NIS2 em Portugal: O Que Muda Para Quem Fornece Uma Entidade Essencial
A NIS2 não obriga só quem está no âmbito. Chega aos fornecedores por via contratual, e é aí que a maioria das empresas portuguesas a encontra pela primeira vez.
Há uma pergunta que aparece sempre a meio de uma renovação de contrato, quase nunca no início: "isto da NIS2 aplica-se a nós?" Quem a faz costuma estar à espera de um não. Guarde essa expectativa. Já se volta a ela no fim.
A NIS2 aplica-se à minha empresa?
Pela lei, provavelmente não. Pelo contrato, quase de certeza que sim.
A Directiva (UE) 2022/2555, conhecida por NIS2, define um conjunto fechado de sectores e dimensões que determinam quem é entidade essencial ou entidade importante. Em Portugal, a transposição foi feita pelo Decreto-Lei n.º 125/2025, publicado a 4 de Dezembro de 2025 e em vigor desde 3 de Abril de 2026. Uma empresa de software de nicho com trinta pessoas, um integrador regional ou um prestador de serviços geridos de média dimensão ficam, na maioria dos casos, fora dessa lista.
Ficar fora da lista não é ficar fora do problema. A obrigação legal é do cliente. A obrigação contratual passa a ser de quem lhe fornece.
O que a directiva diz sobre fornecedores
A segurança da cadeia de fornecimento não é uma leitura extensiva da NIS2. É uma das dez medidas de gestão de risco escritas no artigo 21.º, n.º 2, alínea d), que manda cada entidade abrangida considerar os aspectos de segurança nas relações com os seus fornecedores directos e prestadores de serviços, incluindo as vulnerabilidades específicas de cada um e a qualidade global das suas práticas de cibersegurança.
E vai mais fundo do que o fornecedor directo. O Regulamento de Execução da Comissão C(2024)7151, em vigor desde 17 de Outubro de 2024, estabelece que as cláusulas contratuais devem incluir requisitos de cibersegurança também para os subcontratados dos fornecedores directos. A orientação técnica de implementação da Agência da União Europeia para a Cibersegurança (ENISA), na versão 1.0 de Junho de 2025, desenvolve o mesmo ponto.
O efeito prático é simples de descrever e desconfortável de gerir: uma entidade essencial que não consiga demonstrar como avalia os seus fornecedores está em incumprimento. A forma mais barata de o demonstrar é transferir a exigência para o contrato.
Como é que a exigência chega na prática
Não chega por carta do regulador. Chega por três vias, e nenhuma delas se parece com fiscalização.
A primeira é o questionário de fornecedor, que passa de duas páginas a doze e deixa de perguntar apenas se existe firewall. A segunda é a cláusula nova numa minuta conhecida, com direito de auditoria, prazos de notificação de incidente e obrigações que se estendem a quem o fornecedor por sua vez subcontrata. A terceira é o pedido de evidências antes da assinatura, não da política, mas do registo que prova que a política foi executada.
Repare no calendário. O relógio não é o da empresa fornecedora, é o do cliente. Quando a entidade essencial tem uma auditoria marcada, o pedido desce a cadeia com o prazo dela, não com a disponibilidade de quem responde.
Quantas empresas já estão a fazer isto
O relatório NIS360 2026 da ENISA, terceira edição anual, publicado a 28 de Maio de 2026, dá a medida. Entre as organizações inquiridas, 90% declaram ter controlos para gerir risco de cadeia de fornecimento. Dentro desse universo, os números que interessam a um fornecedor são estes:
E os ataques através da cadeia de fornecimento são a segunda preocupação futura mais citada pelas entidades abrangidas, por 47% delas.
Traduzido para quem vende: em cada dois clientes abrangidos pela NIS2, um já tem o direito contratual de auditar quem lhe fornece. Não é uma tendência que se anuncia. É uma cláusula que já está assinada.
O que o cliente vai perguntar
As perguntas repetem-se, sector após sector, porque derivam todas do mesmo artigo. São cinco.
Quem acede a quê, e como se prova. Como se detecta um incidente, e em quanto tempo. Em quanto tempo é comunicado ao cliente, e por que canal. O que acontece ao serviço se o sistema parar. E qual foi a data do último ensaio de recuperação, não a existência do plano.
A última é a que mais falha. Ter plano de recuperação é comum. Ter a data do último ensaio, com o tempo medido, é raro.
O que responder, e com que prova
A resposta que passa numa auditoria tem sempre a mesma forma: uma afirmação, um dono e um registo que a sustenta.
Um dono nomeado por domínio. Não uma equipa, uma pessoa, com substituto identificado. Auditor nenhum aceita "a equipa de sistemas" como resposta a quem autoriza um acesso privilegiado.
