Conformidade NIS2: o roteiro completo de gestão de acessos para 2026

A Diretiva NIS2 (UE 2022/2555) deixou de ser uma preocupação futura. Desde outubro de 2024, as organizações de 18 setores europeus têm de demonstrar conformidade com controlos de cibersegurança obrigatórios. As coimas podem atingir 10 milhões de euros ou 2 % do volume de negócios anual a nível mundial, e os membros dos órgãos de administração respondem pessoalmente pelo incumprimento.

No centro da NIS2 está o artigo 21.º, que impõe 10 medidas de segurança específicas. Entre estas, a gestão de acessos (governação de credenciais, controlo de acesso baseado em funções, autenticação multifator e registos de auditoria) é a mais auditável e a que está mais diretamente ligada ao resultado das violações de dados.

Este guia associa esses requisitos a passos práticos de implementação e mostra como gerar as evidências de conformidade que os reguladores esperam.

Pontos principais

• As credenciais roubadas surgem em 39 % de todas as violações de dados, não apenas no acesso inicial, mas como principal mecanismo de movimento lateral, escalada de privilégios e persistência.
• O envolvimento de terceiros atingiu 48 % em 2026, um aumento de 60 % face ao ano anterior, que implica diretamente a governação de acessos na cadeia de abastecimento, nos termos do artigo 21.º, n.º 2, alínea d), da NIS2.
• O artigo 21.º da NIS2 impõe 10 medidas de segurança específicas, todas obrigatórias para qualquer entidade abrangida. As medidas mais auditáveis e mais críticas em caso de violação são o controlo de acesso, a MFA e os registos de auditoria imutáveis, que produzem evidências de conformidade exportáveis, como os reguladores esperam.
• É no controlo de acesso que a conformidade com a NIS2 se torna mensurável. Ao contrário dos documentos de política, a governação de credenciais produz evidências verificáveis: registos de auditoria, matrizes de permissões e relatórios de aplicação da MFA. Os reguladores podem confirmar que os controlos são efetivamente aplicados.
• O artigo 23.º introduz a obrigação de notificar incidentes em 24 horas. As organizações sem gestão centralizada de credenciais, registos de auditoria imutáveis e capacidade de rotação automatizada não conseguem cumprir este prazo. A rotação em massa de palavras-passe tem de poder ser executada em horas, não em dias.
• A ENISA especifica três níveis de MFA. O nível 1 (FIDO2/WebAuthn, resistente a phishing) é obrigatório para todas as contas privilegiadas. O nível 2 (TOTP) é aceitável para os utilizadores comuns. As palavras-passe de utilização única (OTP) enviadas por SMS e por e-mail estão expressamente sinalizadas para abandono progressivo e não cumprem o limiar mínimo.
• A responsabilidade pessoal dos membros dos órgãos de administração não tem precedentes. O artigo 20.º responsabiliza pessoalmente os quadros executivos de topo (C-suite) por falhas de cibersegurança, incluindo a proibição temporária de exercer funções de gestão. Esta disposição não tem precedente na NIS1.
• As coimas podem atingir 10 milhões de euros ou 2 % do volume de negócios anual a nível mundial no caso das entidades essenciais, com aplicação efetiva desde 2026. As autoridades nacionais competentes de toda a UE iniciaram auditorias proativas. O incumprimento deixou de ser uma preocupação futura.
• A implementação on-premise elimina a custódia de dados por terceiros. As credenciais permanecem na rede da organização, sem transmissão externa. Os registos de auditoria são armazenados localmente e enviados diretamente para o SIEM, sem intermediação do fornecedor, o que garante a independência da auditoria.
• O roteiro de implementação em 5 fases demora 30–60 dias, da avaliação à conformidade pronta para auditoria: avaliação prévia à implementação, auditoria de acessos, implementação do sistema de credenciais, configuração para a NIS2 e monitorização contínua. A maioria das organizações consegue passar de uma gestão de acessos fragmentada à aplicação efetiva de controlos dentro deste prazo.

