NIS2 em Santas Casas, IPSS e lares: está mesmo abrangido?
Começamos por dizer o que quase ninguém diz: a maior parte das instituições de solidariedade do interior fica fora do âmbito da NIS2 por critério de dimensão. Isso não faz o assunto desaparecer, faz mudar de forma. Esta página tem o teste de âmbito, os prazos reais para quem está abrangido, e o que exigir a quem lhe entra na rede.
Esta página tem duas metades, porque há duas situações diferentes e confundi-las é o erro mais caro que se pode cometer aqui. Uma coisa é estar abrangido pela NIS2 e ter obrigações próprias com prazos e coimas. Outra é não estar abrangido e ser fornecedor de quem está, e passar a receber questionários de segurança que decidem se continua a trabalhar com aquele cliente.
Começamos pelo teste que diz em qual das duas está. Depois tratamos de cada uma em separado.
Antes de mais, porque é que escrevemos isto
A NIS2 nomeia expressamente o nosso setor. No Anexo I, setor 9, «Gestão de serviços TIC (empresa a empresa)», estão os prestadores de serviços geridos e os prestadores de serviços de segurança geridos. É o que a RTC faz.
Pela nossa dimensão ficamos abaixo do limiar que obriga ao registo, e dizemo-lo com todas as letras em vez de deixar a ambiguidade a trabalhar a nosso favor. Mas o setor está na lista, e por isso aplicamos a nós próprios as medidas que os nossos clientes vão ter de exigir aos seus fornecedores. É diferente de aprender o assunto para o vender.
Se dirige uma Santa Casa, uma IPSS ou um lar
É o caso que mais nos aparece, e o que mais confusão gera. Vamos direitos ao ponto: a maior parte das instituições de solidariedade do interior fica fora do âmbito da NIS2 por critério de dimensão. Não tem registo obrigatório, não tem prazo de setembro, não arrisca coima. Quem lhe disser o contrário sem fazer as contas está a vender-lhe medo.
Isso não quer dizer que o assunto não lhe diga respeito, por três razões concretas.
Primeira: pode estar abrangida sem ter a dimensão. A lei permite designação de entidades pequenas quando são o único prestador de um serviço essencial num território, ou quando a paragem do serviço teria impacto significativo na saúde pública. Numa vila onde a Misericórdia tem a única unidade de cuidados continuados do concelho, isto não é hipótese académica. O passo 3 do teste em baixo trata disso.
Segunda: a conta faz-se pela instituição inteira. Uma Misericórdia com lar, creche, apoio domiciliário, centro de dia e unidade de cuidados continuados soma tudo. Instituições que se julgam pequenas passam os 50 colaboradores sem darem por isso, e aí a resposta muda.
Terceira, e é a que chega primeiro: o financiador e o parceiro vão perguntar. ARS, Segurança Social, hospitais com quem articula, autarquias que cofinanciam. À medida que essas entidades entram no âmbito, passam a ter de demonstrar que controlam a segurança de quem lhes toca nos dados. E a forma de o demonstrarem é pedir provas por escrito a jusante.
Acresce uma coisa que nada tem a ver com a NIS2 e que é a verdadeira urgência de uma IPSS: os dados que trata são dados de saúde de pessoas vulneráveis, categoria especial no RGPD. A obrigação de os proteger já existe hoje, com ou sem NIS2, e é a mesma higiene técnica que resolve as duas coisas.
Teste de âmbito: está abrangido?
Responda por ordem. Cada passo depende do anterior, e o teste tem de ser feito pela entidade jurídica inteira, não por departamento nem por valência.
Passo 1. A atividade está num dos setores da lei?
Os setores de alta criticidade (Anexo I) são energia, transportes, banca, infraestruturas do mercado financeiro, saúde, água potável, águas residuais, infraestrutura digital, gestão de serviços TIC entre empresas, administração pública e espaço.
