InfraFenceInfraFence

Live Security Operations

Começar

NIS2 e GDPR: um incidente, duas notificações (e a LGPD)

Última atualização:

Um ransomware num servidor com dados de clientes europeus é, para a lei, mais de um problema ao mesmo tempo. Para a NIS2 pode ser um incidente significativo, a notificar à CSIRT ou à autoridade competente. Para o GDPR (em Portugal, RGPD) é uma violação de dados pessoais, a notificar à autoridade de proteção de dados. E, se a empresa é brasileira, a LGPD pode exigir também a comunicação à ANPD.

Esta página compara as obrigações europeias, explica quando um mesmo incidente aciona mais de uma, mostra onde entra a LGPD e termina com um checklist prático.

Rascunho: não é aconselhamento jurídico. Resume a Diretiva (UE) 2022/2555 (NIS2), o Regulamento (UE) 2016/679 (GDPR) e as normas brasileiras citadas para fins informativos, atualizado em novembro de 2026. Leis e autoridades nacionais acrescentam regras e formulários próprios: para suas obrigações, consulte os textos oficiais, as autoridades competentes e seu advogado ou encarregado de dados.

Uma empresa brasileira pode ter as duas obrigações europeias?

Sim, e por caminhos diferentes. O GDPR se aplica também a quem não está estabelecido na UE, quando oferece bens ou serviços a pessoas que estão na União, pagos ou não, ou monitora o comportamento delas lá (artigo 3.º, n.º 2). Uma loja virtual brasileira que vende para Portugal, ou um SaaS com usuários na Europa, entra nesse caso.

A NIS2 segue outra lógica: vale para entidades na UE, de setores e tamanhos definidos. Uma empresa brasileira chega a ela por uma filial europeia, pelos serviços digitais do artigo 26.º (nuvem, data center, serviços gerenciados e outros, que oferecidos na União exigem um representante lá) ou, mais comumente, pelos contratos de clientes europeus que são entidades NIS2. Veja a página do alerta rápido para os detalhes.

NIS2 e GDPR lado a lado

NIS2 (artigo 23.º)GDPR (artigos 33.º e 34.º)
O que acionaUm incidente significativo: perturbação operacional grave ou perdas financeiras para a entidade, ou danos consideráveis a terceiros. Qualquer dado, qualquer serviço.Uma violação de dados pessoais: uma violação da segurança que provoque a destruição, perda, alteração, divulgação ou acesso não autorizados a dados pessoais (artigo 4.º, ponto 12).
Quem notificaA entidade essencial ou importante.O responsável pelo tratamento (o controlador, na LGPD). O subcontratante (o operador) avisa o responsável sem demora injustificada (artigo 33.º, n.º 2).
Quem recebeA CSIRT ou, se for o caso, a autoridade competente.A autoridade de controle competente; em tratamentos transfronteiriços, a autoridade principal (artigos 55.º e 56.º).
PrazosAlerta rápido em 24 horas desde o conhecimento, notificação em 72, relatório final um mês depois da notificação.Sem demora injustificada e, sempre que possível, até 72 horas depois do conhecimento. Depois disso, com os motivos do atraso. A informação pode ser dada por fases (artigo 33.º, n.º 4).
Quando não precisaQuando o incidente não é significativo.Quando a violação provavelmente não resulta em risco para os direitos e liberdades das pessoas. Mesmo assim, ela é documentada (artigo 33.º, n.º 5).
Quem mais avisarSe for o caso, os destinatários dos serviços afetados pelo incidente (artigo 23.º, n.º 1).Os titulares dos dados, sem demora injustificada, quando o risco para eles é elevado (artigo 34.º).

As 72 horas das duas normas parecem iguais, mas nem sempre começam juntas: a NIS2 conta a partir do conhecimento de um incidente significativo, o GDPR a partir do conhecimento de uma violação de dados pessoais. Você pode descobrir a segunda mais tarde, quando a análise mostra que o atacante chegou a um banco de dados.

E a LGPD?

No Brasil, a LGPD (artigo 48) e a Resolução CD/ANPD n.º 15/2024 exigem que o controlador comunique à ANPD, e aos titulares, o incidente de segurança que possa acarretar risco ou dano relevante aos titulares. O prazo é de três dias úteis, contados a partir do momento em que o controlador sabe que o incidente afetou dados pessoais (artigo 6.º da resolução), e a comunicação é feita pelo formulário da ANPD.