Porque é que a NIS2 se centra na gestão de acessos

É no controlo de acesso que a conformidade com a NIS2 se torna mensurável. Ao contrário dos documentos de política ou das avaliações de risco, a governação de credenciais produz evidências exportáveis: registos de auditoria, matrizes de permissões e relatórios de aplicação da MFA. Os reguladores podem verificar que os controlos são efetivamente aplicados.

O panorama de ameaças torna esta urgência evidente. De acordo com o relatório 2026 Data Breach Investigations Report, da Verizon, a exploração de vulnerabilidades tornou-se o principal vetor de acesso inicial, com 31 % das violações, contra 20 % em 2025. No entanto, esta comparação de destaque oculta uma conclusão mais relevante: as credenciais roubadas surgem em 39 % de todas as violações de dados, ao longo de todo o ciclo de vida do ataque, não apenas no acesso inicial, mas como principal mecanismo de movimento lateral, escalada de privilégios e persistência.

Depois de entrarem, os atacantes usam sobretudo credenciais para se deslocarem pela infraestrutura. O envolvimento de terceiros atingiu 48 % em 2026, contra 30 % em 2025, ou seja, um aumento de 60 % que implica diretamente a governação de acessos na cadeia de abastecimento, nos termos do artigo 21.º, n.º 2, alínea d), da NIS2. ,

As credenciais roubadas alimentam a propagação das violações: são reutilizadas, partilhadas ou nunca revogadas quando os colaboradores saem. O artigo 21.º da NIS2 foi concebido para eliminar este problema através de um controlo de acesso rigoroso, de MFA obrigatória e de registos de auditoria imutáveis.

Compreender o artigo 21.º da NIS2: as 10 medidas de segurança obrigatórias

O artigo 21.º da NIS2 exige «medidas técnicas, operacionais e organizativas adequadas e proporcionadas» para gerir os riscos de cibersegurança. As 10 medidas são obrigatórias para qualquer entidade abrangida. Eis o que cada uma exige:

• Medida 1: análise de riscos e políticas de segurança dos sistemas de informação. As organizações têm de identificar e documentar continuamente os riscos de cibersegurança. Na prática, isto traduz-se na descoberta de credenciais: mapear todas as contas privilegiadas, identificar credenciais partilhadas e documentar que sistemas concentram o acesso de maior risco.
• Medida 2: tratamento de incidentes (prevenção, deteção e resposta). As organizações têm de dispor de procedimentos documentados para responder a incidentes de segurança. No caso de violações baseadas em credenciais, isto significa poder rodar em massa as palavras-passe comprometidas em horas, não em dias.
• Medida 3: continuidade das atividades, gestão de cópias de segurança e recuperação de desastres. As credenciais têm de permanecer acessíveis mesmo quando os sistemas principais falham. Para tal, são necessários clustering de failover, replicação e procedimentos de cópia de segurança testados.
• Medida 4: segurança da cadeia de abastecimento. As organizações têm de avaliar e gerir os riscos de cibersegurança associados aos fornecedores diretos e aos prestadores de serviços. No caso das credenciais, isto implica isolar o acesso de terceiros, limitá-lo no tempo e revogá-lo automaticamente quando os contratos terminam.
• Medida 5: segurança na aquisição, desenvolvimento e manutenção de redes e sistemas de informação. Os sistemas têm de ser construídos e mantidos com a segurança em mente. No caso dos sistemas de credenciais, isto significa práticas de desenvolvimento seguro e testes de intrusão regulares.
• Medida 6: políticas e procedimentos para avaliar a eficácia das medidas de gestão dos riscos de cibersegurança. As organizações têm de verificar que os controlos funcionam realmente. Para tal, são necessários registos de auditoria: prova de que os controlos de acesso são aplicados e de que cada ação sobre credenciais fica registada.
• Medida 7: práticas básicas de ciber-higiene e formação em cibersegurança. As palavras-passe fracas são a falha mais comum em matéria de credenciais. As organizações têm de impor requisitos de complexidade, calendários de rotação e sensibilização dos utilizadores para a segurança.
• Medida 8: políticas e procedimentos relativos à utilização de criptografia e cifragem. As credenciais têm de ser cifradas em repouso e em trânsito. Isto implica cifragem AES-256, TLS em todas as comunicações e uma arquitetura zero-knowledge, em que o servidor nunca detém as chaves de decifragem.
• Medida 9: segurança dos recursos humanos, políticas de controlo de acesso e gestão de ativos. Este é o núcleo da governação de acessos da NIS2: cada utilizador tem de ter direitos de acesso documentados, cada alteração de acesso tem de ficar registada e cada credencial tem de ser revogada quando o acesso deixa de ser necessário.
• Medida 10: utilização de soluções de MFA ou de autenticação contínua. A autenticação multifator deixou de ser opcional. As orientações técnicas da ENISA especificam três níveis de robustez da MFA, sendo a autenticação resistente a phishing (FIDO2/WebAuthn) obrigatória para todas as contas privilegiadas.

