Cibersegurança · Artigo regulatório
NIS2 em Portugal: 5 erros que deixam empresas expostas
O maior erro raramente é técnico. Começa numa análise fraca de enquadramento, governance e accountability.
Tratar a NIS2 como assunto só de IT
Se jurídico, compliance, risco e gestão ficam fora, a análise nasce incompleta. A pergunta certa não é apenas se existem controlos, mas quem decide, quem responde e como se prova.
Assumir que só afeta infraestruturas críticas
Muitas organizações excluem-se demasiado cedo do perímetro regulatório. Serviços, dependências, continuidade, terceiros e impacto no negócio contam mais do que etiquetas simplistas.
Não documentar a análise
Sem rasto de decisão, a organização perde defesa e capacidade de execução. Critérios, pressupostos, exclusões, dependências, responsáveis e roadmap devem ficar registados.
Ignorar a cadeia de fornecedores
A NIS2 estende as obrigações de segurança à cadeia de abastecimento. Não basta proteger o perímetro interno: é preciso avaliar fornecedores críticos, refletir requisitos em contratos e acompanhar dependências de terceiros e de prestadores de serviços geridos.
Deixar a gestão de topo de fora
A NIS2 responsabiliza diretamente o órgão de gestão pela aprovação e supervisão das medidas. Quando a administração delega tudo no IT e não recebe formação nem reporting, falta accountability — e a exposição, legal e operacional, recai sobre quem decide.