NIS2: obrigações de verificação documental para entidades críticas 2026

A Diretiva (UE) 2022/2555, conhecida como NIS2, estabelece o quadro europeu de cibersegurança mais exigente alguma vez aprovado para entidades críticas. Para além das medidas técnicas de proteção, a diretiva introduz obrigações documentais concretas — verificação de fornecedores, registo de acessos, documentação de pessoal credenciado — cuja não observância pode implicar sanções até 10 milhões de euros. Em Portugal, onde a transposição da NIS2 está em curso com base no modelo já estabelecido pelo Decreto-Lei n.º 65/2021, as entidades essenciais e importantes precisam de compreender exatamente o que a diretiva exige em matéria de documentação.

Este guia analisa cada obrigação documental relevante para as entidades críticas portuguesas, os prazos aplicáveis em 2026 e as melhores práticas de implementação.

---

O que é a diretiva NIS2 e quais entidades são obrigadas em Portugal

A NIS2 abrange, em Portugal, todas as entidades classificadas como essenciais ou importantes nos setores listados nos Anexos I e II da diretiva, com o CNCS (Centro Nacional de Cibersegurança) como autoridade nacional competente.

A Diretiva NIS2 revoga e substitui a NIS1, alargando significativamente o âmbito de aplicação. Em Portugal, a NIS1 foi transposta pelo Decreto-Lei n.º 65/2021, de 30 de julho, que atribuiu ao CNCS o papel de autoridade nacional competente para a segurança das redes e sistemas de informação. A transposição da NIS2 exige uma nova intervenção legislativa nacional, mas os princípios centrais da diretiva já moldam as expetativas regulatórias para 2026.

As entidades abrangidas dividem-se em duas categorias:

• Entidades essenciais (Anexo I): operadores de infraestruturas críticas nos setores da energia (regulados pela ERSE), transportes, banca (Banco de Portugal e CMVM), infraestruturas dos mercados financeiros, saúde (SNS), água potável, águas residuais, infraestruturas digitais (incluindo fornecedores de serviços de computação em nuvem e centros de dados), gestão de serviços de TIC, administração pública e espaço.
• Entidades importantes (Anexo II): serviços postais, gestão de resíduos, fabricação de produtos críticos (dispositivos médicos, equipamentos eletrónicos), fornecedores de serviços digitais e investigação.

Para as entidades da administração pública portuguesa, a ESPAP (Entidade de Serviços Partilhados da Administração Pública) desempenha um papel de coordenação interna na implementação de medidas de segurança e normalização documental transversal. A NIS2 aplica-se a entidades com mais de 50 colaboradores ou volume de negócios superior a 10 milhões de euros, mas pode abranger entidades menores quando consideradas críticas para a infraestrutura nacional.

---

Artigo 21: requisitos documentais de gestão de riscos

O artigo 21 da NIS2 obriga cada entidade a documentar, manter atualizado e apresentar às autoridades um conjunto estruturado de políticas, procedimentos e registos de segurança.

O artigo 21(2) enumera dez categorias de medidas técnicas e organizativas que as entidades devem adotar. Cada uma destas categorias tem uma componente documental obrigatória:

• Políticas de segurança da informação [art. 21(2)(a)]: documento formal aprovado pelos órgãos de gestão, com revisão periódica comprovada por atas ou registos de aprovação.
• Gestão de incidentes [art. 21(2)(b)]: procedimentos escritos de deteção, análise, contenção e recuperação, com registos de cada incidente tratado.
• Continuidade de negócio [art. 21(2)(c)]: planos de continuidade (BCP) e recuperação de desastre (DRP) documentados, com provas de testes regulares.
• Segurança da cadeia de abastecimento [art. 21(2)(d)]: política documentada de avaliação de fornecedores, com registos da verificação documental de cada fornecedor direto relevante.
• Aquisição, desenvolvimento e manutenção de sistemas [art. 21(2)(e)]: requisitos de segurança documentados em cadernos de encargos e contratos.
• Avaliação da eficácia [art. 21(2)(f)]: relatórios de auditoria, testes de penetração ou revisões de segurança com periodicidade definida.
• Higiene cibernética e formação [art. 21(2)(g)]: registos de formação do pessoal e certificações obtidas.
• Criptografia [art. 21(2)(h)]: política de gestão de chaves e de encriptação documentada.
• Recursos humanos e controlo de acessos [art. 21(2)(i)]: procedimentos de verificação de antecedentes e gestão de privilégios de acesso.
• Autenticação multifator [art. 21(2)(j)]: registo das soluções implementadas e do universo de utilizadores abrangidos.

