NIS2 para fornecedores de TI: o que seus clientes europeus vão pedir

A NIS2 é a Diretiva (UE) 2022/2555. Uma diretiva não obriga as empresas diretamente: cada Estado-Membro da UE a transpõe para sua própria lei e designa sua autoridade competente e seu CSIRT. Âmbito, prazos e sanções podem mudar de um país para outro, e um Estado pode ir além da diretiva (artigo 5.º). Por isso, o que conta para você são as leis dos países onde estão seus clientes.

A diretiva se aplica a entidades dos tipos listados nos seus anexos I e II que sejam médias empresas ou maiores e que prestem serviços ou exerçam atividades na União (artigo 2.º, n.º 1). Pequena empresa é a que tem menos de 50 pessoas e volume de negócios ou balanço anual de até 10 milhões de euros (Recomendação 2003/361/CE). Para a maioria das agências e dos pequenos fornecedores de fora da UE, portanto, a NIS2 não se aplica diretamente: o que chega são as exigências dos clientes europeus, por contrato.

Antes de concluir que não é com você, confira dois casos:

• Você gerencia sistemas de clientes na UE, mesmo a distância, e é uma média empresa ou maior. Os “prestadores de serviços geridos” e os “prestadores de serviços de segurança geridos” estão no anexo I, setor 9, “Gestão de serviços TIC (entre empresas)”. A definição (artigo 6.º, ponto 39) abrange a instalação, gestão, operação ou manutenção de produtos de TIC, redes, infraestruturas e aplicações, “nas instalações dos clientes ou à distância”. Se uma entidade desse tipo não está estabelecida na União, mas oferece serviços nela, deve designar um representante na UE (artigo 26.º, n.º 3). Nesse caso, a NIS2 pode se aplicar diretamente à sua empresa.
• Você tem empresa ou filial em Portugal ou em outro Estado-Membro. Essa empresa pode estar sujeita diretamente à lei do país onde está estabelecida, conforme o tamanho e o setor.

Em Portugal, a NIS2 foi transposta pelo Decreto-Lei n.º 125/2025, de 4 de dezembro, que aprova o regime jurídico da cibersegurança e entrou em vigor 120 dias após a publicação. A autoridade nacional de cibersegurança é o Centro Nacional de Cibersegurança (CNCS).

Se nenhum desses casos se aplica, a NIS2 não impõe obrigações diretas a você. Mas, se seus clientes na UE são entidades essenciais ou importantes, as obrigações deles em relação aos fornecedores viram pedidos para você, no contrato.

O artigo 21.º exige das entidades NIS2 medidas de gestão dos riscos de cibersegurança que incluam, no mínimo, no n.º 2, alínea d):

“Segurança da cadeia de abastecimento, incluindo aspetos de segurança respeitantes às relações entre cada entidade e os respetivos fornecedores ou prestadores de serviços diretos”

E o n.º 3 diz como avaliá-las: os Estados-Membros devem garantir que,

“ao ponderarem as medidas adequadas a que se refere o n.º 2, alínea d), do presente artigo, as entidades têm em conta as vulnerabilidades específicas de cada fornecedor direto e cada prestador de serviços, bem como a qualidade global dos produtos e as práticas de cibersegurança dos seus fornecedores e prestadores de serviços, incluindo os respetivos procedimentos de desenvolvimento seguro.”

Pelo artigo 20.º, os órgãos de direção das entidades NIS2 devem aprovar essas medidas e supervisionar sua aplicação, e podem ser responsabilizados por infrações. Por isso seu cliente não pode se contentar com uma garantia verbal: ele precisa conseguir mostrar o que pediu aos fornecedores e como verificou.

Quando há um incidente significativo, o cliente deve enviar ao seu CSIRT ou à sua autoridade competente um alerta precoce em até 24 horas depois de tomar conhecimento dele, uma notificação de incidente em até 72 horas e um relatório final no máximo um mês após essa notificação (artigo 23.º; os três prazos estão explicados na página NIS2). Se o incidente começa em um sistema que você gerencia, essas 24 horas dependem também da rapidez com que você avisa o cliente.

Para alguns tipos de entidade, a Comissão detalhou as medidas no Regulamento de Execução (UE) 2024/2690: prestadores de serviços de DNS, registros de nomes de domínio de topo, prestadores de serviços de computação em nuvem, de centros de dados e de redes de distribuição de conteúdos, prestadores de serviços geridos, prestadores de serviços de segurança geridos, mercados em linha, motores de pesquisa em linha, plataformas de redes sociais e prestadores de serviços de confiança. Um regulamento se aplica diretamente em todos os Estados-Membros. Se você é um prestador de serviços geridos no âmbito da NIS2, ele se aplica a você; se seu cliente é uma dessas entidades, estas são as cláusulas que ele deve considerar para o seu contrato. As demais entidades NIS2 seguem as medidas definidas pela lei e pela autoridade do seu país, que podem ter outra redação.