Os outros setores críticos (Anexo II) são serviços postais e de estafeta, gestão de resíduos, fabrico e distribuição de químicos, produção e distribuição de alimentos, fabrico de dispositivos médicos, informática, eletrónica, máquinas, veículos e outro equipamento de transporte, prestadores de serviços digitais como mercados em linha, motores de busca e redes sociais, e organizações de investigação.
Se a atividade não está em nenhuma destas listas, o teste acaba aqui e não está abrangido. Passe para a segunda metade da página, sobre o efeito cascata.
Passo 2. Qual é a dimensão da entidade?
A regra geral usa os limiares europeus de dimensão de empresa. Conta-se o total da entidade, somando todas as valências e todos os estabelecimentos.
| Dimensão | Critério | Resultado, se o setor estiver na lista |
|---|---|---|
| Grande | 250 ou mais pessoas, ou mais de 50 M€ de volume de negócios | Entidade essencial, se estiver no Anexo I |
| Média | 50 ou mais pessoas, ou mais de 10 M€ | Entidade importante |
| Pequena ou micro | Menos de 50 pessoas e até 10 M€ | Fora do âmbito, salvo o passo 3 |
Passo 3. Há alguma exceção que o puxe para dentro apesar da dimensão?
A lei prevê situações em que a dimensão deixa de valer e a entidade fica abrangida de qualquer forma. As mais relevantes por cá: ser o único prestador de um serviço essencial num território; a perturbação do serviço poder ter impacto significativo na segurança ou na saúde públicas; existir risco sistémico relevante; ou tratar-se de administração pública. Há ainda categorias que estão sempre abrangidas independentemente do tamanho, como prestadores de redes e serviços de comunicações eletrónicas públicas, prestadores de serviços de confiança, registos de topo e prestadores de DNS.
Numa vila do interior onde a Misericórdia é a única resposta de saúde do concelho, ou numa junta que presta um serviço sem alternativa, este passo não é teórico. A decisão final de designação é do Estado, e é aqui que se justifica ter o parecer do jurista da instituição por escrito.
O resultado
Se o setor está na lista e a entidade é média ou grande, está abrangido: entidade importante se for média, essencial se for grande e do Anexo I. Se ficou de fora, continue a ler, porque a NIS2 vai chegar-lhe pela porta do lado.
Primeira metade: está abrangido. O que tem de fazer
O regime português é o Decreto-Lei n.º 125/2025, de 4 de dezembro, em vigor desde 3 de abril de 2026. A autoridade é o Centro Nacional de Cibersegurança e a plataforma de registo e de notificação é a MyCiber, operacionalizada pelo Regulamento n.º 756/2026, em vigor desde 23 de junho de 2026.
Prazos que já estão a correr
- Registo na MyCiber: 60 dias após a disponibilização da plataforma, para entidades já em atividade. A contar de 23 de junho de 2026, em dias úteis, cai em meados de setembro de 2026.
- Responsável de cibersegurança designado e comunicado, que tem de integrar o órgão de gestão ou reportar diretamente a ele.
- Alerta precoce de incidente significativo: 24 horas a contar do momento em que a entidade toma conhecimento.
- Notificação de incidente: 72 horas.
- Relatório final: um mês.
As medidas que a lei exige
O artigo 21.º, número 2 da Diretiva (UE) 2022/2555 lista dez famílias de medidas: análise de riscos e política de segurança dos sistemas; tratamento de incidentes; continuidade de negócio, incluindo gestão de cópias de segurança e recuperação; segurança da cadeia de abastecimento; segurança na aquisição, desenvolvimento e manutenção de sistemas, incluindo o tratamento de vulnerabilidades; políticas para avaliar a eficácia das medidas; práticas básicas de higiene informática e formação; criptografia; segurança de recursos humanos, controlo de acessos e gestão de ativos; e autenticação multifator, comunicações seguras de voz, vídeo e texto, e comunicações de emergência.