Tabela de referência rápida

O Passwork fornece evidências diretas de conformidade em 9 das 10 medidas da NIS2. Os registos de acesso e os registos de auditoria imutáveis satisfazem as medidas 1, 2 e 6. O armazenamento cifrado cobre a medida 8. O RBAC, a aplicação da MFA e o controlo de acesso ao nível dos ativos fecham as medidas 9 e 10, em que os reguladores exigem prova técnica. Obter uma demonstração gratuita e ver o Passwork em ação

A obrigação de notificar incidentes em 24 horas

O artigo 23.º da NIS2 introduz um calendário de notificação em três fases, que altera profundamente a forma como as organizações respondem a violações de credenciais.

• Alerta rápido (24 horas). No prazo de 24 horas após a deteção de um incidente significativo, as organizações têm de notificar o CSIRT nacional. Não é exigida uma avaliação completa, apenas a confirmação de que ocorreu um incidente e se há suspeita de atividade criminosa.
• Notificação de incidente (72 horas). Apresentar uma avaliação inicial: gravidade, impacto, indicadores de comprometimento (IoC) e sistemas afetados. É neste ponto que o âmbito da violação de credenciais se torna crítico. Se as credenciais de administrador tiverem sido comprometidas, o âmbito pode abranger toda a empresa.
• Relatório final (1 mês). Análise completa da causa de raiz, medidas de correção adotadas, avaliação do impacto transfronteiriço e lições aprendidas. Este é o documento que os reguladores irão examinar com mais atenção. No caso de violações de credenciais, deve incluir a prova de que todas as palavras-passe comprometidas foram rodadas e de que o acesso foi revogado para quaisquer contas que já não deveriam ter acesso.

As organizações sem gestão centralizada de credenciais, registos de auditoria imutáveis e capacidade de rotação automatizada não conseguem cumprir o prazo de 24 horas.

Orientações técnicas da ENISA: MFA, PAM e registos de auditoria

A Agência da União Europeia para a Cibersegurança (ENISA) publicou orientações técnicas de implementação detalhadas para a NIS2. Em matéria de gestão de acessos, dominam três áreas: a robustez da MFA, a gestão de acessos privilegiados (PAM) e os registos de auditoria.

MFA: três níveis de robustez

A ENISA classifica a MFA em três níveis, consoante a resistência a phishing:

1. Forte (resistente a phishing). FIDO2, WebAuthn e chaves de segurança de hardware. Não podem ser intercetados por ataques de phishing, porque utilizam protocolos criptográficos de desafio-resposta. A ENISA impõe o nível 1 para todas as contas privilegiadas e administrativas, sem exceções.
2. Média. Aplicações de autenticação TOTP e notificações push. Aceitáveis para contas de utilizadores comuns. São vulneráveis a phishing em tempo real, mas significativamente melhores do que as palavras-passe isoladas.
3. Último recurso (abandono progressivo). Palavras-passe de utilização única enviadas por SMS e por e-mail. São vulneráveis a ataques de SIM swap e a interceção. A ENISA recomenda expressamente o seu abandono progressivo em todos os ambientes regulados.