A ENISA publicou orientações técnicas específicas para cada um destes domínios, incluindo modelos de políticas e listas de verificação aplicáveis em 2026. Consulte também o nosso guia sobre como construir um programa de conformidade documental para uma abordagem estruturada de implementação.

---

Segurança da cadeia de abastecimento: verificar documentação de fornecedores

O artigo 21(2)(d) da NIS2 cria uma obrigação direta de verificação da documentação de segurança dos fornecedores diretos, tornando a cadeia de abastecimento um vetor de risco regulatório com consequências para a entidade contratante.

A segurança da cadeia de abastecimento é uma das inovações mais significativas da NIS2 face à NIS1. A diretiva exige que as entidades essenciais e importantes avaliem e documentem os riscos associados a cada fornecedor direto de serviços de TIC críticos. Na prática, isto traduz-se nas seguintes obrigações documentais:

1. Inventário de fornecedores críticos: lista atualizada dos prestadores de serviços de TIC cujo comprometimento poderia afetar a continuidade ou segurança dos serviços da entidade.

2. Questionários de segurança e evidências documentais dos fornecedores:

• Políticas de segurança da informação do fornecedor (certificação ISO 27001 ou equivalente)
• Relatórios de auditoria de segurança ou penetration testing recentes
• Procedimentos de gestão de vulnerabilidades e patching
• Planos de resposta a incidentes do fornecedor
• Evidências de conformidade com regulamentação aplicável (incluindo RGPD e, quando aplicável, a própria NIS2)

3. Cláusulas contratuais: os contratos com fornecedores críticos devem incluir obrigações de segurança mensuráveis, direito de auditoria e notificação de incidentes dentro dos prazos NIS2.

4. Revisão periódica: os registos de avaliação de fornecedores devem ser revistos pelo menos anualmente ou na sequência de incidentes significativos.

Para as entidades do setor financeiro português (bancos, seguradoras, prestadores de serviços de pagamento), esta obrigação NIS2 sobrepõe-se parcialmente ao regime DORA (Regulamento (UE) 2022/2554), que estabelece requisitos ainda mais específicos de gestão de risco de terceiros em TIC. A nossa análise detalhada sobre gestão de riscos de terceiros (TPRM) explora este cruzamento de obrigações.

Uma plataforma como o CheckFile suporta mais de 3.200 tipos de documentos em 32 jurisdições, permitindo verificar automaticamente a autenticidade e validade de certificações, licenças e relatórios de conformidade submetidos por fornecedores, sem necessidade de processos manuais sujeitos a erro humano.

---

Documentação de pessoal credenciado e controlo de acessos

O artigo 21(2)(i) da NIS2 exige que as entidades mantenham registos verificáveis das verificações de antecedentes realizadas e dos privilégios de acesso atribuídos ao pessoal com funções críticas de segurança.

O controlo de acessos e a segurança dos recursos humanos constituem um domínio documental frequentemente subestimado na preparação para a NIS2. A diretiva não estabelece um padrão único de verificação de antecedentes — este é definido pelas autoridades nacionais e pelas especificidades sectoriais — mas exige que o processo seja documentado e proporcional ao risco.

Documentação obrigatória neste domínio:

• Registos de verificação de antecedentes: para pessoal com acesso a sistemas críticos, incluindo provas das verificações efetuadas (declarações de autorização de acesso, verificação de certificações profissionais, comprovativo de habilitações para funções específicas).
• Políticas de gestão de acessos privilegiados (PAM): procedimento documentado de concessão, revisão e revogação de acessos com base no princípio do menor privilégio.
• Registos de revisão periódica de acessos: evidências das revisões trimestrais ou semestrais de permissões ativas.
• Procedimentos de onboarding e offboarding: registo documentado da ativação e desativação de acessos em casos de entrada e saída de colaboradores ou prestadores externos.
• Formação em cibersegurança: registos de conclusão de formações obrigatórias, incluindo datas e conteúdos abordados.

Para as entidades da administração pública portuguesa, a ESPAP estabelece normas transversais de gestão de identidades e acessos que se articulam diretamente com estas exigências NIS2. Nas entidades de saúde integradas no SNS, os requisitos de credenciação do pessoal com acesso a dados clínicos acrescentam uma camada adicional de documentação necessária.

A verificação automática de documentos de qualificação e credenciação — como certificados profissionais, habilitações académicas e autorizações de segurança — reduz o tempo de processamento e elimina o risco de documentos falsificados ou expirados passarem despercebidos em processos de onboarding.