O ponto 5.1.4 do anexo lista o que os contratos com fornecedores e prestadores de serviços estipulam, quando aplicável:

O ponto 5.2 pede também um registro atualizado dos fornecedores e prestadores de serviços diretos, com um ponto de contato para cada um e os produtos, serviços e processos de TIC que ele fornece. Os pontos 5.1.6 e 5.1.7 pedem ao cliente que revise as práticas dos fornecedores em intervalos planejados: acompanhar os relatórios dos acordos de nível de serviço, analisar incidentes ligados aos produtos e serviços deles e documentar o que encontrar.

Esse “quando aplicável” faz diferença: o cliente escolhe quais requisitos repassar a você conforme o que você fornece. Conte com pedidos diferentes de um cliente para outro.

As medidas viram perguntas como estas, em um questionário ou em um anexo do contrato:

• Quais sistemas nossos vocês gerenciam, e com que nível de acesso?
• Quem acessa, com contas nominais ou compartilhadas? Há autenticação de dois fatores? Como vocês revogam o acesso de quem sai?
• Como vocês tratam vulnerabilidades e atualizações de segurança, e com que evidências?
• Vocês registram e monitoram eventos de segurança nos sistemas que gerenciam? Por quanto tempo os guardam?
• Se houver um incidente, em quanto tempo vocês nos avisam, e com quais informações?
• Quais subcontratados vocês usam (hospedagem, ferramentas, serviços de nuvem), e onde eles tratam os dados?
• O que acontece com os dados e os acessos no fim do contrato?

Não existe um certificado de “fornecedor NIS2”. Estar em ordem significa conseguir responder a essas perguntas com fatos e documentos, cliente por cliente:

1. Mapeie seus clientes NIS2 e, para cada um, os sistemas que você gerencia e seu nível de acesso. É a base do registro de fornecedores deles (ponto 5.2).
2. Organize os acessos: contas nominais, chaves SSH no lugar de senhas, autenticação de dois fatores em painéis e consoles, revogação imediata quando alguém sai.
3. Atualize com método: uma lista de vulnerabilidades abertas por servidor, prazos de correção e a prova do que foi aplicado e quando.
4. Registre e guarde os eventos dos servidores que você gerencia, para poder reconstruir um incidente.
5. Escreva o procedimento de incidentes, com um prazo para avisar o cliente compatível com as 24 horas dele e os contatos dos dois lados.
6. Liste seus subcontratados, com o país onde cada um trata os dados.
7. Combine as cláusulas de segurança do contrato e preveja a revisão periódica que o cliente precisa fazer e documentar (pontos 5.1.6 e 5.1.7).

O InfraFence cobre uma parte desse trabalho nos servidores Linux que você gerencia, e dá a você as evidências para mostrar ao cliente:

• Eventos e linha do tempo por servidor: ataques, banimentos, acessos SSH, arquivos modificados e cada ação feita por uma pessoa ou pelo AutoMode, com aprovações e desfazer.
• Vulnerabilidades e hardening: verificações de hardening, vulnerabilidades (CVEs) dos pacotes instalados e uma pontuação de segurança por servidor, com um relatório mensal.
• Acesso ao painel: autenticação de dois fatores para cada usuário e um registro de atividades.
• Incidentes: a partir dos eventos, rascunhos do alerta precoce, da notificação de incidente e do relatório final para você revisar e completar (planos Pro e AutoMode). Quem envia é sempre a entidade NIS2, nunca o InfraFence.
• Um subcontratado documentado: o InfraFence é operado pela ComCart Srl, empresa italiana; o painel e os dados ficam na Alemanha. O que o agente lê e envia está descrito na página Segurança, que você pode repassar ao cliente.

Não cobre o resto: os sistemas em que o agente não roda, os processos, as pessoas, os contratos. Não decide se um incidente é significativo, não envia nada a nenhuma autoridade nem a nenhum CSIRT, e usá-lo não deixa você em conformidade: ajuda você a demonstrar o que faz nos servidores.

• Diretiva (UE) 2022/2555 (NIS2), no EUR-Lex: artigos 2.º, 3.º, 5.º, 6.º, 20.º, 21.º, 23.º e 26.º, e anexo I.
• Regulamento de Execução (UE) 2024/2690 da Comissão, no EUR-Lex: artigo 1.º e anexo, pontos 5.1 e 5.2.
• Recomendação 2003/361/CE da Comissão, no EUR-Lex: a definição de micro, pequenas e médias empresas.
• ENISA, a Diretiva NIS2 (em inglês).
• Decreto-Lei n.º 125/2025, de 4 de dezembro, no Diário da República.