Legal Alert | Diretiva SRI2 (NIS2)

Enquadramento

A Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União (SRI2 ou Diretiva), foi publicada no Jornal Oficial da União Europeia, a 27 de dezembro de 2022.

A SRI2 foi criada num contexto contemporâneo de urgência, perante a necessidade contínua e crescente de oferecer uma resposta mais sofisticada à frequência e complexidade das ciberameaças, com o propósito global de melhorar e fortalecer a cibersegurança e proteger as infraestruturas críticas em toda a União Europeia (UE).

A Diretiva em vigor baseia-se, fundamentalmente, na anterior SRI, abordando várias lacunas existentes e expandindo o seu âmbito de aplicação com o objetivo de aprimorar os requisitos de segurança, as obrigações de comunicação e as capacidades de gestão de crises e incidentes.

Entre as principais alterações e avanços, a SRI2 amplia significativamente o seu alcance, de modo a abranger uma gama mais vasta de setores e entidades e, paralelamente, i) estabelece obrigações de comunicação de incidentes mais rigorosas e objetivas, traduzidas num quadro unificado; ii) atribui maior ênfase à segurança da cadeia de abastecimento (supply chain); iii) aborda áreas de risco emergentes; iv) promove uma adequada gestão das vulnerabilidades; v) destaca a importância de ciber-higiene; vi) introduz a necessidade de análises e avaliações interpares, fomentando uma maior cooperação e colaboração entre os Estados-Membros; e vii) alarga o âmbito de aplicação, passando a incluir médias e grandes empresas de diferentes setores.

Âmbito de aplicação

A SRI2 aplica-se às entidades públicas ou privadas de um dos tipos referidos no anexo I ou II, que sejam consideradas médias empresas nos termos do artigo 2.º do anexo da Recomendação 2003/361/CE, ou que excedam os limiares relativos às médias empresas previstos no n.º 1 do referido artigo, e que prestem os seus serviços ou exerçam as suas atividades na UE.

As entidades abrangidas são classificadas em entidades essenciaise entidades importantes, de acordo com o artigo 3.º da SRI2, refletindo a medida em que são fundamentais no que concerne ao seu setor ou ao tipo de serviço que prestam, bem como a sua dimensão.

Requisitos principais da SRI2

Para as entidades abrangidas, a SRI2 prevê um leque de requisitos fundados em pilares-chave, segundo os quais as mesmas se devem pautar de forma a garantir uma conformidade transversal dos seus procedimentos com as previsões europeias. Devem, assim, as entidades abrangidas, ao abrigo do Cyber Crisis Management Structure (CyCLONe), rever, criar, estabelecer e/ou melhorar:

• Políticas de cibersegurança e práticas de gestão de riscos;
• Procedimentos de gestão de incidentes, incluindo obrigações de comunicação e planos de resposta;
• Planeamentos da prossecução das atividades para garantir a continuidade dos serviços críticos em caso de incidente cibernético;
• Medidas de segurança da cadeia de abastecimento (supply chain) para avaliar e garantir a segurança de fornecedores terceiros;
• Programas de formação e sensibilização aos seus colaboradores para promover as melhores práticas de cibersegurança;
• Práticas de gestão de ativos para identificar e proteger sistemas e ativos de informação críticos;
• Obrigações de comunicação às autoridades competentes e manter as capacidades de resposta a incidentes.

Sanções em caso de incumprimento dos requisitos

É ideal que as entidades abrangidas revisitem, reformulem e reforcem as suas obrigações, em conformidade com os requisitos da Diretiva. Caso não o façam, naturalmente, tal poderá resultar em coimas e sanções significativas.

No caso das entidades essenciais, as coimas poderão atingir 10 000 000 € ou 2% do volume de negócios global da entidade, consoante o valor mais elevado. Já para as entidades importantes, as coimas poderão atingir 7 000 000 € ou 1,4% do volume de negócios global, consoante o que for mais elevado. 

Muito para além da natureza destas sanções, é dada às autoridades nacionais a possibilidade de aplicar outras medidas e sanções por incumprimento da Diretiva. Entre elas, contam-se as ordens de suspensão ou restrição das atividades da entidade com vista à proteção da segurança das redes e dos sistemas de informação.

Tabela-resumo comparativa entre a SRI e a SRI2

A transposição da Diretiva SRI2 – O atual panorama português

A Diretiva SRI2 prevê que, até 17 de outubro de 2024, os Estados-Membros tivessem adotado as disposições necessárias com vista a dar cumprimento à Diretiva SRI2, aplicando-as a partir do dia seguinte, ou seja, 18 de outubro de 2024.

Embora já plenamente em vigor noutros ordenamentos jurídicos europeus, o contexto atual português é de incumprimento do Direito da UE, encontrando-se em curso o processo de transposição legislativa desta Diretiva, tendo sido a respetiva Proposta de Lei submetida a consulta pública apenas no dia 21 de novembro de 2024.

Encontra-se atualmente em vigor o Regime Jurídico da Segurança do Ciberespaço (Lei n.º 46/2018, de 13 de agosto), que transpôs a anterior Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho, de 6 de julho de 2016, e que é complementado pelo Decreto-Lei n.º 65/2021, de 30 de julho, e pela Instrução Técnica do Centro Nacional de Cibersegurança aprovada pelo Regulamento n.º 183/2022. Naturalmente, a Proposta de Lei, ainda que ainda não tenha dado corpo a uma legislação de transposição, apresenta e estabelece, ao longo das suas 121 páginas, a exposição dos seus motivos, alterações e questões inalteráveis, tudo face ao regime atual. 

Assim, sumariamente, eis o que se pode esperar, em linha com a SRI2: i) ampliação do número de entidades sujeitas; ii) medidas de gestão da avaliação de risco; iii) segurança da cadeia de abastecimento; iv) criação da Comissão de Avaliação da Segurança do Ciberespaço; v) imposição de restrições e cessação de utilização; vi) reforço e atualização da estratégia nacional de segurança do ciberespaço; vii) aprovação de um plano nacional de resposta a crises cibernéticas; viii) promoção da certificação em cibersegurança; ix) regime processual sancionatório.

Não serão objeto de alteração as questões relativas às obrigações de notificação de incidentes, à existência do Responsável pela Cibersegurança e do Ponto de Contacto Permanente e, ainda, do envio do Relatório Anual ao Centro Nacional de Cibersegurança (CNCS).

Logo que a transposição seja efetivada, as entidades abrangidas deverão, sob pena de sanções em virtude de incumprimento¹:

• Proceder à sua autoidentificação, de acordo com a sua natureza, na plataforma eletrónica disponibilizada pelo CNCS, no prazo de um mês após o início da sua atividade;
• Proceder à sua autoidentificação, no prazo de 60 dias após a disponibilização da referida plataforma eletrónica, caso já se encontrem em atividade aquando da entrada em vigor do (futuro) Decreto-Lei;
• Manter, em qualquer caso, a informação devidamente atualizada.

Para maior detalhe sobre se a sua empresa estará sujeita a esta Diretiva e, ainda, como tais alterações podem ter um impacto na sua organização, entre em contacto com a nossa equipa - David Silva Ramalho, Nicole Fortunato, Adriana Brás, Inês Costa Bastos e Ana Xavier Nunes.

_______________________