---

Notificação de incidentes: prazos e formato (artigo 23)

O artigo 23 da NIS2 estabelece um regime de notificação obrigatória em três fases, com prazos rigorosos que exigem documentação estruturada desde o momento da deteção do incidente.

O regime de notificação de incidentes é uma das obrigações de maior impacto operacional da NIS2. A entidade tem de notificar o CNCS (e, conforme aplicável, outras autoridades sectoriais como o Banco de Portugal) nos seguintes prazos:

Estes prazos exigem que a entidade disponha, previamente ao incidente, de documentação operacional completa: modelos de relatório pré-preenchidos com a estrutura exigida pelo CNCS, procedimentos de escalada internos documentados que identifiquem os responsáveis pela notificação, e registos de logs suficientemente detalhados para suportar a análise de causa raiz num prazo de 72 horas.

Para incidentes que afetam infraestruturas críticas com impacto em vários Estados-Membros, a notificação deve ser coordenada através da rede CSIRT europeia. As entidades do setor financeiro têm obrigações adicionais de reporte simultâneo ao Banco de Portugal e, quando aplicável, à CMVM e ao BCE, no âmbito do DORA.

A ausência de documentação estruturada de incidentes não é apenas uma falha de processo — é, por si só, uma violação das obrigações NIS2 sujeita a sanção administrativa. Consulte o guia de conformidade documental para uma abordagem integrada de gestão de registos de incidentes.

---

NIS1 vs NIS2: comparativo de requisitos documentais

A NIS2 amplia substancialmente o âmbito e a profundidade das obrigações documentais face à NIS1, tornando a gestão documental um elemento central — e não acessório — do programa de conformidade.

A Comissão Europeia publicou orientações de implementação e o calendário de transposição da NIS2, sublinhando que as autoridades nacionais terão poderes de supervisão e sanção reforçados em relação à NIS1.

---

Sanções e responsabilidade dos órgãos de gestão

O artigo 20 da NIS2 introduz responsabilidade pessoal dos membros dos órgãos de gestão pelo incumprimento das obrigações de cibersegurança, podendo implicar suspensão temporária de funções para entidades essenciais.

O regime sancionatório da NIS2 representa uma mudança qualitativa face à abordagem anterior. As coimas máximas são:

• Entidades essenciais: até 10.000.000 € ou 2% do volume de negócios mundial anual total, consoante o valor mais elevado.
• Entidades importantes: até 7.000.000 € ou 1,4% do volume de negócios mundial anual total, consoante o valor mais elevado.

Mas a inovação mais relevante para os líderes de organizações portuguesas é o artigo 20, que estabelece que os membros dos órgãos de gestão são pessoalmente responsáveis pelo cumprimento das obrigações de cibersegurança. Concretamente:

• Os órgãos de gestão devem aprovar as medidas de gestão de riscos de cibersegurança adotadas pela entidade.
• Devem supervisionar a sua implementação e podem ser considerados responsáveis pelo incumprimento.
• As autoridades competentes podem proibir temporaneamente qualquer pessoa singular que exerça funções de gestor ou representante legal de uma entidade essencial de exercer funções de gestão, em caso de infração grave e reiterada.

Esta responsabilidade pessoal torna imperativo que os membros dos conselhos de administração e das direções executivas mantenham evidências documentadas da sua participação no processo de aprovação e supervisão das políticas de cibersegurança — atas de reuniões, relatórios apresentados ao conselho, registos de decisões tomadas.

Para entidades bancárias e financeiras, o Banco de Portugal e a CMVM têm competência de supervisão paralela, podendo articular as suas intervenções com o CNCS no âmbito de um regime de supervisão integrado.

---

Como o CheckFile automatiza a conformidade documental NIS2

O CheckFile oferece verificação automática de mais de 3.200 tipos de documentos em 32 jurisdições, cobrindo os principais documentos exigidos pelo ciclo de conformidade NIS2 — da verificação de fornecedores à credenciação de pessoal.

A gestão manual de documentação de conformidade NIS2 expõe as entidades a três riscos concretos: documentos expirados não detetados, registos incompletos que não sustentam uma auditoria e atrasos nos processos de onboarding de fornecedores ou pessoal. A automação resolve estes problemas de forma estruturada.

Verificação de fornecedores (art. 21(2)(d)): a plataforma CheckFile analisa automaticamente certificações ISO 27001, relatórios SOC 2, licenças de operação e outros documentos de segurança submetidos por fornecedores, verificando autenticidade, validade e correspondência com os requisitos contratuais definidos pela entidade. O resultado é um registo auditável de cada verificação, com data, documento analisado e resultado.

