiares, quando o serviço é único ou a sua perturbação teria consequências relevantes.

E um contraponto, para evitar receios sem fundamento: se é uma microempresa fora destas categorias e de ambos os anexos, a lei não o abrange. A secção seis descreve o seu verdadeiro problema.

4. Terá de verificar os antecedentes criminais do pessoal

O artigo 8f exige a verificação de que o pessoal que desempenha tarefas de cibersegurança não tem antecedentes criminais por crimes contra a proteção da informação. O certificado é emitido pelo Registo Criminal Nacional polaco. A obrigação recai nos recursos humanos, e não nas TI — precisamente por isso é omitida numa implementação típica conduzida por um fornecedor de TI. A própria Diretiva NIS2 não contém uma disposição equivalente; trata-se de um acréscimo polaco.

Abrange administradores de sistemas, responsáveis pelo tratamento de incidentes, contactos designados para o CSIRT e auditores internos do sistema de gestão da segurança da informação. Abrange também o dirigente da entidade quando desempenha pessoalmente as tarefas do artigo 8.

O ponto mais exigente é que a obrigação não se limita aos contratos de trabalho. Um prestador B2B ou uma pessoa com contrato de direito civil que desempenhe tarefas ao abrigo do artigo 8 ou do artigo 11 está sujeito aos mesmos requisitos que um trabalhador. Se o seu SOC é composto por três prestadores externos, a verificação e a sua documentação são da sua responsabilidade — e isso altera as condições contratuais, e não apenas um procedimento de recrutamento.

Há aqui um risco que assinalo e remeto para um jurista. A recolha de dados de antecedentes criminais de candidatos e prestadores cruza-se com o Código do Trabalho polaco e com o RGPD. A lei fornece uma base jurídica, mas o âmbito, o momento da recolha e o prazo de conservação dos certificados têm de ser definidos em cada organização. Resolva essa questão com apoio jurídico antes de enviar a primeira pergunta a um candidato.

Parece uma formalidade administrativa. A falta de verificação dos antecedentes criminais é um dos fundamentos para uma coima pessoal ao dirigente da entidade.

5. O dirigente da entidade responde pessoalmente

O dirigente de uma entidade essencial ou importante responde pelo cumprimento das obrigações de cibersegurança mesmo que as tenha delegado. Nos órgãos de gestão com vários membros, se não tiver sido designada uma pessoa responsável, todos os membros respondem.

A coima é pessoal e pode atingir 300% da remuneração mensal numa entidade privada e 100% numa entidade pública (artigo 73a(4) e (5)). A autoridade pode ir além das sanções pecuniárias: suspender ou restringir licenças e autorizações, suspender a atividade da entidade e, nas situações definidas pela lei, aplicar medidas que afetam funções de gestão. O âmbito e as condições de cada medida exigem uma avaliação jurídica separada.

A isso junta-se uma obrigação de formação. O dirigente da entidade e a pessoa a quem estas funções foram confiadas frequentam formação uma vez por ano, e a participação tem de ser documentada (artigo 8e). Nenhum contrato com um fornecedor de TI transfere essa obrigação. A aprovação das medidas de gestão do risco, a previsão do respetivo orçamento e a supervisão das tarefas delegadas permanecem com a administração.

6. A cascata contratual chega às empresas fora da lei

As entidades abrangidas têm de tratar o risco dos fornecedores no seu sistema de gestão da segurança da informação — avaliando as práticas de segurança dos fornecedores de produtos, serviços e processos TIC, a qualidade do que fornecem e a forma como tratam vulnerabilidades (artigo 8(1)(2)(e) e 8(2)). A avaliação abrange fornecedores diretos e, em casos justificados, subcontratantes.

Na prática, essa obrigação propaga-se pela cadeia. Uma empresa não abrangida pela lei recebe do seu cliente um questionário de segurança, cláusulas de cibersegurança e confidencialidade e um direito de auditoria. Não por força de uma disposição legal, mas de um contrato — sem prazo legal associado, mas com um prazo comercial, que é o mais difícil dos dois.

Três elementos resolvem este assunto do lado do fornecedor: uma nota de autoavaliação do enquadramento com data e aprovador, uma lista de clientes que operam em setores abrangidos e uma revisão das cláusulas de segurança desses contratos. Uma empresa que dispõe destes elementos responde a um questionário numa hora, em vez de numa semana.

