Por Tom Meevis, advogado em Law & More
A cibersegurança deixou de ser uma questão puramente técnica. É também uma questão jurídica e de governança que afeta praticamente todas as organizações, independentemente do seu porte.
Com a Diretiva Europeia NIS2 e a Lei Holandesa de Cibersegurança, a responsabilidade pela resiliência digital passa definitivamente para o conselho de administração. A Lei Holandesa de Cibersegurança entra em vigor em 15 de agosto de 2026. Proprietários de empresas, diretores e responsáveis pela conformidade devem, portanto, estabelecer, em curto prazo:
- se a sua organização se enquadra no âmbito das novas regras;
- quais obrigações decorrem delas;
- Quais medidas são necessárias;
- e como a organização pode cumprir essas obrigações.
Este artigo apresenta os principais elementos da NIS2 e da Lei Holandesa de Cibersegurança: o âmbito de aplicação, o dever de cuidado, o dever de notificação, a responsabilidade do conselho de administração, a fiscalização e as medidas que as organizações podem tomar agora.
O que é NIS2?
NIS2 é a designação formal da Diretiva (UE) 2022/2555. Ela sucede a primeira diretiva europeia sobre segurança de redes e informações, geralmente conhecida como NIS1.
Os Estados-Membros foram obrigados a transpor a NIS2 para a legislação nacional até 17 de outubro de 2024. A partir de 18 de outubro de 2024, a NIS2 substituiu formalmente a diretiva anterior.
O objetivo é elevar e uniformizar o nível de resiliência cibernética na União Europeia. Isso se dá em duas frentes principais. Primeiro, um escopo mais amplo: muito mais organizações estão sujeitas às regras do que sob a NIS1. Segundo, supervisão reforçada e fiscalização mais rigorosa, com um conjunto de ferramentas mais abrangente e responsabilidades mais claras para os diretores.
Enquanto a NIS1 distinguia entre operadores de serviços essenciais e prestadores de serviços digitais, a NIS2 abrange tanto entidades essenciais quanto entidades importantes. Essa distinção não é meramente terminológica: determina, entre outros aspectos, a intensidade da fiscalização e o valor das possíveis multas.
Quais organizações estão abrangidas pelo NIS2?
A NIS2 aplica-se a organizações ativas em dezoito setores designados, divididos em setores de alta criticidade e outros setores críticos.
Os setores de alta criticidade incluem energia, transporte, setor bancário, infraestrutura do mercado financeiro, saúde, água potável e tratamento de esgoto, infraestrutura digital, gestão de serviços de TIC para usuários corporativos, administração pública e espaço.
Outros setores críticos incluem serviços postais e de entrega expressa, gestão de resíduos, produtos químicos, alimentos, manufatura, provedores digitais e instituições de pesquisa.
O limite de tamanho
Nesses setores, a regra principal é que uma organização se enquadre na NIS2, qualificando-se como uma empresa de médio ou grande porte. Os critérios são: pelo menos 50 funcionários ou um faturamento anual ou balanço patrimonial total superior a 10 milhões de euros.
Existem exceções a esta regra geral. Certas organizações estão abrangidas independentemente do tamanho, porque os seus serviços são considerados particularmente críticos:
- provedores de redes e serviços públicos de comunicações eletrônicas;
- prestadores de serviços de confiança;
- provedores de serviços de registro de nomes de domínio;
- registros de nomes de domínio de nível superior;
- órgãos do setor público.
A partir de 15 de agosto de 2026, as novas obrigações se aplicam a mais de 8,000 organizações nos Países Baixos. Isso representa uma expansão considerável em comparação com o número de organizações abrangidas pela atual Lei de Segurança de Redes e Sistemas de Informação.
Organizações que antes não se consideravam parte de um setor crítico podem, portanto, ser afetadas, incluindo fabricantes de médio porte, produtores de alimentos, instituições de pesquisa e provedores de serviços digitais. É importante ressaltar que as próprias organizações são responsáveis por avaliar se estão dentro do escopo da regulamentação. Não haverá nenhuma notificação oficial informando isso.
O dever de cuidado: que medidas são necessárias?
O princípio fundamental da NIS2 e da Lei de Cibersegurança holandesa é o dever de cuidado. Entidades essenciais e importantes devem adotar medidas técnicas, operacionais e organizacionais adequadas e proporcionais para gerenciar os riscos às suas redes e sistemas de informação.