Credenciação de pessoal (art. 21(2)(i)): a verificação automática de documentos de habilitações, certificações profissionais e autorizações de segurança acelera o onboarding e garante que nenhum colaborador ou prestador externo inicia funções com documentação em falta ou inválida.

Gestão de registos de incidentes (art. 23): a integração com sistemas de gestão de incidentes permite que os relatórios obrigatórios sejam gerados com base em dados estruturados, reduzindo o tempo de preparação numa fase em que cada hora conta.

KYC e verificação de identidade para setores regulados: para entidades dos setores financeiro e da saúde, a solução de KYC bancário do CheckFile cobre os requisitos de verificação de identidade que se sobrepõem com as obrigações de controlo de acessos da NIS2.

As especificações técnicas de segurança da plataforma, incluindo as medidas de proteção de dados e controlo de acessos, estão documentadas na página de segurança do CheckFile. Para explorar os planos disponíveis para equipas de conformidade, consulte a página de tarifas.

Nota de conformidade regulatória: Este artigo tem caráter informativo e não constitui aconselhamento jurídico ou de conformidade. As obrigações específicas de cada entidade dependem da sua classificação como essencial ou importante, do setor de atividade, da legislação nacional de transposição da NIS2 em vigor em Portugal e das orientações do CNCS. Recomenda-se a consulta de especialistas jurídicos especializados em direito da cibersegurança para a implementação de um programa de conformidade NIS2 adequado à realidade de cada organização.

---

Perguntas frequentes

Qual é a diferença entre entidade essencial e entidade importante na NIS2?

As entidades essenciais são as que operam nos setores do Anexo I da NIS2 (energia, transportes, banca, saúde, água, infraestruturas digitais, administração pública, espaço) e ultrapassam os limiares de dimensão. Estão sujeitas às sanções mais elevadas (até 10 M€ ou 2% do volume de negócios mundial) e a supervisão ex ante por parte das autoridades competentes. As entidades importantes, listadas no Anexo II (serviços postais, resíduos, fabricação crítica, serviços digitais), ficam sujeitas a supervisão ex post e a sanções até 7 M€ ou 1,4%. Em Portugal, o CNCS é responsável pela classificação final das entidades abrangidas.

O que deve constar da documentação de verificação de fornecedores exigida pelo artigo 21(2)(d)?

A documentação deve incluir: (1) inventário atualizado dos fornecedores de TIC críticos; (2) evidências das verificações realizadas — certificações de segurança do fornecedor (ISO 27001, SOC 2 ou equivalente), relatórios de auditoria recentes, questionários de avaliação de risco preenchidos e assinados; (3) cláusulas contratuais de segurança relevantes; (4) registo das revisões periódicas. A ENISA recomenda que este processo seja formalizado numa política de segurança da cadeia de abastecimento aprovada pelos órgãos de gestão.

Quais são exatamente os prazos de notificação de incidentes NIS2 em Portugal?

O artigo 23 da NIS2 estabelece três prazos obrigatórios: alerta precoce ao CNCS em 24 horas após deteção do incidente significativo; notificação completa em 72 horas com avaliação inicial de gravidade e impacto; relatório final em 1 mês com análise de causa raiz e medidas corretivas. Para entidades do setor financeiro, podem existir obrigações adicionais de reporte simultâneo ao Banco de Portugal, à CMVM e, no âmbito do DORA, às autoridades europeias.

Os membros do conselho de administração podem ser pessoalmente sancionados pela NIS2?

Sim. O artigo 20 da NIS2 é explícito: os órgãos de gestão são responsáveis pela aprovação e supervisão das medidas de gestão de riscos de cibersegurança. Em caso de infração grave por parte de uma entidade essencial, as autoridades nacionais competentes — em Portugal, o CNCS — podem proibir temporaneamente qualquer gestor ou representante legal de exercer funções de gestão. Esta responsabilidade pessoal torna indispensável que as decisões de cibersegurança sejam formalmente documentadas e rastreáveis ao nível do conselho de administração.

Como é que o CheckFile ajuda especificamente na conformidade com o artigo 21(2)(d) da NIS2?

O CheckFile automatiza a verificação de documentos de segurança submetidos por fornecedores — certificações ISO 27001, licenças de operação, relatórios de auditoria, declarações de conformidade — comparando-os com padrões de referência e verificando a sua autenticidade e validade. O sistema gera um registo auditável de cada verificação, com timestamp e resultado, que pode ser apresentado diretamente ao CNCS ou a auditores externos como evidência do cumprimento do artigo 21(2)(d). O suporte a mais de 3.200 tipos de documentos em 32 jurisdições cobre os fornecedores internacionais que as entidades críticas portuguesas tipicamente utilizam.