Últimas novidades de conformidade NIS2: Atualização da aplicação em junho e julho de 2026

A máquina de infrações da UE passou dos avisos às remessas para o Tribunal em julho de 2026. A Irlanda, a Espanha, a França e os Países Baixos enfrentam agora sanções financeiras por não terem cumprido o prazo de transposição da NIS2 de outubro de 2024, com sanções pecuniárias diárias que se acumulam até cada país notificar a Comissão da transposição completa.

Em simultâneo, as estruturas de aplicação vão ganhando forma. O BSI da Alemanha está a auditar ativamente as entidades registadas. Os Países Baixos aprovaram a lei nacional um dia antes de a remessa ser apresentada. O Grupo de Cooperação NIS publicou o documento de mapeamento do artigo 21.º mais detalhado até à data. E a Comissão associou pela primeira vez, de forma explícita, a NIS2 à deteção de ameaças assistida por IA.

Este artigo aborda todos os desenvolvimentos relevantes da NIS2: o que mudou, que prazos estão em vigor e em que a equipa tem de agir já. Para os desenvolvimentos do mês anterior, consulte Últimas novidades NIS2: maio de 2026.

Pontos principais

• Remessas para o Tribunal contra quatro Estados-Membros. A 8 de julho de 2026, a Comissão Europeia remeteu a Irlanda, a Espanha, a França e os Países Baixos para o Tribunal de Justiça da UE por não terem transposto integralmente a NIS2. São solicitadas sanções financeiras para cada país.
• A Cyberbeveiligingswet dos Países Baixos entra em vigor a 15 de agosto de 2026. O Senado neerlandês aprovou a lei a 7 de julho. Mais de 8000 organizações têm de registar-se junto do NCSC, implementar medidas de segurança baseadas no risco e assegurar a supervisão ao nível do conselho de administração até essa data.
• O BSI alemão está agora a auditar, e não apenas a registar. A fase de supervisão ativa teve início a 6 de março de 2026. O BSI pode solicitar provas das medidas de segurança sem esperar por um incidente. Aplica-se um segundo prazo de registo, a 31 de julho, a uma parte significativa das 29 000 entidades abrangidas que falharam o prazo de março.
• O Grupo de Cooperação NIS publicou o seu documento de mapeamento do artigo 21.º. Publicado em junho de 2026, associa as obrigações da NIS2 e o Regulamento de Execução 2024/2690 às normas ISO 27001, NIST CSF 2.0 e IEC 62443 e aos quadros nacionais. É a orientação de conformidade mais concreta publicada até à data a nível da UE.
• O NCSC da Irlanda publicou orientações de governação cibernética para os conselhos de administração. Publicado a 7 de julho de 2026, o documento destina-se a CEOs, CIOs e CISOs de organizações reguladas pela NIS2 e assenta no quadro CyFun, baseado no NIST.
• A ENISA elevou o setor espacial para criticidade alta. O relatório NIS360 2026 coloca o setor espacial a par do setor bancário, da eletricidade e da aviação. Sete setores permanecem na zona de risco, onde a maturidade fica abaixo do que a criticidade exige.
• O Plano de Ação da UE para a Cibersegurança e a IA foi publicado a 7 de julho de 2026. É o primeiro documento a nível da UE a associar formalmente a conformidade com a NIS2 à deteção de ameaças assistida por IA como prática operacional esperada.
• O projeto de lei Cyber Security and Resilience Bill do Reino Unido foi aprovado na Câmara dos Comuns a 16 de junho. Deu entrada na Câmara dos Lordes a 17 de junho e a segunda leitura está agendada para 14 de julho. Os prestadores de serviços geridos e os operadores de centros de dados ficam abrangidos pela primeira vez.

Comissão Europeia leva Irlanda, Espanha, França e Países Baixos a tribunal por atrasos na NIS2

A 8 de julho de 2026, a Comissão Europeia remeteu a Irlanda, a Espanha, a França e os Países Baixos para o Tribunal de Justiça da UE por não terem notificado a transposição integral da Diretiva NIS2. As remessas incluem um pedido de sanções financeiras: uma quantia fixa e sanções pecuniárias diárias que se acumulam até cada país notificar a transposição completa.

O prazo de transposição era 17 de outubro de 2024. A Comissão enviou cartas de notificação aos Estados-Membros incumpridores em novembro de 2024 e pareceres fundamentados em maio de 2025. A remessa para o Tribunal é a terceira e última fase do processo por infração da UE.

