Alerta rápido NIS2 em 24 horas: o que enviar e a quem

A NIS2 é a Diretiva (UE) 2022/2555: ela vale para entidades na União Europeia, por meio da lei de cada Estado-Membro. Uma empresa brasileira pode ser alcançada em três situações:

• Você tem empresa ou filial em um país da UE, como Portugal: essa empresa pode estar sujeita diretamente à lei nacional, conforme o tamanho e o setor.
• Você presta, a partir do Brasil, um dos serviços digitais do artigo 26.º, n.º 1, alínea b) (DNS, registro de domínios, nuvem, data center, CDN, serviços gerenciados ou de segurança gerenciada, marketplaces, buscadores, redes sociais) para clientes na UE: nesse caso, deve designar um representante na União, e fica sob a jurisdição do país onde ele está (artigo 26.º, n.º 3), se a NIS2 se aplicar à sua empresa pelo tamanho e pelo setor.
• Seus clientes europeus são entidades NIS2: o prazo de 24 horas é deles, mas, se o incidente começa num sistema que você administra, eles vão exigir por contrato que você os avise rápido. Sua demora consome as 24 horas deles.

O artigo 23.º da diretiva exige que as entidades essenciais e importantes notifiquem à sua CSIRT ou, se for o caso, à autoridade competente todo incidente significativo, em etapas:

Dois detalhes mudam o jeito de trabalhar. O prazo começa quando você toma conhecimento do incidente significativo, não quando o ataque começou. E 24 horas é um teto: a regra é "sem demora injustificada". Nas 24 horas seguintes ao alerta, quando possível, a CSIRT ou a autoridade responde com uma primeira avaliação e, se você pedir, orientação para a mitigação (art. 23.º, n.º 5). Os prestadores de serviços de confiança também têm 24 horas para a notificação do incidente.

Pelo artigo 23.º, n.º 3, um incidente é significativo se:

• causou ou pode causar uma perturbação operacional grave dos serviços ou perdas financeiras para a entidade; ou
• afetou ou pode afetar outras pessoas físicas ou jurídicas, causando danos materiais ou imateriais consideráveis.

Para os prestadores digitais (DNS, registros de domínios de topo, nuvem, data centers, redes de distribuição de conteúdo, serviços gerenciados e de segurança gerenciada, marketplaces, buscadores, redes sociais e serviços de confiança), o Regulamento de Execução (UE) 2024/2690 traz números. O artigo 3.º fixa critérios gerais: uma perda financeira direta acima de 500 mil euros ou de 5% do faturamento anual, o que for menor; a exfiltração de segredos comerciais; a morte ou um dano considerável à saúde de alguém; ou um acesso não autorizado, bem-sucedido e suspeito de ser malicioso, aos sistemas de rede e informação, capaz de causar uma perturbação operacional grave. O artigo 4.º acrescenta os incidentes recorrentes: pelo menos dois em seis meses, com a mesma causa aparente, que juntos atinjam o limite financeiro. Os artigos 5.º a 14.º trazem critérios por tipo de prestador; para os serviços gerenciados, por exemplo, um serviço totalmente indisponível por mais de 30 minutos (artigo 10.º).

As autoridades nacionais podem acrescentar suas próprias definições, então confira as do país em questão. Duas coisas valem em todo lugar: decidir se um incidente é significativo cabe a você, e um ataque bloqueado não é automaticamente um incidente. A diretiva chama de "quase incidente" o evento que foi evitado antes de se concretizar (artigo 6.º), que pode ser notificado de forma voluntária (artigo 30.º).

A diretiva pede pouco: se o incidente parece ilícito ou malicioso e se pode afetar outros países. Na prática, os formulários nacionais pedem mais alguns dados, e a autoridade só consegue ajudar se conseguir falar com você. Um alerta útil traz:

1. Quem é você: a organização, o setor e uma pessoa de contato disponível a qualquer hora.
2. Quando: data e hora da detecção e do conhecimento, em UTC ou com o fuso horário.
3. O que você viu até agora: algumas linhas de fatos, como acessos estranhos a um servidor, arquivos criptografados, um serviço fora do ar, dados enviados a um endereço desconhecido.
4. Causa suspeita: se você suspeita de ato ilícito ou malicioso, e por quê.
5. Impacto transfronteiriço: se serviços, clientes ou sistemas em outros Estados-Membros podem ser afetados.
6. Medidas já tomadas: isolamento, troca de senhas e chaves, endereços bloqueados, backups restaurados.
7. Próximos passos, e se você quer orientação ou apoio técnico da CSIRT.

Rapidez antes de completude: escreva o que você sabe, indique o que ainda não sabe e complete na notificação em 72 horas. Um alerta que chega atrasado porque tentou ser perfeito não cumpre sua função.