Para uma empresa brasileira com clientes ou usuários na Europa, o mesmo incidente pode exigir até três comunicações: à ANPD pela LGPD, à autoridade europeia de proteção de dados pelo GDPR e, se o incidente afeta um cliente que é entidade NIS2, o aviso rápido a esse cliente para que ele faça a sua notificação à CSIRT. Os critérios de risco e os prazos são diferentes: avalie cada um separadamente.

Quando um incidente aciona as duas normas europeias

As duas avaliações são independentes, e cada uma pode dar sim ou não. Alguns casos típicos, para uma organização sujeita à NIS2:

CasoNIS2GDPR
Um ransomware criptografa o servidor com o banco de dados de clientes, e os dados foram copiados para foraProvavelmente significativo: perturbação grave e danos a terceiros.Violação de dados pessoais (confidencialidade e disponibilidade); a notificação é provável.
Um ransomware criptografa um servidor com dados pessoais, restaurado do backup em poucas horas, sem sinal de exfiltraçãoDepende da perturbação.Continua sendo uma violação (de disponibilidade) a documentar; notificar depende do risco, conforme as diretrizes do CEPD.
Um DDoS derruba a loja virtual por um dia, sem acesso aos dadosPode ser significativo, conforme a perturbação.Em geral, sem notificação: não houve acesso nem perda de dados, embora a perda de disponibilidade de dados pessoais possa ser uma violação.
Alguém acessa a caixa de e-mail de um funcionário com uma senha roubadaDepende do impacto nos serviços.Violação de dados pessoais se a caixa contém dados pessoais, o que é o normal.
Força bruta SSH bloqueada pelo firewallNão é um incidente em si: no máximo, um quase incidente.Não há violação: nada foi acessado.

As Diretrizes 9/2022 do CEPD explicam com exemplos como avaliar o risco de uma violação, inclusive em casos de ransomware e de perda de disponibilidade.

A diretiva liga os dois sistemas: quando uma autoridade NIS2 percebe que uma infração pode envolver uma violação de dados pessoais, ela informa a autoridade de proteção de dados; e, se esta multar a conduta pelo GDPR, a autoridade NIS2 não a multa de novo (artigo 35.º). Isso não substitui a sua notificação a nenhuma delas. O considerando 106 incentiva os Estados-Membros a oferecer um ponto de entrada único para as duas notificações; em novembro de 2025 a Comissão propôs um ponto de entrada único da UE e, para o GDPR, notificar só as violações de risco elevado, em 96 horas (proposta Omnibus Digital, COM(2025) 837). Em novembro de 2026 ainda é uma proposta: valem as regras desta página.

Para onde vão as notificações na Europa

PaísNIS2GDPR
PortugalA plataforma do CNCS; a lei prevê notificar também a CNPD e outras autoridades pela mesma plataforma, conforme protocolo entre elas (Decreto-Lei n.º 125/2025, artigo 40.º do regime).A CNPD.
ItáliaCSIRT ItaliaO Garante per la protezione dei dati personali, pelo procedimento on-line.
AlemanhaO ponto conjunto de notificação do BSI e do BBK, pelo portal do BSI.A autoridade de proteção de dados do estado federado (Land), ou o comissário federal para as entidades que ele supervisiona.
FrançaA ANSSI, quando a lei de transposição for aprovada.A CNIL.
EspanhaPelas regras de 2018: INCIBE-CERT ou CCN-CERT.A AEPD, ou uma autoridade regional para as entidades que ela supervisiona.

O CEPD mantém a lista de todas as autoridades nacionais de proteção de dados.