Quem responde: o órgão de gestão
O artigo 20.º é explícito. Os órgãos de gestão aprovam as medidas, supervisionam a execução, podem ser responsabilizados por infrações, e têm de frequentar formação em cibersegurança. No regime português estas competências são indelegáveis fora do próprio órgão. A informática deixou de ser assunto que se despacha com quem trata dos computadores e passou a ser matéria de ata.
Coimas
| Categoria | Infrações muito graves | Infrações graves |
|---|---|---|
| Entidade essencial | Até 10 M€ ou 2% do volume de negócios anual mundial, o valor mais elevado | Até 5 M€ ou 1% |
| Entidade importante | Até 7 M€ ou 1,4%, o valor mais elevado | Até 3,5 M€ ou 0,7% |
Segunda metade: não está abrangido, e mesmo assim isto chega-lhe
É a situação da maioria das pequenas e médias organizações com que trabalhamos, e a que costuma apanhar as pessoas de surpresa.
A obrigação está no artigo 21.º, número 2, alínea d): «segurança da cadeia de abastecimento, incluindo aspetos relacionados com a segurança das relações entre cada entidade e os seus fornecedores diretos ou prestadores de serviços».
Traduzido: quem está abrangido tem de conseguir demonstrar por escrito que avaliou o risco dos fornecedores e que o mantém sob controlo. E a única forma de o demonstrar é pedir provas a cada fornecedor. É por isso que vão começar a chegar questionários de segurança a empresas que nunca ouviram falar de NIS2: hospitais aos seus fornecedores de software, câmaras às empresas de manutenção, grupos maiores aos seus subcontratados.
Quem não conseguir responder não é multado. Fica de fora do concurso, ou perde o cliente para quem responde. É uma exclusão comercial, não uma sanção legal, e chega mais depressa do que qualquer coima.
Um aviso, porque anda muita comunicação sobre este tema a citar o artigo 27.º da diretiva a propósito de cadeia de abastecimento. O artigo 27.º chama-se «Registo de entidades» e trata do registo que a ENISA mantém de prestadores de DNS, de cloud e de serviços geridos. Não é o artigo da cadeia de abastecimento. Numa auditoria, a diferença nota-se.
O que assumimos como fornecedor
Se a instituição abrangida tem de demonstrar que controla os fornecedores, então o fornecedor tem de ser demonstrável. Estes são os quatro compromissos que assumimos com quem nos contrata, escritos aqui precisamente para poderem ser exigidos.
1. Nenhum acesso remoto sem autenticação forte
Todas as ligações de suporte que fazemos à infraestrutura de um cliente usam autenticação com segundo fator. Não há contas partilhadas entre técnicos, não há palavras-passe genéricas de manutenção, e nenhum acesso fica ativo depois de deixar de ser preciso.
2. Registo de sessões de suporte
Fica registado quem acedeu, quando, e o que executou. Esse registo é apresentável ao cliente, que é precisamente o que um auditor vai pedir quando perguntar quem entrou na rede no trimestre passado.
3. Alterações críticas documentadas antes de acontecerem
Regras de firewall, scripts sobre bases de dados de ERP, alterações de configuração em servidores e em switches: tudo o que possa parar a operação ou mexer em dados fica registado com o que se vai fazer, porquê, e como se volta atrás. Num setor regulado, a evidência documental do que foi feito vale tanto como a intervenção.
4. Relatórios de atualizações
Firewalls, switches, hipervisores e servidores que gerimos têm política de atualização definida e verificada, com relatório de estado que a organização junta ao processo sem ter de nos pedir nada.
E acrescentamos um quinto, por contrato: se o incidente de segurança for do nosso lado e puder afetar a infraestrutura do cliente, notificamos por escrito no prazo máximo de 12 horas a contar do momento em que o detetamos. Isso deixa-lhe metade do prazo legal para avaliar e comunicar ao CNCS dentro das suas 24 horas. É a cláusula que quase nenhum contrato de informática tem e que uma auditoria vai procurar.
Note-se o que isto não é. Não é uma certificação: a RTC não é entidade certificadora e não emite declarações de conformidade. É a descrição do que fazemos e do que nos pode exigir por escrito.