As organizações têm de documentar o nível de MFA aplicado a cada grupo de utilizadores. Os auditores verificarão que todas as contas privilegiadas utilizam o nível 1 e que as OTP por SMS ou e-mail já não estão em uso.

Gestão de acessos privilegiados (PAM)

A ENISA especifica quatro requisitos de PAM:

1. Segregação de funções. As contas de administrador nunca devem ser utilizadas em tarefas gerais, como o correio eletrónico ou a navegação. São necessárias contas separadas e dedicadas para todas as operações privilegiadas.
2. Registo de auditoria completo. Cada ação privilegiada tem de ser registada com a identidade do utilizador, a data e hora, o IP de origem e a ação executada. Os logs têm de ser imutáveis e invioláveis.
3. Acesso Just-In-Time (JIT). Os privilégios são concedidos por evento e revogados automaticamente após a utilização. Sem acesso de administrador permanente.
4. Governação do acesso de terceiros. O acesso de fornecedores tem de ter âmbito definido, ser limitado no tempo e ser revogado automaticamente no fim do contrato ou na conclusão do projeto.

Registos de auditoria (ENISA §11.4)

Os logs devem ser:

• Centralizados. Todas as ações sobre credenciais registadas num único sistema protegido.
• Imutáveis. Nenhum utilizador, incluindo os administradores, pode alterar ou eliminar entradas de log.
• Exportáveis. Formatos estruturados (JSON, CSV, syslog) para integração com o SIEM e para submissão a entidades reguladoras.
• Conservados. O período mínimo de conservação é definido pela avaliação de risco da entidade (tipicamente 1–3 anos).

Logs incompletos ou passíveis de adulteração não satisfazem a secção 11.4 da ENISA. Os reguladores rejeitá-los-ão.

Associar os requisitos da NIS2 a controlos técnicos

Eis como controlos técnicos específicos satisfazem as obrigações do artigo 21.º:

Todos os controlos da tabela acima estão integrados na arquitetura base do Passwork. Painéis de segurança das palavras-passe, registos de auditoria imutáveis, RBAC, aplicação da MFA e cifragem AES-256 estão disponíveis de origem. O resultado são evidências de conformidade que os reguladores esperam, e não documentos de política que têm de interpretar.

O roteiro de implementação em 5 fases: da avaliação à conformidade pronta para auditoria

Passar de uma gestão de acessos fragmentada para uma conformidade com a NIS2 pronta para auditoria não exige reconstruir toda a infraestrutura. Uma abordagem estruturada em 5 fases leva a maioria das organizações da avaliação à aplicação efetiva dos controlos em 30–60 dias.

Fase 1: avaliação prévia à implementação (semana 1)

1. Definir o âmbito da NIS2. Que unidades de negócio, sistemas e grupos de utilizadores estão abrangidos pela diretiva? Classificar a organização como entidade essencial ou importante e confirmar as obrigações aplicáveis.
2. Atribuir responsabilidades. Designar um responsável pela conformidade, com responsabilidade nos termos do artigo 20.º, tipicamente o CISO ou o diretor de TI. Alinhar as equipas de TI, segurança, recursos humanos e jurídica quanto a funções, responsabilidades e circuitos de escalamento.
3. Confirmar a prontidão da infraestrutura. Verificar as especificações dos servidores e a topologia de rede para a implementação on-premise. Confirmar a prontidão do Active Directory ou do LDAP para o provisionamento automático de utilizadores.

Fase 2: auditoria de acessos para avaliar a situação atual (semana 2)

1. Mapear todas as contas privilegiadas. Identificar todas as contas com acesso de administrador em todos os sistemas e infraestruturas. Incluir contas de serviço e credenciais partilhadas, que são as credenciais de maior risco.
2. Identificar o acesso de terceiros. Rever todos os acessos ativos de terceiros e fornecedores. Documentar o âmbito, a duração e o estado atual da MFA. É aqui que a maioria das organizações descobre acessos não controlados.
3. Avaliar o registo atual. O que é registado hoje, onde e durante quanto tempo? Documentar a diferença entre a situação atual e os requisitos técnicos da ENISA.