O momento é digno de nota no caso dos Países Baixos. O Senado neerlandês aprovou a Cyberbeveiligingswet a 7 de julho, um dia antes de a remessa ser apresentada (mais pormenores adiante). A lei entra em vigor a 15 de agosto de 2026, mas a notificação formal da transposição à Comissão ainda não tinha sido apresentada à data da remessa. As sanções pecuniárias diárias deixarão de acumular-se quando a notificação estiver concluída.

Relativamente a Espanha, França e Irlanda, ainda não foi aprovada nenhuma lei nacional equivalente. A transposição em Espanha deverá ocorrer no final de 2026. A França e a Irlanda não anunciaram prazos firmes.

Os processos por infração têm números de processo individuais:

• Irlanda (INFR(2024)0279)
• Espanha (INFR(2024)0270)
• França (INFR(2024)0274)
• Países Baixos (INFR(2024)0288)

As remessas reforçam um ponto que as equipas de conformidade destes países já devem conhecer: os requisitos da Diretiva NIS2 são vinculativos independentemente do estado da transposição nacional. Os processos judiciais não suspendem as obrigações subjacentes, mas exercem pressão financeira sobre os governos para colmatarem a lacuna mais depressa.

Fonte: Comissão Europeia, 2026

Países Baixos: Cyberbeveiligingswet aprovada, entra em vigor a 15 de agosto

A 7 de julho de 2026, o Senado neerlandês aprovou a Cyberbeveiligingswet (a transposição neerlandesa da NIS2) e a Lei de Resiliência das Entidades Críticas (Wwke), que implementa a Diretiva relativa à Resiliência das Entidades Críticas (CER) da UE. Ambas as leis entram em vigor a 15 de agosto de 2026.

Mais de 8000 organizações são abrangidas: ministérios, municípios, autoridades da água, províncias, organismos administrativos independentes e parcerias intermunicipais. A partir de 15 de agosto, têm de:

1. Registar-se no Centro Nacional de Cibersegurança (NCSC) através do Registo de Entidades
2. Implementar medidas técnicas, operacionais e organizativas adequadas, com base numa avaliação de risco, incluindo as dependências da cadeia de abastecimento
3. Comunicar os incidentes de cibersegurança graves ao CSIRT pertinente e à autoridade de supervisão competente, dentro dos prazos legais
4. Assegurar a supervisão ao nível do conselho de administração: os membros do órgão de administração têm de ter conhecimentos suficientes de cibersegurança e concluir formação adequada

A aplicação cabe às autoridades de supervisão designadas, incluindo a Autoridade neerlandesa para as Infraestruturas Digitais. A Cyberbeveiligingswet introduz a responsabilidade dos administradores: as autoridades de supervisão podem emitir instruções vinculativas, realizar inspeções e suspender administradores sempre que necessário.

Para as organizações do setor público, o cumprimento da norma Baseline Information Security Government (BIO) 2 contribui para satisfazer os requisitos de segurança da Cbw.

A data de entrada em vigor, 15 de agosto, é um prazo improrrogável. O registo junto do NCSC deve começar antes dessa data: o próprio NCSC recomenda a preparação antecipada para evitar estrangulamentos no processo de registo.

Fonte: NL Digital Government, 2026

A nível da UE: Publicado novo documento de referência sobre medidas de segurança

Publicado em junho de 2026, o documento de referência sobre medidas de segurança do Grupo de Cooperação NIS oferece às organizações a orientação a nível da UE mais concreta até à data sobre a conformidade com o artigo 21.º da NIS2. O documento estabelece um quadro europeu comum de objetivos de cibersegurança e inclui uma tabela de mapeamento que associa as obrigações da NIS2 e o Regulamento de Execução europeu 2024/2690 a:

• ISO/IEC 27001
• IEC 62443
• NIST Cybersecurity Framework 2.0
• quadros nacionais de cibersegurança
• o CyberFundamentals Framework, CyFun®

O documento não é vinculativo. Não substitui a legislação nacional relativa à NIS2 nem as orientações setoriais. Mas, para as equipas de conformidade que já trabalham com base na ISO 27001 ou no NIST CSF 2.0, responde a uma pergunta em aberto desde a aprovação da diretiva: de que forma correspondem, exatamente, os controlos já existentes aos requisitos da NIS2?

O mapeamento é particularmente útil para organizações que operam em vários Estados-Membros. Em vez de manterem análises de lacunas separadas por jurisdição, as equipas podem utilizar o documento de referência como base comum e acrescentar depois os desvios nacionais.