As regras identificam os assuntos que a apólice deve abordar em qualquer caso:
- Análise de riscos e política de segurança da informação;
- Gestão de incidentes;
- continuidade de negócios, gerenciamento de backups e recuperação de desastres;
- Segurança da cadeia de suprimentos;
- Higiene cibernética e treinamento de pessoal;
- Política de tratamento de vulnerabilidades;
- autenticação multifatorial;
- comunicações seguras;
- criptografia;
- Avaliação periódica da eficácia das medidas.
As medidas devem ser proporcionais ao tamanho da organização e aos riscos a que ela está efetivamente exposta. Portanto, uma entidade menor, porém importante, não precisa adotar as mesmas medidas que uma grande entidade essencial em um setor de alto risco.
Isso não torna o dever de cuidado opcional. As organizações devem ser capazes de comprovar quais riscos identificaram, quais medidas tomaram e por que essas medidas são apropriadas. Não apenas as medidas em si, mas também a forma como são ponderadas, registradas e avaliadas periodicamente, está sujeita à supervisão.
Dever de notificação após um incidente
Além do dever de cuidado, a NIS2 impõe um dever de notificação faseada para incidentes significativos. Quando um incidente tem ou pode ter um impacto substancial na continuidade dos serviços, aplicam-se, em linhas gerais, os seguintes prazos:
- Em até 24 horas, um alerta precoce para a equipe nacional de resposta a incidentes de segurança cibernética ou para a autoridade competente;
- Em até 72 horas, uma notificação formal com uma avaliação inicial da gravidade e do impacto;
- No prazo máximo de um mês, um relatório final descrevendo o incidente, sua provável causa raiz, as medidas tomadas e quaisquer efeitos transfronteiriços.
Esses prazos tornam necessário estabelecer procedimentos claros com antecedência. A organização precisa saber quando um incidente deve ser notificado, quem está autorizado a notificar, quais informações devem estar disponíveis, quem coordena o processo e como o conselho e o supervisor são informados.
Uma organização que só tenta implementar um processo de notificação durante um incidente corre um risco considerável de não conseguir relatar o ocorrido a tempo ou de forma completa.
Responsabilidade do conselho
Um elemento importante da NIS2 é que a responsabilidade pela gestão do risco cibernético recai expressamente sobre o conselho de administração. O conselho deve aprovar as medidas de segurança, supervisionar a sua implementação, ser capaz de avaliar os riscos cibernéticos da organização e receber formação adequada.
A cibersegurança, portanto, não pode mais ser tratada como responsabilidade exclusiva do departamento de TI. É um tema de governança que deve fazer parte do processo regular de tomada de decisões e da gestão de riscos.
A diretiva também aborda expressamente a responsabilidade pessoal da alta administração quando a organização não a cumpre. Registre o envolvimento do conselho de administração de acordo, por exemplo, documentando o treinamento realizado, as decisões do conselho, as políticas aprovadas, as avaliações de risco, os relatórios e a supervisão da implementação.
A implementação holandesa
A implementação da NIS2 na Holanda sofreu atrasos consideráveis. O prazo de transposição de 17 de outubro de 2024 não foi cumprido.
Em 8 de julho de 2026, a Comissão Europeia decidiu encaminhar o caso dos Países Baixos, juntamente com a Irlanda, a Espanha e a França, ao Tribunal de Justiça da União Europeia por não terem notificado as medidas de transposição. Os Países Baixos figuravam, assim, entre os quatro países da União Europeia que estavam atrasados na implementação das medidas de transposição.
A coincidência de datas é notável. Um dia antes, em 7 de julho de 2026, o Senado havia aprovado a Lei de Segurança Cibernética e a Lei de Resiliência de Entidades Críticas. Resta saber se o fato de a lei ter sido aprovada antes do envio da denúncia afetará o resultado do processo; isso caberá ao Tribunal decidir.
Ambas as leis entram em vigor em 15 de agosto de 2026. A Lei de Cibersegurança implementa a Diretiva NIS2; a Lei de Resiliência de Entidades Críticas implementa a Diretiva Europeia CER, que visa a resiliência de infraestruturas críticas. As organizações abrangidas por esta última serão formalmente designadas como entidades críticas a partir de 15 de agosto de 2026.
Com a entrada em vigor, a atual Lei de Segurança de Redes e Sistemas de Informação (Wbni) deixa de vigorar. Para as organizações já abrangidas por ela, isso significa obrigações mais rigorosas; para as organizações que passam a ser abrangidas pela lei pela primeira vez, um regime completamente novo.
