Incidente significativo ao abrigo da NIS 2
Dois critérios qualitativos, um regulamento com números para certos prestadores digitais e um registo escrito de decisão para todos os restantes.
Por que a definição importa
A significância é o que dá início a todo o prazo de comunicação do artigo 23.o da NIS 2: um alerta precoce no prazo de 24 horas, uma notificação de incidente no prazo de 72 horas, um relatório final no prazo de um mês. Se o evento for significativo, o prazo começa no momento em que tem conhecimento dele. Se não for, nada deve à CSIRT nem à autoridade competente.
O artigo 23.o, n.o 3, da NIS 2 dá-lhe apenas duas expressões gerais. O Regulamento de Execução (UE) 2024/2690 da Comissão (CIR) acrescenta números concretos, mas apenas para um pequeno grupo de prestadores digitais (DNS, TLD, computação em nuvem, centro de dados, CDN, MSP, MSSP, mercado em linha, motor de pesquisa, rede social, serviços de confiança). Para todos os outros setores da NIS 2, o teste permanece qualitativo.
A maioria dos CISO subestima essa lacuna. Se está no fabrico, na alimentação, na saúde ou na gestão de resíduos, não há um valor em euros, nem uma contagem de minutos, nem um limiar de utilizadores. Tem de decidir, tem de decidir depressa e tem de ser capaz de explicar mais tarde o porquê.
Diretiva NIS 2 (UE) 2022/2555, art. 23.o, n.o 3
Considera-se que um incidente é significativo se: a) Tiver causado ou for suscetível de causar graves perturbações operacionais dos serviços ou perdas financeiras à entidade em causa; b) Tiver afetado ou for suscetível de afetar outras pessoas singulares ou coletivas, causando danos materiais ou imateriais consideráveis.
Esta é a única definição geral de incidente significativo no direito da UE. Ambos os pontos usam «suscetível de causar», por isso tem de ponderar tanto o dano potencial como o dano efetivo. O texto nunca quantifica grave, considerável nem material.
CIR (UE) 2024/2690, art. 3.o
No que diz respeito às entidades pertinentes, um incidente é considerado significativo para efeitos do artigo 23.o, n.o 3, da Diretiva (UE) 2022/2555 se estiverem preenchidos um ou mais dos seguintes critérios: a) O incidente causou ou é suscetível de causar à entidade pertinente perdas financeiras diretas superiores a 500 000 EUR ou a 5 % do seu volume de negócios anual total ao longo do exercício financeiro anterior, consoante o que for mais baixo; b) O incidente causou ou é suscetível de causar a fuga, a partir da entidade pertinente, de segredos comerciais na aceção do artigo 2.o, ponto 1, da Diretiva (UE) 2016/943; c) O incidente causou ou é suscetível de causar a morte de uma pessoa singular; d) O incidente causou ou é suscetível de causar danos consideráveis à saúde de uma pessoa singular; e) Ocorreu um acesso bem-sucedido, presumivelmente malicioso e não autorizado aos sistemas de rede e informação, e que é suscetível de causar graves perturbações operacionais; f) O incidente cumpre os critérios estabelecidos no artigo 4.o; g) O incidente cumpre um ou mais dos critérios estabelecidos nos artigos 5.o a 14.°.
Sete critérios (alíneas a) a g)): cinco substantivos mais duas remissões. O art. 1.o do CIR diz que estes números só se aplicam a determinados prestadores digitais (DNS, TLD, computação em nuvem, centro de dados, CDN, MSP, MSSP, mercado em linha, motor de pesquisa, plataforma social, serviços de confiança). Os artigos 5.o a 14.o acrescentam limiares de disponibilidade por setor para o mesmo grupo. Se o seu setor não constar dessa lista, estes números não o vinculam e o teste qualitativo do art. 23.o, n.o 3, é tudo o que tem.
§32 BSIG (Alemanha, exemplo de transposição)
Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden: 1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung ...
Cada Estado-Membro tem de transformar o art. 23.o em direito nacional. O §32 BSIG repete a cascata e designa como destinatário um serviço de comunicação conjunto criado pelo BSI e pelo Gabinete Federal de Proteção Civil e Assistência em Catástrofes (BBK). Não acrescenta qualquer número próprio para os setores não digitais. A NISG 2026 da Áustria aplica-se desde 1 de outubro de 2026. A França e os Países Baixos não tinham notificado a sua transposição até julho de 2026 (a Comissão levou-os ao Tribunal de Justiça).
Sete critérios (alíneas a) a g))
Cinco gatilhos substantivos mais duas remissões. a) 500 000 EUR ou 5 por cento do volume de negócios (consoante o que for menor), b) segredos comerciais exfiltrados, c) uma pessoa morta, d) danos graves para a saúde de uma pessoa, e) uma intrusão maliciosa bem-sucedida suscetível de perturbação grave, f) incidentes recorrentes nos termos do art. 4.o, g) limiares específicos por entidade nos termos dos arts. 5.o a 14.o. Qualquer um deles aciona a significância para os prestadores digitais abrangidos.