Fase 3: implementar o Passwork no ambiente da organização (semana 3)

1. Instalar on-premise. Implementar com Docker Compose ou num servidor bare-metal (Linux/Windows). O Passwork funciona inteiramente dentro da infraestrutura da organização, sem transmissão externa de credenciais.
2. Integrar com os sistemas de identidade. Ligar ao Active Directory ou ao LDAP para o provisionamento automático de utilizadores. Configurar o SSO através de SAML 2.0 para uma autenticação fluida e auditável.
3. Importar e organizar as credenciais. Migrar as credenciais existentes para cofres estruturados por equipa, sistema e criticidade. Definir a estrutura inicial dos cofres e a hierarquia de propriedade.

Fase 4: configurar para a conformidade com a NIS2 (semana 4)

1. Definir e aplicar o RBAC. Aplicar o princípio do menor privilégio de forma transversal. Cada utilizador acede apenas às credenciais de que a sua função necessita.
2. Impor a MFA. Aplicar o nível 1 (FIDO2) a todas as contas privilegiadas. Aplicar o nível 2 (TOTP) a todos os utilizadores comuns. Documentar a aplicação como evidência de auditoria.
3. Isolar o acesso de terceiros. Criar cofres dedicados e limitados no tempo para fornecedores e prestadores de serviços, com expiração automática no fim do contrato.
4. Configurar as políticas de palavras-passe. Aplicar regras de complexidade, calendários de rotação e expiração automática. Ativar o registo de auditoria completo e configurar a integração com o SIEM via syslog.

Fase 5: monitorização e reporte contínuos (permanente)

1. Agendar revisões de acessos trimestrais. Validar que as atribuições de RBAC continuam corretas. Garantir que não permanece acesso órfão após a saída de colaboradores.
2. Gerar relatórios de conformidade automatizados. Demonstrar a aplicação da MFA, a governação de acessos e a eficácia dos controlos. Ter pacotes de evidências exportáveis prontos para submissão aos reguladores, a pedido.
3. Monitorizar os registos de auditoria. Integrar alertas com o SIEM para padrões de acesso anómalos. Realizar avaliações anuais da prontidão para a NIS2 face às orientações atualizadas da ENISA.

Lista de verificação de conformidade com a NIS2

Esta lista de verificação permite acompanhar a situação de conformidade nas três áreas críticas: gestão de acessos, segurança da cadeia de abastecimento e prontidão para incidentes.

Controlo de acesso (artigo 21.º, n.º 2, alínea i)

• Mapear todas as contas privilegiadas em todos os sistemas e infraestruturas
• Implementar um RBAC rigoroso: cada utilizador acede apenas às credenciais de que a sua função necessita
• Eliminar todas as contas partilhadas e substituí-las por acesso individualizado
• Automatizar o ciclo de vida das identidades via AD/LDAP, com revogação imediata do acesso na saída do colaborador
• Exportar as matrizes de permissões como evidência pronta para auditoria

Cadeia de abastecimento (artigo 21.º, n.º 2, alínea d)

• Isolar todo o acesso de terceiros em cofres dedicados e limitados no tempo
• Auditar todas as credenciais ativas de fornecedores e revogar qualquer acesso que deixe de se justificar operacionalmente
• Documentar o âmbito, a duração e o estado da MFA do acesso de cada credencial ativa de terceiros
• Configurar a expiração automática no fim do contrato

MFA (artigo 21.º, n.º 2, alínea j)

• Aplicar MFA de nível 1 (FIDO2/WebAuthn) a todas as contas administrativas
• Aplicar MFA de nível 2 (TOTP) a todos os utilizadores comuns
• Abandonar progressivamente as OTP por SMS e por e-mail, que não cumprem o limiar mínimo da ENISA
• Gerar um relatório de conformidade que confirme a MFA em todas as contas ativas