Registro no NCSC
Uma nova obrigação importante é o registro no Centro Nacional de Segurança Cibernética. Entidades essenciais e importantes devem ser incluídas no registro nacional de entidades. Esse registro é obrigatório a partir de 15 de agosto de 2026 e é feito pelo portal MijnNCSC, utilizando o sistema eHerkenning para organizações comuns e o SSOnRijk para órgãos do setor público. Alterações nos dados registrados devem ser comunicadas em até quatorze dias.
O registro não é mera formalidade administrativa. Uma vez registradas, as organizações podem se conectar aos serviços de sua CSIRT, que fornece produtos e serviços para aumentar a resiliência, bem como suporte em caso de incidente. Prepare o registro com antecedência suficiente para que a implementação não comece somente após a entrada em vigor da lei.
Supervisão e fiscalização
A Lei de Cibersegurança prevê um regime de supervisão diferenciado. As entidades essenciais estão sujeitas à supervisão proativa: o supervisor pode realizar verificações contínuas e por iniciativa própria, sem qualquer incidente ou sinal específico. As entidades importantes estão sujeitas à supervisão reativa, em que o supervisor atua, em princípio, em resposta a um incidente, uma denúncia ou outro sinal concreto.
A supervisão é dividida entre várias autoridades. A partir de 15 de agosto de 2026, a Autoridade Holandesa para Infraestrutura Digital supervisiona organizações em nove setores; outros supervisores são designados para os demais setores. Identifique qual supervisor é competente para a sua organização.
O conjunto de ferramentas de fiscalização é amplo e inclui:
- uma varredura de segurança ou auditoria de segurança;
- uma instrução vinculativa;
- uma ordem de execução administrativa ou uma ordem sujeita ao pagamento de uma penalidade;
- publicação de uma infração;
- uma multa administrativa;
- Para entidades essenciais: suspensão de uma certificação, uma autorização ou de um membro do conselho de administração.
Para entidades essenciais, a multa máxima é de, no mínimo, 10 milhões de euros ou 2% do faturamento anual mundial total, prevalecendo o valor mais alto. Para entidades importantes, a multa é de, no mínimo, 7 milhões de euros ou 1.4% do faturamento anual mundial, também prevalecendo o valor mais alto. O valor final da multa depende das circunstâncias do caso, incluindo a natureza, a gravidade e a duração da infração, o grau de culpabilidade e as medidas tomadas.
O que a sua organização pode fazer agora?
- Realize uma autoavaliação. Verifique se a organização atua em um setor específico e se atende ao limite de tamanho exigido.
- Determine a categoria correta. Estabeleça se a organização se qualifica como uma entidade essencial ou importante e qual supervisor é competente.
- Prepare o cadastro. Reúna os dados necessários para o cadastro no NCSC através do MijnNCSC.
- Teste as medidas de dever de cuidado. Avalie as medidas existentes em análise de risco, resposta a incidentes, continuidade de negócios, segurança da cadeia de suprimentos, higiene cibernética, vulnerabilidades, autenticação multifatorial e criptografia.
- Estabeleça o processo de notificação. Registre quem avalia se um incidente deve ser notificado, quem notifica e como os prazos de 24 horas, 72 horas e um mês são cumpridos.
- Envolva o conselho de forma demonstrável. Registre quais decisões o conselho tomou, quais treinamentos foram realizados e como a supervisão da implementação é exercida.
- Inclua a cadeia de suprimentos. Grande parte das vulnerabilidades surge não dentro da própria organização, mas sim em fornecedores e prestadores de serviços. Revise seus contratos referentes a medidas de segurança, obrigações de notificação e direitos de auditoria.
No fechamento
A Lei de Cibersegurança e a Lei de Resiliência de Entidades Críticas representam um considerável reforço das obrigações em matéria de cibersegurança. Um âmbito mais abrangente, medidas concretas de diligência, prazos de notificação rigorosos, responsabilidade pessoal dos administradores e um conjunto substancial de ferramentas de fiscalização significam que as organizações não podem ignorar este tema. Com a entrada em vigor prevista para 15 de agosto de 2026, o tempo de preparação é curto.
Law & More Auxilia empresas, diretores e responsáveis pela conformidade a determinar sua posição em relação à NIS2 e à Lei Holandesa de Segurança Cibernética, a estabelecer e testar as medidas de dever de cuidado, a preparar o registro junto ao NCSC e a incorporar a política de segurança cibernética legalmente.