Incidentes recorrentes
Os pequenos incidentes acumulam-se. Se a mesma causa raiz produzir pelo menos dois incidentes em seis meses e, em conjunto, ultrapassarem o limite de perda financeira do art. 3.o, n.o 1, alínea a), o CIR trata-os como um único incidente significativo. Contar cada um separadamente está errado.
Especificidades de DNS e TLD
Para os prestadores de serviços DNS (art. 5.o): resolução totalmente indisponível durante mais de 30 minutos, tempo médio de resposta superior a 10 segundos durante mais de uma hora, ou dados comprometidos (exceto uma configuração incorreta que afete menos de 1 000 domínios e não mais de 1 % deles). Registos de TLD (art. 6.o): qualquer indisponibilidade total da resolução autoritativa, tempo de resposta superior a 10 segundos durante uma hora, ou qualquer comprometimento dos dados do TLD. Os artigos 7.o a 14.o fixam limiares para nuvem, centros de dados, CDN, MSP e MSSP, mercados, motores de pesquisa, redes sociais e serviços de confiança.
Critério A: perturbação operacional grave ou perda financeira para a sua entidade
Este é o critério voltado para dentro. A diretiva não lhe dá um valor em euros, nem uma duração, nem uma percentagem. O considerando 101 nomeia três aspetos a observar: que parte do serviço é afetada, quanto tempo dura o incidente e quantos utilizadores atinge. Use-os para estruturar o seu raciocínio. Não os trate como uma lista de verificação.
Critério B: danos materiais ou imateriais consideráveis a terceiros
Este é o critério voltado para fora. Clientes, cidadãos, operadores a jusante, a sua cadeia de abastecimento. Os danos imateriais incluem o prejuízo à reputação e à confiança. Uma interrupção curta que quebre o fluxo de trabalho de um hospital, exponha dados de clientes ou ponha um serviço municipal fora de linha pode satisfazer este critério, mesmo que a sua própria perda seja pequena.
Ransomware paralisa a produção durante dois dias
As operações param. O critério A do art. 23.o, n.o 3, da NIS 2 (perturbação operacional grave) está cumprido. Alerta precoce 24h, notificação de incidente 72h, relatório final 1 mês (art. 23.o NIS 2 / §32 BSIG).
E-mail de phishing clicado, sem palavra-passe introduzida
Contenção bem-sucedida, sem impacto nos serviços ou em terceiros. A notificação voluntária ao abrigo do art. 30.o da NIS 2 está disponível se quiser partilhar, e não impõe quaisquer obrigações adicionais (art. 30.o, n.o 2).
Interrupção do prestador de nuvem, o seu próprio serviço atrasado
Se o seu próprio serviço ficar significativamente mais lento ou parar, o critério A está cumprido. Verifique também o critério B: os clientes ou os operadores a jusante sofrem? (art. 23.o, n.o 3, NIS 2)
Um ataque DDoS deixa o portal de clientes fora de linha durante quatro horas
Interrupção significativa para os clientes. Ambos os critérios do art. 23.o, n.o 3, da NIS 2 estão potencialmente cumpridos. Para prestadores de DNS, nuvem ou serviços de confiança, verifique também os arts. 5.o a 14.o do CIR.
Uma configuração incorreta expõe dados de clientes
Artigo 33.o do GDPR: 72h à autoridade de controlo. Se também for ultrapassado um limiar da NIS 2 (art. 23.o, n.o 3, NIS 2 ou art. 3.o do CIR), adicionalmente o artigo 23.o da NIS 2: alerta precoce de 24h à CSIRT. Ambos os prazos começam no momento do conhecimento.
Fornecedor comprometido, o seu próprio serviço afetado
Verifique primeiro os danos para a sua própria entidade ou para os seus clientes. Nem todo o incidente de um fornecedor aciona o seu próprio dever de notificação. Em paralelo: documente a supervisão de fornecedores ao abrigo do art. 21.o, n.o 2, alínea d), da NIS 2.
Não tem a certeza? O alerta precoce pode ser atualizado na notificação das 72 horas (art. 23.o, n.o 4, alínea b)). Para os eventos abaixo do limiar, pode notificar voluntariamente sem assumir deveres adicionais (art. 30.o).
O artigo 30.o, n.o 1, da NIS 2 permite a notificação voluntária de incidentes, ciberameaças e quase-incidentes à CSIRT. Aplica-se às entidades abrangidas pela diretiva e às entidades fora dela que pretendam notificar um evento significativo.
O artigo 30.o, n.o 2, da NIS 2 é a proteção essencial: a comunicação voluntária não pode resultar na imposição de quaisquer obrigações adicionais à entidade notificante. Comunicar um caso limítrofe não acarreta risco de deveres extra. Isso elimina a desculpa óbvia para não notificar um incidente pouco claro.
O artigo 23.o, n.o 2, da NIS 2 acrescenta um dever distinto. As entidades essenciais e importantes comunicam, sem demora injustificada, aos destinatários dos seus serviços quaisquer medidas ou soluções que estes possam tomar para mitigar os riscos decorrentes de uma ciberameaça significativa. Não se trata da notificação à CSIRT, mas da comunicação externa aos clientes.