Checklist: um incidente, várias notificações

  1. Contenha e preserve: isole o que foi comprometido, guarde logs e cópias antes de limpar e abra um registro do incidente com horários em UTC.
  2. Anote o momento do conhecimento, separadamente para o incidente significativo e para a violação de dados pessoais: eles disparam relógios diferentes.
  3. Tome as decisões por escrito: é um incidente significativo (NIS2)? É uma violação de dados pessoais, com que risco para as pessoas (GDPR)? Há risco ou dano relevante para titulares no Brasil (LGPD)? Anote quem decidiu e por quê.
  4. Um conjunto de fatos, várias notificações: a mesma linha do tempo alimenta todas, para que as autoridades não recebam versões que se contradizem.
  5. Em 24 horas: o alerta rápido NIS2, se o incidente for significativo, ou o aviso ao seu cliente europeu que é entidade NIS2.
  6. Em 72 horas: a notificação NIS2 e, se houver risco para as pessoas, a notificação do GDPR, com o encarregado de dados envolvido. Se atrasar do lado do GDPR, explique o motivo.
  7. Em três dias úteis: a comunicação à ANPD, se a LGPD exigir.
  8. Avise os titulares quando o risco for elevado (GDPR, artigo 34.º) ou relevante (LGPD), e os destinatários dos serviços quando for o caso (NIS2).
  9. Se você é operador (por exemplo, uma agência que hospeda o site de um cliente), avise o controlador sem demora: a notificação é dele.
  10. Até um mês depois da notificação NIS2: o relatório final, com causa e medidas. Documente a violação mesmo sem notificá-la (GDPR, artigo 33.º, n.º 5).

Onde a InfraFence ajuda, e onde não

Em Compliance (Pro e AutoMode), a InfraFence redige, a partir da linha do tempo dos seus servidores, tanto as notificações da NIS2 (alerta rápido, notificação do incidente, relatório final) quanto uma avaliação de violação pelo artigo 33.º do GDPR. O rascunho do GDPR pondera se dados pessoais foram ou podem ter sido afetados, com os indícios a favor e contra, avalia o risco e se a notificação à autoridade e aos titulares parece necessária, e prepara o conteúdo do artigo 33.º, n.º 3, e o registro do n.º 5. Não há um rascunho específico para a ANPD: use os mesmos fatos.

Todos os rascunhos partem da mesma linha do tempo: ataques, bloqueios, logins SSH, arquivos modificados, detecções de malware e ações tomadas. O que o agente não tem como saber, como quais dados pessoais suas aplicações guardam, quantas pessoas foram afetadas e quem é o encarregado, fica como campo a completar. Os rascunhos têm versões e podem ser baixados em Markdown ou impressos em PDF. Para redigi-los, a linha do tempo e suas anotações são enviadas a um provedor externo de geração de texto, e a página avisa. Veja Relatórios mensais e NIS2.

Ela não decide se há uma violação ou um incidente significativo, e não envia nada a nenhuma autoridade. Os rascunhos não são aconselhamento jurídico.

Fontes

Perguntas

Minha empresa é brasileira. O GDPR se aplica a ela?
Se você oferece bens ou serviços a pessoas que estão na UE, ou monitora o comportamento delas lá, sim (artigo 3.º, n.º 2). A LGPD continua valendo no Brasil ao mesmo tempo.
Se eu notificar a CSIRT, ainda preciso notificar a autoridade de proteção de dados?
Sim, se o incidente também for uma violação de dados pessoais com risco para as pessoas. São obrigações separadas. A autoridade NIS2 pode informar a de proteção de dados, mas isso não substitui a sua notificação.
As 72 horas são as mesmas nas duas normas?
A duração é a mesma, mas cada prazo começa quando você toma conhecimento do que aquela norma cobre: o incidente significativo na NIS2, a violação de dados pessoais no GDPR. Na LGPD, o prazo é de três dias úteis.
Eu hospedo os sites dos meus clientes. Quem notifica?
No GDPR e na LGPD, o responsável (controlador), normalmente o seu cliente; como operador, você o avisa sem demora. Na NIS2, depende de você ou seu cliente serem entidades NIS2.
Os prazos europeus vão mudar?
A proposta Omnibus Digital da Comissão, de novembro de 2025, levaria a notificação do GDPR para 96 horas, só para violações de risco elevado, por um ponto de entrada único da UE. Em novembro de 2026 é uma proposta, não lei.

Teste grátis em 1 servidor

O Starter protege um servidor por completo, grátis e sem cartão de crédito.

  1. 01

    Crie uma conta gratuita e abra Servidores › Adicionar servidor para obter o token de instalação. Ele vale por uma hora.

    Criar o token
  2. 02

    Depois execute isto como root no servidor:

    curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo bash -s -- --token <TOKEN>
Criar uma conta grátisLer a documentação