O prazo de transposição era outubro de 2024. Dois anos depois, a maioria dos Estados-Membros já incorporou o NIS 2 no direito nacional, e as autoridades passaram de publicar orientações a fazer perguntas.
E, no entanto, a conversa que tenho com CISOs, responsáveis de conformidade e gestores de TI em toda a Europa é sempre a mesma.
"Sabemos que o NIS 2 nos é aplicável. Lemos a diretiva. Ainda não começámos."
Se é o seu caso, não se trata de um problema de leitura.
A lacuna de que ninguém fala
O NIS 2 é uma diretiva, não um manual.
Diz-lhe o que alcançar. Não diz como. E o "como" é onde toda a gente está bloqueada.
Tem cinquenta páginas de texto jurídico. Compreende o âmbito, os setores, as obrigações de notificação. Depois chega a segunda-feira de manhã, alguém pergunta-lhe por onde começar, e a resposta honesta é que ainda não sabe.
Esta lacuna, entre compreender a diretiva e implementá-la, é onde as organizações perdem seis meses. Seis meses que já não tem.
O que torna o NIS 2 diferente de tudo o que já fez
Se já trabalhou com ISO 27001 ou GDPR, pode ser tentado a catalogar o NIS 2 como "mais um referencial". Não é.
A sua gestão é pessoalmente responsável. Não a organização. As pessoas. Se é o CISO ou o responsável de conformidade, o seu órgão de governação assume uma responsabilidade que um certificado não absorve.
O prazo de notificação é rígido. Vinte e quatro horas para um aviso prévio. Setenta e duas para uma notificação completa. Não há "voltamos ao assunto na semana que vem".
A segurança da cadeia de abastecimento não é uma cláusula que se assina. São necessárias avaliações documentadas, obrigações contratuais e monitorização que resista a um pedido de evidências.
As coimas têm caráter estrutural. Até 10 milhões de euros ou 2% do volume de negócios anual global para entidades essenciais, e a sua organização pode ser identificada publicamente.
Operar em vários países implica pluralidade. Estar presente em vários Estados-Membros significa lidar com várias transposições nacionais da mesma diretiva, e elas não são idênticas entre si.
O ISO 27001 é uma boa base. Não cobre os prazos de notificação, os requisitos setoriais específicos, nem a responsabilidade da gestão. Esses elementos são novos, e são os que têm dentes.
As cinco perguntas que o seu regulador vai fazer
Quando a autoridade nacional aparecer, e vai aparecer, é isto que quer ver.
- Governação. Tem um quadro de governação da cibersegurança com funções nomeadas e supervisão efetiva da gestão? Consegue demonstrar que a gestão de topo está envolvida, e não apenas informada?
- Gestão do risco. Existe uma avaliação de risco formal? Documentada? Ligada a controlos específicos? Consegue mostrar como estabeleceu prioridades?
- Resposta a incidentes. Tem um plano testado que cumpre as obrigações das 24 e 72 horas? Já o exercitou na prática?
- Cadeia de abastecimento. Como avalia e monitoriza o risco de cibersegurança nos seus fornecedores? Quais os contratos, quais os controlos, quais as evidências?
- Melhoria contínua. O que mede? O que reporta? Como testa e melhora?
Se não consegue responder às cinco perguntas com documentação e sem hesitação, tem uma lacuna. Essa lacuna tem um custo.
14 a 18 de dezembro: colmate-a em cinco dias
É para isso que existe o curso NIS 2 Directive Lead Implementer.
De 14 a 18 de dezembro realizamos uma turma ao vivo online, em inglês, percorrendo o processo de implementação completo. Não a teoria. Não o texto normativo. A metodologia que vai usar na segunda-feira seguinte.
| Dia | Foco |
|---|---|
| Seg 14 Dez | Fundamentos do NIS 2, requisitos, definição do âmbito na sua organização, arranque do projeto de implementação |
| Ter 15 Dez | Estrutura de governação, funções e responsabilidades, gestão de ativos, metodologia de gestão do risco |
| Qua 16 Dez | Controlos de cibersegurança, segurança da cadeia de abastecimento, gestão de incidentes, quadros de gestão de crises |
| Qui 17 Dez | Continuidade de negócio, sensibilização e formação, testes, métricas e monitorização, melhoria contínua |
| Sex 18 Dez | Exame de certificação |
As turmas estão limitadas a seis pessoas, que é a razão pela qual as perguntas recebem respostas adequadas.
O que leva consigo
"Vai aprender muito" não é uma proposta de valor. Aqui está a lista concreta.
- Um roteiro de implementação que pode apresentar ao seu conselho de administração na segunda-feira. Fases, marcos, responsáveis; não notas de formação.
- Quadros de resposta a incidentes que cumprem as obrigações das 24 e 72 horas. Documentados, testados, defensáveis.
- Uma metodologia de avaliação do risco construída sobre cenários reais, não exemplos de manual.
- Abordagens para a cadeia de abastecimento que vão além de "os nossos fornecedores assinaram um NDA". Quadros de avaliação, requisitos contratuais, monitorização contínua.
- A credencial PECB Certified NIS 2 Directive Lead Implementer, reconhecida em toda a Europa, com o exame incluído no preço e 31 créditos CPD.
- A garantia [Certificação ou Reembolso](/trainings/certification-or-refund). Se concluir o curso, realizar o exame e não passar, é reembolsado.
Por que razão este é diferente
Existem outros cursos sobre NIS 2. A maioria é lecionada por formadores que leem diapositivos sobre a diretiva.
Sou um CISO em exercício. Realizo implementações do NIS 2 para organizações em toda a Europa. Quando ensino resposta a incidentes, é porque construí planos de resposta a incidentes este ano e assisti à sua utilização. Quando ensino avaliação da cadeia de abastecimento, é porque já negociei com fornecedores sobre evidências.
Essa é a diferença entre um curso sobre uma diretiva e a transferência de conhecimento de implementação por parte de alguém que faz o trabalho.
Este curso é para si
Este curso é para quem já está farto de ler sobre o NIS 2.
- CISOs e responsáveis de segurança que lideram, ou estão prestes a liderar, um projeto de conformidade com o NIS 2
- Responsáveis de GRC e conformidade que transformam a diretiva em realidade operacional
- Gestores de TI nos dezoito setores agora abrangidos: energia, transportes, saúde, serviços digitais e os restantes
- Consultores que prestam aconselhamento em NIS 2 e necessitam da credencial por detrás do conselho
- Risk managers que integram o NIS 2 num quadro de risco empresarial
Não é bem o que procura? Se pretende uma introdução de alto nível ao que é o NIS 2 e a quem se aplica, NIS 2 Foundation é o ponto de partida mais adequado.
Reserve o seu lugar
NIS 2 Directive Lead Implementer 14 a 18 de dezembro de 2026, ao vivo online, em inglês. Exame de certificação PECB incluído, 31 créditos CPD, garantia Certificação ou Reembolso.
Seis lugares. Não é marketing de escassez; é o número que permite a cada participante colocar as suas próprias questões.