Prontidão para incidentes (artigo 23.º)

• Verificar se os registos de auditoria têm detalhe suficiente para o alerta rápido de 24 horas
• Estabelecer e testar o fluxo de rotação de credenciais em massa para a resposta pós-incidente
• Designar uma pessoa responsável pela notificação ao abrigo do artigo 23.º
• Preparar pacotes de evidências exportáveis, prontos para submissão aos reguladores a pedido

Registos de auditoria (ENISA §11.4)

• Centralizar e proteger os registos de auditoria, configurando um registo imutável e exportável
• Integrar com o SIEM via syslog, garantindo que nenhum utilizador pode alterar ou eliminar entradas de log
• Confirmar que cada entrada regista a identidade, a data e hora, a ação e o IP de origem
• Gerar relatórios automatizados sobre a aplicação da MFA, a conformidade do RBAC e as revisões de acessos

Coimas: o custo real do incumprimento

As consequências financeiras e pessoais do incumprimento da NIS2 são graves:

• Para as entidades essenciais: até 10 milhões de euros ou 2 % do volume de negócios anual a nível mundial, consoante o que for mais elevado. Os reguladores podem também impor restrições operacionais temporárias.
• Para as entidades importantes: até 7 milhões de euros ou 1,4 % do volume de negócios anual a nível mundial, consoante o que for mais elevado. A supervisão reativa não significa menor risco.
• Responsabilidade pessoal da gestão (artigo 20.º). Os membros dos órgãos de administração e os quadros executivos de topo (C-suite) podem ser pessoalmente responsabilizados por falhas de cibersegurança. As autoridades competentes podem impor proibições temporárias de exercício de funções de gestão. Esta disposição não tem precedente na NIS1 e altera profundamente a forma como a liderança tem de encarar a conformidade.

Desde 2026, as autoridades nacionais competentes de toda a UE iniciaram auditorias proativas às entidades essenciais. A fase de fiscalização está em curso.

Construir o pacote de evidências da NIS2

Os reguladores querem provas. O pacote de evidências de conformidade deve incluir:

1. Exportação da configuração do RBAC. Matrizes de permissões que mostram que utilizadores/funções têm acesso a que credenciais.
2. Relatório de aplicação da MFA. Configuração do sistema que confirma que a MFA é aplicada a nível global, com o método de MFA por utilizador.
3. Amostras de registos de auditoria. Logs representativos com identidade, data e hora, ação e IP de origem para os acessos e modificações de credenciais.
4. Inventário de acessos de terceiros. Âmbito, duração e estado da MFA documentados para cada credencial ativa de fornecedores.
5. Documentação das políticas de palavras-passe. Regras de complexidade, calendários de rotação e definições de expiração automática em vigor.
6. Capacidade de resposta a incidentes. Prova de que a rotação de credenciais em massa pode ser executada em horas.
7. Registos de cópias de segurança e failover. Evidência de que as credenciais permanecem acessíveis durante falhas dos sistemas.

A vantagem do on-premise para a conformidade com a NIS2

As organizações perguntam frequentemente: porque é que a NIS2 dá ênfase à implementação on-premise? A resposta é a soberania dos dados e a independência da auditoria.

1. Os dados ficam onde a organização os governa. Todas as credenciais permanecem na rede da organização, sem transmissão externa, sem custódia por terceiros e sem ambiguidade jurisdicional.
2. Registos de auditoria que a organização detém e controla. Os logs são armazenados localmente e enviados diretamente para o SIEM via syslog, sem intermediário do fornecedor, sem restrições e sem que os dados saiam do perímetro da organização.
3. Sem dependência de dados de terceiros. Como o sistema de credenciais funciona dentro da infraestrutura da organização, não detém custódia das credenciais, o que elimina a dependência de dados de terceiros que desencadeia os requisitos de avaliação da cadeia de abastecimento nos termos do artigo 21.º, n.º 2, alínea d).
4. Evidências de conformidade nos termos da organização. Cada relatório, log e exportação de configuração é gerado a partir da própria infraestrutura e fica disponível a pedido dos auditores, sem depender da equipa de suporte ou da política de retenção de dados de um fornecedor.
5. Suporte para ambientes isolados. Implementação com isolamento físico (air gap) para infraestruturas OT/ICS, sem qualquer exposição de rede. As credenciais permanecem acessíveis mesmo onde a ligação à internet é proibida por conceção.