Gostaria que a situação da sua organização em relação às novas regras fosse avaliada? Entre em contato conosco para uma conversa sem compromisso.
Perguntas frequentes
Abaixo, respondemos às perguntas mais frequentes sobre este assunto.
Quando entra em vigor a Lei de Cibersegurança Holandesa?
Em 15 de agosto de 2026, o Senado aprovou a Lei de Segurança Cibernética e, em 7 de julho de 2026, a Lei de Resiliência de Entidades Críticas. Com a entrada em vigor, a atual Lei de Segurança de Redes e Sistemas de Informação (Wbni) deixa de ter validade.
Minha organização se enquadra no NIS2?
Isso depende do seu setor e do seu porte. A NIS2 abrange dezoito setores designados e, dentro desses setores, como regra geral, organizações com pelo menos 50 funcionários ou um faturamento anual ou balanço patrimonial total superior a 10 milhões de euros. Certas entidades são abrangidas independentemente do porte.
Serei notificado se a minha organização estiver abrangida pelo escopo?
Não. As próprias organizações são responsáveis por avaliar se estão sujeitas à Lei de Segurança Cibernética. Aguardar implica o risco de que as obrigações sejam aplicadas antes que a avaliação seja feita.
Qual a diferença entre uma entidade essencial e uma entidade importante?
Determina a intensidade da supervisão e o nível das possíveis multas. Entidades essenciais estão sujeitas à supervisão proativa, em que o supervisor pode realizar verificações por iniciativa própria. Entidades importantes estão sujeitas à supervisão reativa, acionada por um incidente, denúncia ou outro sinal.
O que implica o dever de cuidado?
Adotar medidas técnicas, operacionais e organizacionais adequadas e proporcionais para gerenciar os riscos à sua rede e sistemas de informação, abrangendo aspectos como análise de riscos, tratamento de incidentes, continuidade de negócios, segurança da cadeia de suprimentos, higiene cibernética, vulnerabilidades, autenticação multifatorial e criptografia. Você deve ser capaz de justificar a adequação das medidas escolhidas.
Quais são os prazos de notificação aplicáveis após um incidente?
Um alerta precoce em até 24 horas, uma notificação formal em até 72 horas com uma avaliação inicial da gravidade e do impacto, e um relatório final em até um mês. Estabeleça o processo de notificação com antecedência.
Minha organização precisa se registrar?
Sim. O registo no registo nacional de entidades é obrigatório a partir de 15 de agosto de 2026 e é feito através do MijnNCSC, utilizando o eHerkenning ou, para entidades do setor público, o SSOnRijk. As alterações devem ser comunicadas no prazo de catorze dias. Após o registo, poderá aceder aos serviços do seu CSIRT.
Que responsabilidade recai sobre o conselho?
O conselho de administração deve aprovar as medidas de segurança, supervisionar sua implementação, ser capaz de avaliar os riscos cibernéticos e passar por treinamento. A diretiva aborda a responsabilidade pessoal da alta administração por descumprimento, portanto, as decisões, o treinamento e a supervisão devem ser documentados de forma demonstrável.
Qual o valor das multas?
Para entidades essenciais, o valor mínimo é de 10 milhões de euros ou 2% do volume de negócios anual mundial; para entidades importantes, o valor mínimo é de 7 milhões de euros ou 1.4%, prevalecendo o valor mais elevado. O montante final dependerá de fatores como a natureza, a gravidade e a duração da infração, bem como o grau de culpabilidade.
Quem supervisiona o cumprimento das normas?
Isso varia conforme o setor. A partir de 15 de agosto de 2026, a Autoridade Holandesa para Infraestrutura Digital supervisiona organizações em nove setores; outros supervisores são designados para os demais setores. Verifique qual supervisor é competente para a sua organização.
Por que os Países Baixos foram levados ao Tribunal de Justiça?
Devido à transposição tardia da NIS2, em 8 de julho de 2026, a Comissão Europeia decidiu encaminhar o caso dos Países Baixos, juntamente com a Irlanda, a Espanha e a França, ao Tribunal de Justiça da União Europeia por não terem notificado as medidas de transposição. O facto de a Lei da Cibersegurança ter sido adotada um dia antes não encerra, por si só, esse processo.
Isso também se aplica aos meus fornecedores?
A segurança da cadeia de suprimentos é um dos temas de responsabilidade do cliente. Grande parte das vulnerabilidades surge em fornecedores e prestadores de serviços. Revise seus contratos referentes a medidas de segurança, obrigações de notificação e direitos de auditoria.