O controlo de acessos, a autenticação e a gestão de acessos privilegiados surgem explicitamente nos objetivos mapeados, áreas em que as orientações do documento de referência se alinham diretamente com o artigo 21.º, n.º 2, alínea j), da NIS2, relativo à utilização de autenticação multifator e de sistemas de comunicação seguros.

Fontes: Center for Cybersecurity Belgium, 2026; Comissão Europeia, 2026

Irlanda: O NCSC publica orientações de governação cibernética para os conselhos de administração de entidades NIS2

A 7 de julho de 2026, o Centro Nacional de Cibersegurança da Irlanda publicou orientações sobre governação cibernética destinadas aos membros dos conselhos de administração de organizações reguladas pela NIS2. O documento dirige-se a CEOs, diretores-gerais, CIOs e CISOs, os dirigentes que têm responsabilidade pessoal pela gestão do risco de cibersegurança ao abrigo da NIS2.

As orientações centram-se no Cyber Fundamentals Framework (CyFun), o quadro nacional preferencial da Irlanda para a conformidade com a NIS2. O CyFun baseia-se no NIST Cybersecurity Framework e oferece aos conselhos de administração uma abordagem estruturada e baseada no risco para cumprirem as suas obrigações legais, sem exigir conhecimentos técnicos aprofundados.

O documento abrange três áreas práticas: compreender que perguntas os conselhos de administração devem colocar sobre o risco cibernético, identificar e gerir os riscos da cadeia de abastecimento e criar uma cultura organizacional em que a cibersegurança seja tratada como uma questão de governação, e não como um problema do departamento de TI.

O momento é deliberado. A Irlanda está atualmente sujeita a um processo por infração da UE por não ter transposto integralmente a NIS2 para o direito nacional: a Comissão remeteu o país para o Tribunal de Justiça a 8 de julho de 2026. A publicação de orientações ao nível do conselho de administração antes da transposição formal indica que o NCSC está a encaminhar as organizações para a conformidade, independentemente do ponto em que se encontre o processo legislativo.

Fonte: Portal oficial do Governo da Irlanda, 2026

ENISA NIS360 2026: Setor espacial sobe para criticidade alta

O relatório ENISA NIS360 2026 é a terceira avaliação anual da maturidade e da criticidade da cibersegurança em todos os setores do anexo I da Diretiva NIS2. A principal conclusão: o setor espacial juntou-se ao setor bancário, à eletricidade, à aviação e aos serviços digitais por defeito na faixa de criticidade mais alta.

A elevação reflete o papel crescente da infraestrutura espacial como camada de dependência para outros setores: a navegação, as comunicações, a liquidação financeira e a logística militar assentam todas em sistemas de satélite. Maior dependência significa maior impacto em caso de perturbação e maior criticidade temporal na recuperação.

Sete setores situam-se na zona de risco do NIS360 2026, em que a maturidade da cibersegurança fica abaixo do nível exigido pela respetiva criticidade:

1. Saúde
2. Transporte ferroviário
3. Transporte marítimo
4. Gestão de serviços de TIC
5. Espaço
6. Administração pública
7. Água potável e águas residuais

Três setores atingiram a faixa de maturidade alta: serviços de confiança, aviação e infraestruturas do mercado financeiro. O setor do gás começou a sair da zona de risco, graças à melhoria da partilha de informações e a uma implementação mais sólida das medidas de gestão de riscos.

A composição da zona de risco tem relevância operacional. As autoridades de supervisão utilizam os dados do NIS360 para definir as prioridades dos calendários de auditoria. Se a organização atua nos setores da saúde, ferroviário ou da administração pública, deve esperar uma maior atenção das autoridades de supervisão no segundo semestre de 2026.

A ENISA concluiu, no estudo NIS Investments 2025, que 70 % das organizações inquiridas apontaram o cumprimento da NIS2, do DORA e do CRA como o principal fator de investimento em cibersegurança, um valor que deverá aumentar à medida que as autoridades de supervisão passam do registo para a análise ativa.

Fonte: ENISA, 2026

Alemanha: O BSI entra na fase de supervisão ativa

O BSI da Alemanha entrou na fase de supervisão ativa a 6 de março de 2026, data em que expirou o prazo de registo ao abrigo da NIS2-Umsetzungsgesetz (NIS2UmsuCG). A lei foi promulgada a 6 de dezembro de 2025. Em junho de 2026, estava em vigor há seis meses.

A análise de 16 de junho do SecurityToday.de sobre a mudança na supervisão observou que a questão se alterou: já não se trata de saber se uma entidade está registada, mas se as medidas comunicadas resistem a um exame rigoroso.