Também ajudamos a cumprir, não só a não atrapalhar
Os quatro compromissos acima dizem respeito ao nosso lado da relação. Do lado da organização, quando está abrangida, acompanhamos o que é trabalho técnico: levantamento do que existe, aplicação das medidas do artigo 21.º que dependem de infraestrutura, preparação da evidência documental, e apoio na parte técnica do registo e das notificações. O que não fazemos é o enquadramento jurídico e a designação do responsável de cibersegurança, que têm de ser da organização.
Avaliação de exposição, gratuita
Não tem custo. Vamos ao local, avaliamos como a informática atual expõe a organização, e entregamos um relatório escrito. Serve para os dois públicos. Para quem está abrangido, produz a evidência que falta ao processo. Para quem é fornecedor, mostra o que é preciso corrigir antes de o primeiro questionário chegar. Responde a cinco perguntas concretas:
- Quem tem acesso remoto à vossa rede neste momento, incluindo fornecedores antigos que ninguém desligou.
- Que acessos têm segundo fator e quais ainda dependem só de palavra-passe.
- Que contratos de tecnologia existem e o que dizem sobre segurança, incidentes e prazos.
- O que está por atualizar em equipamento de rede, servidores e postos de trabalho.
- Que evidência documental existe hoje para mostrar a um auditor ou a um cliente.
Do levantamento sai um relatório escrito com o que encontrámos, o que é urgente e o que pode esperar, com estimativa de esforço para cada ponto. O relatório é da organização e serve para decidir, mesmo que decida avançar com outra pessoa. Não cobramos por ele e não fica preso a nenhum contrato.
O que não fazemos, e é bom que fique claro
Não damos aconselhamento jurídico. Explicamos o que a lei exige em termos técnicos e remetemos o enquadramento para o jurista da organização, porque a decisão sobre se está ou não abrangida tem consequências e não é nossa para tomar.
Não emitimos certificados de conformidade com a NIS2, porque não existe tal coisa emitida por um prestador de serviços de informática. Não substituímos o responsável de cibersegurança que a lei manda designar, que tem de ser da organização. E não prometemos que ninguém será atacado, porque isso ninguém pode prometer.
Porquê a RTC
Trabalhamos com empresas e com instituições do interior desde 2009. Na Santa Casa da Misericórdia de Freixo de Espada à Cinta ligámos todos os edifícios por Wi-Fi, montámos rede separada para utentes e para as equipas de trabalho, integrámos firewall e servidor virtual e ficámos com a gestão da rede estruturada. Em Carrazeda de Ansiães e em Vila Flor implementámos a rede WiFi4EU das câmaras municipais, e na Freguesia de Miranda do Douro a rede da junta.
Estamos em Bragança e fazemos rondas regulares aos concelhos de Trás-os-Montes e do Alto Douro. Para uma organização do interior isso significa que quem responde ao telefone conhece o edifício, sabe onde está o bastidor e já lá esteve.
Por onde começar
O primeiro passo é uma conversa de meia hora para perceber a dimensão da organização, o setor e quem lhe trata hoje da informática. Sai daí uma resposta clara à única pergunta que interessa nesta fase: está abrangido, é fornecedor de quem está, ou nenhuma das duas. O diagnóstico é gratuito e, se a conclusão for que ainda não precisa disto, é isso que lhe dizemos.
Para aprofundar, temos o guia prático da NIS2 em Portugal, o detalhe das medidas, prazos e coimas, e a página dedicada a escritórios de contabilidade. Do lado técnico, veja o que fazemos em cibersegurança, em redes e Wi-Fi geridos e em cópias de segurança e servidores.
Esta página reúne informação factual sobre a Diretiva (UE) 2022/2555 e o Decreto-Lei n.º 125/2025 e não constitui aconselhamento jurídico. O enquadramento concreto de cada organização deve ser confirmado com apoio jurídico próprio.