Acessos com registo de concessão e de remoção. A concessão quase toda a gente regista. A remoção é onde a evidência se parte, sobretudo quando alguém sai da empresa a meio de um projecto.
Recuperação cronometrada, com data. O objectivo de tempo de recuperação (em inglês, recovery time objective, ou RTO) e o objectivo de ponto de recuperação (recovery point objective, ou RPO) só valem acompanhados do relatório do ensaio que os verificou, com o dia em que foi feito.
Rasto de auditoria que sobrevive a saídas. Se o registo de quem alterou o quê depende de uma conta pessoal que é apagada quando a pessoa sai, não é rasto de auditoria, é memória.
Nenhuma destas quatro coisas é cara. Todas são difíceis de improvisar na semana em que o questionário chega.
Quem opera sistemas de terceiros está na zona de risco
O NIS360 avalia os sectores de alta criticidade em duas dimensões, maturidade e criticidade, e chama zona de risco aos que têm maturidade abaixo da média e criticidade que excede essa maturidade. Ou seja, sectores mais importantes para a sociedade do que estão preparados para se defender.
A gestão de serviços de tecnologias de informação e comunicação está nessa zona, ao lado da saúde, da ferrovia, do marítimo, do espaço, da administração pública e da água. É exactamente o sector de quem opera sistemas que pertencem a outros.
A lógica do atacante explica porquê, e a ENISA formula-a sem rodeios a propósito da saúde: atacar cem hospitais um a um dá muito mais trabalho do que comprometer o prestador que serve os cem. O argumento vale para qualquer prestador de serviços geridos (em inglês, managed service provider, ou MSP). Quem concentra acessos concentra risco, e é essa concentração que o cliente está a tentar avaliar quando pede evidências.
Quando isto não vale o esforço
Vale a pena dizer o contrário também, porque nem toda a empresa precisa de correr para isto.
Se nenhum cliente actual for entidade essencial ou importante, se não houver perspectiva de entrar numa cadeia que inclua uma, e se o negócio não depender de contratos plurianuais com organizações reguladas, então montar um programa de conformidade completo é resolver um problema que ainda não existe. A prioridade, nesse caso, está noutro lado.
A distinção certa não é entre empresas grandes e pequenas. É entre quem vende a entidades abrangidas e quem não vende. Uma empresa de quinze pessoas que fornece software a um hospital tem este problema. Uma de duzentas que só vende a retalho local, não.
Perguntas frequentes
A NIS2 obriga directamente os fornecedores de uma entidade essencial? Não. A obrigação legal é da entidade abrangida. O fornecedor fica obrigado por via contratual, porque o cliente precisa de demonstrar ao regulador como gere o risco da sua cadeia.
O que muda com o Decreto-Lei n.º 125/2025? É a transposição portuguesa da directiva, publicada a 4 de Dezembro de 2025 e em vigor desde 3 de Abril de 2026. Define o enquadramento nacional, a autoridade competente e os deveres das entidades abrangidas em Portugal.
Uma certificação ISO 27001 chega para responder ao cliente? Ajuda e encurta conversas, mas não substitui a evidência específica que o cliente pede. O que é auditado é o serviço prestado a esse cliente, não apenas o sistema de gestão em abstracto.
Os subcontratados também entram? Entram. O Regulamento de Execução C(2024)7151 refere expressamente requisitos de cibersegurança para os subcontratados dos fornecedores directos, o que faz a exigência descer mais um nível na cadeia.
Quanto tempo demora a ficar pronto para um questionário destes? Depende do ponto de partida, e a variável que mais pesa não é técnica. É haver donos nomeados e registos que sobrevivam a mudanças de equipa. Sem isso, qualquer prazo é optimista.
Conclusão
Volte-se à expectativa do início, a de que a resposta seria não.
Ela está certa quanto à lei e errada quanto ao efeito. A NIS2 não transforma cada fornecedor num sujeito obrigado. Transforma cada contrato com uma entidade abrangida num sítio onde essas obrigações passam a estar escritas. A diferença entre as duas coisas é jurídica. Comercialmente, o resultado é o mesmo: ou a resposta existe em evidência, ou o contrato fica em risco na renovação seguinte.
Quem tratar disto antes do primeiro questionário responde em dias. Quem esperar responde no prazo do cliente, que raramente é generoso.
Sobre continuidade e prova de recuperação, vale a pena ler também porque é que ter cópias dos dados não é o mesmo que conseguir voltar a operar, e sobre operação sob exigência contratual do cliente, porque é que a equipa interna não cobre AMS de SAP 24 horas por dia.
Para preparar a resposta ao primeiro questionário de fornecedor, sem improviso na semana em que ele chega, a xGrowth começa por uma reunião breve, sem compromisso, sobre conformidade e operação cloud: Agendar Sessão de Esclarecimento.