Cada Estado-Membro designa sua CSIRT e sua autoridade competente, e alguns mudaram etapas ou prazos. Portugal é o caso mais claro: o Decreto-Lei n.º 125/2025, em vigor 120 dias depois de sua publicação em 4 de dezembro de 2025, tem etapas próprias (artigos 40.º a 44.º do regime anexo):

• Notificação inicial: sem demora injustificada e até 24 horas depois de a entidade concluir que existe, ou pode vir a existir, um incidente significativo.
• Atualização: quando necessário, até 72 horas depois, com uma avaliação inicial da gravidade e do impacto.
• Notificação de fim do impacto significativo: até 24 horas depois de o impacto terminar. Se o incidente for resolvido nas duas horas seguintes à detecção, só essa notificação é obrigatória.
• Relatório final: 30 dias úteis depois da notificação de fim do impacto.

As notificações vão para a autoridade de cibersegurança competente pela plataforma eletrônica do CNCS, o Centro Nacional de Cibersegurança, que integra a CERT.PT. A situação em novembro de 2026 nos outros países dos idiomas deste site:

Para os demais Estados-Membros, a Comissão Europeia mantém uma página por país com os contatos nacionais: confira a data de atualização e depois as fontes oficiais nacionais. Quem atua em vários países responde, em regra, ao país onde está estabelecido; prestadores de serviços gerenciados, nuvem, data center e alguns outros serviços digitais respondem ao país do estabelecimento principal na União ou, sem estabelecimento, ao do representante (artigo 26.º).

Vinte e quatro horas só são pouco se você descobre tarde, ou se precisa reconstruir à mão o que aconteceu. O que torna o prazo realista está pronto antes do incidente:

• Alertas que chegam a uma pessoa: eventos críticos vão para um canal que alguém lê, também à noite e no fim de semana, não para uma caixa de e-mail esquecida. Com clientes na Europa, lembre-se do fuso horário.
• Uma linha do tempo única: os eventos de todos os servidores num só lugar, com horários, endereços de origem, logins e ações tomadas, para que as primeiras linhas do alerta sejam questão de ler, não de juntar logs.
• Um responsável definido antes: quem decide se o incidente é significativo e quem assina e envia a notificação.
• O canal da autoridade pronto: cadastro feito onde for exigido, acesso ao portal testado, contatos da CSIRT à mão.
• Fornecedores e clientes alinhados: o contrato diz em quanto tempo quem administra os servidores avisa a entidade NIS2.

A InfraFence cobre os servidores Linux em que o agente roda:

• Alertas: por e-mail em todos os planos; Slack, Discord, Telegram e webhooks assinados a partir do plano Basic, com severidade mínima e categorias por canal. Veja Alertas.
• A linha do tempo: ataques, bloqueios, logins SSH, arquivos modificados, detecções de malware e cada ação feita por uma pessoa ou pelo AutoMode, com aprovações e desfazer. Veja Eventos e atividade.
• Rascunhos das notificações: em Compliance (Pro e AutoMode), o alerta rápido, a notificação do incidente e o relatório final da NIS2 são redigidos a partir de um incidente dos últimos 7 dias ou de um intervalo de até 31 dias, com suas anotações e no idioma que você escolher. O rascunho separa tentativas bloqueadas de um comprometimento confirmado e deixa como campo a completar o que não tem como saber, como os dados da empresa e o impacto no negócio. Os rascunhos têm versões e podem ser baixados em Markdown ou impressos em PDF. Veja Relatórios mensais e NIS2.

Os rascunhos seguem a estrutura do artigo 23.º, não um formulário nacional: copie o texto no formulário ou no portal do país. Para redigi-los, a linha do tempo e suas anotações são enviadas a um provedor externo de geração de texto, e a página avisa antes de você começar.

O que ela não faz: não decide se um incidente é significativo, não envia nada a nenhuma autoridade ou CSIRT e só vê os servidores em que o agente roda. O histórico de eventos é de 30 dias no Starter e de 90 nos planos pagos. Os rascunhos não são aconselhamento jurídico e não deixam você em conformidade sozinhos. Se houver dados pessoais envolvidos, leia também NIS2 e GDPR.

• Diretiva (UE) 2022/2555 (NIS2), no EUR-Lex: artigos 6.º, 23.º, 26.º e 30.º.
• Regulamento de Execução (UE) 2024/2690 da Comissão, no EUR-Lex: artigos 3.º, 4.º e 10.º.
• Portugal: Decreto-Lei n.º 125/2025 (PDF no Diário da República), artigos 40.º a 44.º do regime anexo e artigo 11.º.
• Itália: D.Lgs. 138/2024, artigo 25, no Normattiva, e a determinação ACN 379907/2025.
• Alemanha: § 32 BSIG e a página do BSI sobre a obrigação de notificar.
• França: o processo do projeto de lei na Assembleia Nacional.
• Espanha: Real Decreto-ley 12/2018, no BOE, e o Ministério do Interior sobre o anteprojeto.
• Comissão Europeia, transposição da NIS2 nos países da UE.