O portal de registo do BSI abriu a 6 de janeiro de 2026. Uma parte significativa das cerca de 29 000 entidades abrangidas falhou o prazo de março. O BSI fixou um segundo prazo de registo, a 31 de julho de 2026. O registo tardio continua a ser possível, mas não constitui porto seguro: as obrigações de conformidade aplicam-se desde dezembro de 2025, independentemente do estado do registo.

O que significa supervisão ativa na prática:

• O BSI pode solicitar proativamente provas das medidas de segurança, sem esperar por um incidente
• As auditorias no local e remotas estão agora abrangidas
• As coimas para entidades essenciais podem ir até 10 milhões de euros ou 2 % do volume de negócios anual mundial, consoante o que for mais elevado
• Os membros dos órgãos de gestão enfrentam responsabilidade pessoal, incluindo a possível proibição temporária de exercer funções de gestão

A implementação alemã vai além do mínimo da UE em matéria de responsabilização dos dirigentes. A NIS2UmsuCG exige expressamente que os órgãos de gestão aprovem as medidas de cibersegurança, supervisionem a sua implementação e demonstrem competência pessoal. As autoridades de supervisão podem responsabilizar pessoalmente cada dirigente por falhas sistémicas.

O nível de exigência mais elevado da Alemanha tem uma vantagem prática. As organizações que cumprem os requisitos da NIS2UmsuCG satisfazem com folga o mínimo da UE. Para as empresas que operam em vários Estados-Membros, uma postura de segurança que satisfaça o escrutínio do BSI deverá, em geral, ser igualmente aceite pelas autoridades de supervisão vizinhas.

Para quem se registou tarde, a ordem de prioridades é clara: registar primeiro e só depois reunir provas documentadas das medidas. Se ocorrer um incidente de notificação obrigatória antes de as medidas estarem comprovadamente implementadas, um registo em falta ou tardio é um fator agravante.

Fonte: SecurityToday.de, 2026

Publicado o Plano de Ação da UE para a Cibersegurança e a IA

A 7 de julho de 2026, a Comissão Europeia publicou o Plano de Ação da UE para a Cibersegurança e a Inteligência Artificial (EU Action Plan on Cybersecurity and Artificial Intelligence). O documento define uma abordagem coordenada da UE à cibersegurança baseada em IA em todos os Estados-Membros, autoridades públicas e empresas.

O plano assenta em três objetivos: promover a utilização segura e responsável da IA avançada, reforçar a cibersegurança e a resiliência da UE e ampliar as capacidades de IA da Europa para fins de cibersegurança.

No que respeita à NIS2, o Plano de Ação refere expressamente a Diretiva NIS2 como parte do quadro jurídico existente em que se baseia e incentiva as organizações abrangidas pela NIS2 a utilizar IA (incluindo modelos de código aberto) para detetar e corrigir vulnerabilidades mais depressa. É o primeiro documento a nível da UE a associar formalmente a conformidade com a NIS2 à deteção de ameaças assistida por IA como prática operacional esperada.

As medidas concretas incluem:

• Um plano de referência europeu (blueprint) para o acesso seguro a sistemas de IA avançados para fins de cibersegurança, a desenvolver com a ENISA
• Uma plataforma de testes segura para organizações de setores críticos (energia, transportes, saúde, finanças e administração pública), destinada a testar e implementar soluções de IA em segurança
• Um Grande Desafio da UE sobre IA para a cibersegurança (EU Grand Challenge), que reúne a indústria, investigadores e comunidades de código aberto

O Plano de Ação coexiste com o Regulamento da IA, o Regulamento Ciberresiliência, o DORA e o Regulamento Cibersolidariedade. Não cria, por si só, novas obrigações vinculativas, mas indica onde a Comissão espera que se concentrem a ênfase na aplicação e o investimento no próximo ciclo legislativo.

Fonte: Comissão Europeia, 2026

Reino Unido: O Cyber Security and Resilience Bill passa na Câmara dos Comuns e segue para a Câmara dos Lordes

A 16 de junho de 2026, o projeto de lei Cyber Security and Resilience (Network and Information Systems) Bill concluiu a terceira leitura e a fase de relatório na Câmara dos Comuns. Teve a primeira leitura na Câmara dos Lordes a 17 de junho e tem a segunda leitura agendada para 14 de julho de 2026.