Conclusão: da conformidade à vantagem competitiva

A NIS2 é um mandato para proteger a infraestrutura de que depende a sociedade europeia. Os vetores de ataque baseados em credenciais dominam o panorama de ameaças de 2026 e são precisamente aquilo que o artigo 21.º foi concebido para combater.

As organizações que centralizam a governação de credenciais, impõem MFA resistente a phishing e mantêm registos de auditoria imutáveis fazem mais do que passar na auditoria: eliminam a sua superfície de ataque mais significativa. O roteiro de implementação em 5 fases deste guia conduz da gestão de acessos fragmentada à conformidade pronta para auditoria em 30–60 dias.

A base técnica para esse resultado exige três elementos: uma implementação on-premise que garanta a soberania dos dados, um RBAC que imponha o menor privilégio à escala e registos de auditoria que forneçam aos reguladores exatamente as evidências de que necessitam.

O Passwork fornece os 9 controlos técnicos desta tabela: painéis de segurança das palavras-passe, rotação em massa, clustering de failover, implementação on-premise, registos de auditoria imutáveis, aplicação de políticas, cifragem AES-256, RBAC e MFA. Obter uma demonstração gratuita e ver o Passwork em ação.Pronto para passar do planeamento da conformidade à implementação? Transferir o guia completo de conformidade com a NIS2 com o mapeamento técnico detalhado, orientações por setor e uma lista de verificação de conformidade personalizável.

Perguntas frequentes

O que exige, na prática, o artigo 21.º da NIS2 à minha organização?

O artigo 21.º impõe 10 medidas de segurança específicas: análise de riscos, tratamento de incidentes, continuidade das atividades, segurança da cadeia de abastecimento, desenvolvimento seguro, verificação da eficácia dos controlos, ciber-higiene, cifragem, controlo de acesso e MFA. Todas as 10 são obrigatórias para qualquer entidade abrangida. As medidas mais auditáveis e mais críticas em caso de violação são o controlo de acesso (artigo 21.º, n.º 2, alínea i), a MFA (artigo 21.º, n.º 2, alínea j) e os registos de auditoria (artigo 21.º, n.º 2, alínea f).

Quem tem de cumprir a NIS2?

As organizações de 18 setores europeus classificadas como entidades essenciais têm de cumprir de imediato. Estes setores incluem a energia, os transportes, a água, a saúde, as infraestruturas digitais e a administração pública. As entidades importantes (serviços financeiros, abastecimento alimentar, indústria transformadora, produtos químicos, espaço) têm até outubro de 2025 para a conformidade plena. As organizações de fora da UE que operam nestes setores sob jurisdição da UE também estão abrangidas.

Quais são as sanções por incumprimento?

As entidades essenciais enfrentam coimas até 10 milhões de euros ou 2 % do volume de negócios anual a nível mundial, consoante o que for mais elevado. As entidades importantes enfrentam coimas até 7 milhões de euros ou 1,4 % do volume de negócios anual a nível mundial. Os membros dos órgãos de administração e os quadros executivos de topo (C-suite) respondem pessoalmente nos termos do artigo 20.º, incluindo a proibição temporária de exercer funções de gestão. A fiscalização está em curso desde 2026.

Quanto tempo demora a implementar a conformidade com a NIS2 na gestão de acessos?

A maioria das organizações passa da avaliação à conformidade pronta para auditoria em 30–60 dias, com uma abordagem estruturada em 5 fases: avaliação prévia à implementação (semana 1), auditoria de acessos (semana 2), implementação do sistema de credenciais (semana 3), configuração para a NIS2 (semana 4) e monitorização contínua. O prazo depende da complexidade da infraestrutura e do volume de credenciais existentes a migrar.