7. A ISO 27001 não encerra o assunto

O certificado cobre uma parte substancial dos requisitos de gestão da segurança da informação, mas não substitui vários elementos específicos da lei: autoavaliação do enquadramento e inscrição no registo KSC, procedimento de notificação de incidentes ao CSIRT competente na sequência de 24 horas, 72 horas e um mês (artigo 11), designação de pelo menos duas pessoas de contacto (artigo 9) e uma auditoria de cibersegurança separada.

Na avaliação da cadeia de abastecimento, a lei é claramente mais exigente do que o conjunto de controlos da norma. Uma entidade essencial realiza a auditoria a expensas próprias e apresenta o relatório à autoridade no prazo de três dias úteis.

Os prazos de implementação são os seguintes: ligação ao sistema S46 e implementação das novas obrigações até 3 de abril de 2027, primeira auditoria obrigatória de cibersegurança para entidades essenciais que não eram operadores de serviços essenciais até 3 de abril de 2028, e auditorias subsequentes pelo menos uma vez a cada três anos.

8. A armadilha inversa: dois anos de aparente tranquilidade

O artigo 35 da lei de alteração estabelece que as sanções pecuniárias podem ser aplicadas pela primeira vez após dois anos desde a entrada em vigor — ou seja, após 3 de abril de 2028.

A disposição diz respeito às sanções que identifica. Não adia os deveres de autoavaliação do enquadramento, inscrição ou implementação. Conserve provas de que cada obrigação foi cumprida dentro do prazo aplicável.

Consulte o registo ELI oficial e as comunicações do Ministério para verificar o estado da lei e os prazos. Os efeitos de processos relativos à lei exigem uma análise jurídica atual; a mera intenção de impugnação não altera um prazo de conformidade.

Três perguntas para hoje

Quem é responsável pela autoavaliação do enquadramento e quando a aprovou? Sem um nome e uma data, não existe uma autoavaliação, apenas uma suposição.

Calculámos os limiares incluindo as ligações de capital? Se a empresa pertence a um grupo, calcular apenas os seus próprios números não resolve nada.

Verificámos as exceções sem limiar e o artigo 5(1)(3)? Em particular, se vende serviços de segurança, regista domínios ou presta serviços de confiança.

As respostas calculadas a estas perguntas, com prazos datados e uma lista de provas a reunir, resultam do verificador do âmbito KSC/NIS2. As respostas nunca saem do navegador, e pode imprimir o resultado ou guardá-lo como PDF através da janela de impressão do navegador, para o enviar à administração ou ao cliente que enviou o questionário.

Quando a avaliação revela uma fragilidade de controlo, conduza a alteração através de uma CAPA com revisão da eficácia. Documente a preparação com um pacote de provas de auditoria, sem misturar provas da organização com normas licenciadas ou textos legais.

O Pulsar GRC conserva a relação entre origem, requisito, controlo, risco, ação e prova — uma obrigação com prazo torna-se um requisito com um controlo agendado e prova de conclusão. O enquadramento jurídico e a aceitação do risco permanecem com a organização.

Utilizar este exemplo polaco noutra jurisdição

Datas, registo KSC e sanções acima correspondem à Polónia. Tradução portuguesa não as transforma em regras de Portugal ou da União inteira. Identifique transposição nacional, autoridade e critérios aplicáveis. O quadro NIS2 orienta pesquisa, mas a avaliação precisa de fontes nacionais vigentes.

Como método proposto, registe atividade, serviços, estrutura empresarial e dados de dimensão. Preserve fontes e revisão, incluindo regras de agregação quando pertinentes. Separe avaliação de âmbito e preparação de controlos. Tarefas concluídas não demonstram automaticamente classificação correta. A pessoa competente aprova fundamento, canais e prazos. Se a IA ajuda, verifique especialmente país, autoridade e pressupostos antes de aceitar.

Revise os termos e inicie o teste de 14 dias

CRA para SaaS: escopo, ações próprias e evidências

Vulnerabilidades de componentes IoT: fornecedores, decisões e correções

API e MCP no GRC: defina o acesso antes de conectar sistemas