O projeto de lei foi apresentado ao Parlamento a 12 de novembro de 2025 e atualiza as Network and Information Systems Regulations 2018 (NIS1) em vigor. Não transpõe a NIS2 (o Reino Unido já não está vinculado pelo direito da UE), mas aproxima significativamente os requisitos do Reino Unido da norma NIS2 em termos de âmbito e de aplicação.

O que o projeto de lei acrescenta:

• Prestadores de serviços geridos ficam abrangidos pela primeira vez. Os prestadores de serviços geridos relevantes (RMSPs) têm de registar-se junto do ICO, implementar medidas de gestão de riscos e nomear um representante no Reino Unido caso não estejam estabelecidos neste país.
• Operadores de centros de dados também passam a ficar abrangidos.
• Os prazos de notificação de incidentes tornam-se mais rigorosos: notificação inicial em 24 horas e notificação completa em 72 horas, em linha com a estrutura do artigo 23.º da NIS2.
• Designação de fornecedores críticos: O ICO passa a ter poder para designar fornecedores cujo comprometimento afetaria serviços essenciais ou RMSPs.
• As sanções aumentam para até 17 milhões de libras ou 4 % do volume de negócios anual mundial em caso de infrações graves e até 10 milhões de libras ou 2 % nas menos graves.

A definição de incidente também é alargada: o projeto de lei abrange os incidentes «suscetíveis de ter um efeito adverso» nos serviços regulados, e não apenas os que tiveram um efeito real comprovado. Trata-se de uma alteração relevante para as organizações que estão a calibrar os respetivos limiares de notificação.

Foram propostas 63 alterações durante a tramitação do projeto de lei. Duas alterações apresentadas em junho, incluindo uma para acrescentar a cadeia de abastecimento alimentar como serviço essencial regulado, não obtiveram decisão na fase de relatório.

O Governo prevê realizar uma consulta em 2026 sobre a legislação secundária relativa a medidas específicas de gestão de riscos e a requisitos de notificação. Algumas disposições produzirão efeitos no primeiro dia ou no segundo mês após o assentimento real; outras seguirão por via de legislação secundária.

Fontes: Parlamento do Reino Unido, 2026; Parallel Parliament, 2026

Resumo

O período de junho a início de julho de 2026 marca o momento em que a aplicação da NIS2 passou da pressão política para a ação jurídica e de supervisão efetiva. As remessas para o Tribunal foram apresentadas. As leis nacionais estão a entrar em vigor. As autoridades de supervisão estão a solicitar provas das medidas de segurança, e não apenas confirmações de registo.

Para as organizações na Irlanda, em Espanha, em França e nos Países Baixos, os processos por infração não alteram em nada as obrigações subjacentes. Os requisitos da NIS2 são vinculativos desde outubro de 2024, independentemente do estado da transposição nacional. Os processos acrescentam consequências financeiras para os governos, mas não criam um período de tolerância para as entidades reguladas.

Para as organizações na Alemanha e nos Países Baixos, o calendário de conformidade está agora definido. O BSI está a auditar. A Cyberbeveiligingswet entra em vigor a 15 de agosto. O documento de mapeamento do artigo 21.º publicado pelo Grupo de Cooperação NIS em junho de 2026 é o resultado mais aplicável na prática deste período: se a equipa já trabalha com base na ISO 27001 ou no NIST CSF 2.0, oferece um caminho direto para concluir a análise de lacunas da NIS2 antes que uma autoridade de supervisão a faça por conta da organização.

Controlos de acesso NIS2 para a segurança da cadeia de abastecimento

48 % das violações envolvem agora terceiros. O artigo 21.º da NIS2 torna a governação do acesso de fornecedores uma obrigação legal. Eis como mapear o acesso dos fornecedores, impor a MFA e o princípio do menor privilégio e manter as provas de auditoria que demonstram que os controlos funcionam.

Passwork BlogAlex Muntyan

Shadow IT vs Shadow AI: Porque a IA é a maior ameaça

Os colaboradores estão a utilizar ferramentas de IA que não foram aprovadas, em contas que não é possível monitorizar, com dados que não é possível recuperar. Eis como é realmente o risco e o que a governação tem de abordar.

Passwork BlogAlex Muntyan

Saída de colaboradores: Guia de revogação segura de acessos 2026

Desativar uma conta SSO não revoga o acesso. As chaves de API, as credenciais de agentes de IA e as palavras-passe partilhadas sobrevivem à desativação. Este guia abrange o procedimento completo de saída de colaboradores, desde os gatilhos de hora zero até à limpeza de NHI.

Passwork BlogAlex Muntyan