Qual é a diferença entre entidades essenciais e entidades importantes na NIS2?

As entidades essenciais operam infraestruturas críticas (energia, transportes, água, saúde, infraestruturas digitais, administração pública). As entidades importantes prestam serviços essenciais (serviços financeiros, abastecimento alimentar, indústria transformadora, produtos químicos, espaço). As entidades essenciais enfrentam coimas mais elevadas (10 milhões de euros contra 7 milhões de euros) e prazos de fiscalização mais rigorosos. Ambas têm de implementar as 10 medidas do artigo 21.º.

Porque é que a NIS2 dá ênfase à gestão de credenciais on-premise?

A implementação on-premise garante a soberania dos dados: as credenciais permanecem na rede da organização, sem transmissão externa nem custódia por terceiros. Os registos de auditoria são armazenados localmente e enviados diretamente para o SIEM, sem intermediação do fornecedor. Isto elimina a dependência de dados de terceiros que desencadeia os requisitos de avaliação da cadeia de abastecimento nos termos do artigo 21.º, n.º 2, alínea d), e confere total independência da auditoria.

Que nível de MFA exige a NIS2?

A ENISA especifica três níveis: o nível 1 (resistente a phishing), com FIDO2, WebAuthn e chaves de segurança de hardware, é obrigatório para todas as contas privilegiadas e administrativas. O nível 2 (aplicações de autenticação TOTP, notificações push) é aceitável para os utilizadores comuns. As OTP por SMS e por e-mail estão expressamente sinalizadas para abandono progressivo e não cumprem o limiar mínimo da ENISA.

Como demonstrar a conformidade com a NIS2 aos reguladores?

O pacote de evidências deve incluir: exportações da configuração do RBAC com as matrizes de permissões, relatórios de aplicação da MFA que confirmem a aplicação global, registos de auditoria representativos com identidade/data e hora/ação/IP de origem, inventário de acessos de terceiros com âmbito e duração, documentação das políticas de palavras-passe, prova da capacidade de rotação de credenciais em massa e registos de cópias de segurança e failover. Todas as evidências devem ser exportáveis e estar prontas para auditoria a pedido.

Qual é o calendário de notificação do artigo 23.º?

O artigo 23.º introduz três fases: alerta rápido (24 horas), para notificar o CSIRT nacional de que ocorreu um incidente; notificação de incidente (72 horas), com uma avaliação inicial que inclui gravidade, impacto e sistemas afetados; e relatório final (1 mês), com a análise completa da causa de raiz, as medidas de correção e as lições aprendidas. As organizações sem gestão centralizada de credenciais e rotação automatizada não conseguem cumprir o prazo de 24 horas.

Gestão de palavras-passe e de acessos para PMEs: o KeePass é suficiente?

A equipa utiliza o KeePass? Conheça os riscos ocultos do KeePass para as PMEs em 2026: falhas de sincronização, lacunas de conformidade e quando migrar para um gestor de palavras-passe empresarial.

Passwork BlogAlex Muntyan

A autenticação sem palavra-passe é exigida para a conformidade com a NIS2?

O artigo 21.º, n.º 2, alínea j), da NIS2 exige MFA «quando apropriado», e não autenticação sem palavra-passe por defeito. Saiba o que as orientações da ENISA exigem realmente, como os auditores avaliam a implementação e como construir uma postura de conformidade híbrida e defensável para 2026.

Passwork BlogAlex Muntyan

O Passwork conquista o prémio Top Performer Spring 2026 no SourceForge

O Passwork foi distinguido como Top Performer Spring 2026 pelo SourceForge, ficando no top 10 % de mais de 100 000 soluções. O selo baseia-se exclusivamente em avaliações verificadas: 4,8 estrelas no geral e uma pontuação perfeita de 5,0 em suporte.

Passwork BlogAlex Muntyan