Na Alemanha, o § 35, n.o 2 BSIG aplica isto: as entidades de finanças, segurança social, infraestrutura digital, gestão de serviços de TIC e serviços digitais têm de informar os clientes ameaçados por uma ciberameaça significativa sobre o que podem fazer, quando os interesses dos clientes prevalecem sobre os seus. Em separado, o BSI pode ordenar a uma entidade que informe os seus clientes sobre um incidente significativo (§ 35, n.o 1 BSIG), por exemplo através da publicação no seu sítio Web.
Orientações do BSI ao abrigo do §32 BSIG
O BSI repete a definição do § 2 Nr. 11 BSIG e entende «pode causar» como: os efeitos poderiam realisticamente ocorrer. As comunicações passam pelo portal do BSI. Não publica qualquer número para os setores não digitais. O BSI observa que o ministério federal do interior pode mais tarde definir «significativo» com mais pormenor por portaria (§ 56 Abs. 4 BSIG).
Orientações Técnicas de Implementação da ENISA
As Orientações Técnicas de Implementação da ENISA (TIG, versão 1.0 de junho de 2025; a sua tabela de correspondências foi atualizada para a versão 1.2 em agosto de 2025) dão conselhos práticos sobre a avaliação de impacto e remetem para os limiares do CIR onde estes se aplicam. As TIG não são vinculativas e devolvem explicitamente às autoridades nacionais os setores fora do âmbito do CIR.
Outros Estados-Membros
A NISG 2026 da Áustria aplica-se desde 1 de outubro de 2026. A França e os Países Baixos não tinham notificado a sua transposição até julho de 2026 (a Comissão levou-os ao Tribunal de Justiça). A Alemanha é o exemplo usado aqui.
Mito 1: Vamos saber quando o virmos.
Realidade: o art. 23.o, n.o 4, alínea a), dá-lhe 24 horas a contar do momento em que tem conhecimento de um incidente significativo para enviar o alerta precoce. Nesse tempo tem de decidir, escrever o raciocínio e conseguir defendê-lo numa auditoria. Se não tiver escrito os seus critérios antes do incidente, fará a avaliação sob pressão sem registo a que recorrer. Construa agora o quadro de decisão, não no próprio dia.
Mito 2: Só as violações de dados contam como incidentes significativos.
Realidade: o art. 23.o, n.o 3, alínea a), abrange a perturbação operacional e a perda financeira, sem qualquer menção a dados pessoais. Uma linha de fábrica parada por ransomware sem exfiltração de dados é um incidente significativo. Uma plataforma logística fora de linha durante três horas pode sê-lo, se a indisponibilidade perturbar gravemente o serviço ou causar danos consideráveis aos clientes. A NIS 2 não é o GDPR.
Mito 3: Pequenos incidentes abaixo do limiar não se acumulam.
Realidade: para os prestadores digitais do CIR, os incidentes com a mesma causa aparente que ocorrem pelo menos duas vezes em seis meses contam como um único incidente significativo se as suas perdas financeiras ultrapassarem em conjunto o limiar do art. 3.o, n.o 1, alínea a) (art. 4.o do CIR). A própria NIS 2 não tem essa regra, mas um padrão de pequenos incidentes continua a ser motivo para voltar a olhar.
Os anexos I e II da NIS 2 abrangem 18 setores. Apenas o grupo digital do art. 1.o do CIR (11 tipos de entidade) recebe números. Isso é uma pequena fração das entidades abrangidas. Para a energia, os transportes, a banca, a infraestrutura dos mercados financeiros, a saúde, a água potável, as águas residuais, a administração pública, o espaço, os serviços postais, a gestão de resíduos, os produtos químicos, a alimentação, o fabrico e a investigação, o teste permanece qualitativo.
É aí que pode ser útil na sala. A resposta honesta à pergunta da administração («o que conta como significativo para nós?») é: a UE deixou-o ao seu critério, eis os três fatores do considerando 101, eis o registo de decisão que produziremos no dia, eis quem o assina, eis o formulário de comunicação do BSI que apresentaremos. A resposta defensável não é um número. É uma decisão escrita.
- Diretiva (UE) 2022/2555 (NIS 2), art. 23.o e considerando 101. eur-lex.europa.eu/eli/dir/2022/2555/oj
- Regulamento de Execução (UE) 2024/2690 da Comissão, artigos 1.o, 3.o, 4.o, 5.o a 14.o. eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- BSIG § 32 (Alemanha): gesetze-im-internet.de/bsig_2025
- ENISA, NIS2 Technical Implementation Guidance, versão 1.0, 26 de junho de 2025: enisa.europa.eu
- BSI, FAQ sobre a NIS-2 e o portal do BSI: bsi.bund.de, portal.bsi.bund.de
Na prática
Onde isto aparece no percurso guiado
O percurso guiado transforma isto em passos que preenche, com a lei explicada ao lado de cada um. Abra um passo para ver o seu ecrã, preenchido para uma empresa fictícia.
O percurso em si está em alemão e em inglês.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
