Diretiva NIS2: Impacto nos Serviços de Transferência 2026

A Diretiva NIS2 (UE 2022/2555), transposta para a legislação nacional dos estados-membros até 17 de outubro de 2024 e ativamente aplicada ao longo de 2026, inclui os serviços de transferência de ficheiros nas categorias de "infraestrutura digital" e "fornecedores digitais" quando servem entidades essenciais ou importantes. Para os fornecedores de transferência de ficheiros, a NIS2 exige gestão documentada de riscos de cibersegurança ao abrigo do Artigo 21, revisões de segurança da cadeia de abastecimento, aviso antecipado em 24 horas para incidentes significativos ao abrigo do Artigo 23, e responsabilidade do órgão de gestão com potenciais coimas até 10 milhões de euros ou 2% do volume de negócios global. Os utilizadores destes serviços herdam obrigações da cadeia de abastecimento.

Quem a NIS2 realmente abrange

A NIS2 expandiu significativamente o âmbito da antiga NIS. As entidades essenciais incluem energia, transportes, banca, saúde, água potável, infraestrutura digital (DNS, registos TLD, fornecedores de nuvem, centros de dados, redes de distribuição de conteúdo). As entidades importantes acrescentam serviços postais, gestão de resíduos, produtos químicos, alimentação, indústria transformadora e fornecedores digitais como motores de busca, mercados em linha e redes sociais. Um serviço de transferência de ficheiros enquadra-se frequentemente nas definições de "prestador de serviços geridos" ou "prestador de serviços geridos de segurança" do Anexo II, tornando-o uma entidade importante. Mesmo os prestadores mais pequenos abaixo dos limiares de dimensão são incluídos quando um estado-membro os designa como críticos.

Medidas de gestão de riscos do Artigo 21

As dez medidas do Artigo 21(2) leem-se como um conjunto base de controlos de segurança. Os fornecedores de transferência de ficheiros devem implementar políticas sobre análise de riscos e segurança dos sistemas de informação, tratamento de incidentes, continuidade de negócio e gestão de crises, segurança da cadeia de abastecimento, segurança na aquisição e desenvolvimento de sistemas de redes e informação, políticas para avaliar a eficácia, ciberhigiene básica e formação, criptografia e encriptação, segurança de RH e controlo de acesso, e autenticação multifator. Para um serviço de transferência, isso mapeia para entregas concretas: um SGSI documentado, AES-256-GCM para ficheiros armazenados, TLS 1.3 para transporte, MFA para acesso administrativo, testes de intrusão anuais e um programa de formação para programadores e pessoal de suporte.

Prazos de reporte de incidentes

O Artigo 23 estabelece os prazos mais apertados que os reguladores alguma vez impuseram a serviços digitais. Para um incidente significativo, a entidade envia um aviso antecipado em 24 horas, uma notificação de incidente completa em 72 horas e um relatório final num mês. Uma violação de transferência de ficheiros que exponha ficheiros de clientes geralmente qualifica-se como significativa se afetar muitos utilizadores ou interromper o serviço. O runbook de resposta a incidentes do fornecedor precisa de funções nomeadas, uma cadeia de escalada 24/7 e modelos pré-redigidos para o CSIRT nacional. A ENISA publica orientações sobre o que conta como significativo, referenciando critérios como o número de utilizadores afetados, a duração e a abrangência geográfica.

As obrigações da cadeia de abastecimento funcionam em ambos os sentidos

O Artigo 21(2)(d) da NIS2 apela especificamente à segurança da cadeia de abastecimento. As entidades essenciais e importantes devem avaliar a cibersegurança dos seus fornecedores diretos. Um hospital que utilize um fornecedor de transferência de ficheiros tem de avaliar as práticas de segurança desse fornecedor, obter compromissos contratuais sobre controlos de segurança e notificação de incidentes, e monitorizar a conformidade. Paralelamente, o fornecedor avalia os seus próprios fornecedores: anfitriões de nuvem como AWS, OVHcloud, Scaleway ou Hetzner, mais CDNs, plataformas de observabilidade e fornecedores de identidade. As Avaliações de Risco Coordenadas da UE, publicadas pela Comissão e pela ENISA, sinalizam preocupações específicas de setores na cadeia de abastecimento. A avaliação de 2024 sobre telecomunicações e nuvem é o modelo.

Responsabilidade do órgão de gestão

O Artigo 20 torna a gestão sénior pessoalmente responsável. Os diretores e dirigentes de entidades no âmbito devem aprovar as medidas de gestão de riscos de cibersegurança, supervisionar a sua implementação e completar formação regular. Em alguns estados-membros como a Alemanha (via NIS2UmsuCG) e a França (via a transposição LOI PROPRE), as sanções pessoais e a inabilitação de administradores estão em causa para negligência grave. Os conselhos de administração de fornecedores de nuvem e SaaS que servem clientes de infraestrutura crítica incluem agora a cibersegurança como ponto permanente da agenda, frequentemente com um CISO a reportar diretamente ou via comité de auditoria.

Certificação e garantia

A NIS2 encoraja o uso de esquemas europeus de certificação de cibersegurança ao abrigo do Ato de Cibersegurança (UE 2019/881). O esquema EUCC para produtos TIC e o próximo esquema EUCS para serviços na nuvem fornecem marcas de garantia nos níveis "básico", "substancial" e "alto". Os serviços de transferência de ficheiros que visam compradores públicos ou regulados estão a prosseguir o SOC 2 Type II, a ISO 27001, a ISO 27701 para privacidade e certificações nacionais como o SecNumCloud francês ou o C5 alemão. O efeito prático: os fornecedores sem pelo menos ISO 27001 estão a ser eliminados das listas de pré-seleção de aprovisionamento em compradores regulados em toda a UE.

Coordenação transfronteiriça e jurisdição

Um serviço de transferência de ficheiros com sede na Irlanda e clientes em toda a UE lida com uma autoridade supervisora principal na Irlanda ao abrigo da regra do "estabelecimento principal" da NIS2 para fornecedores digitais. Mas as notificações de incidentes podem ainda ter de ser enviadas à autoridade onde ocorreu impacto significativo. O Grupo de Cooperação e a Rede de CSIRTs coordenam incidentes transfronteiriços. Os fornecedores estabelecem relações com o seu CSIRT nacional antecipadamente, uma vez que um primeiro relatório de incidente não é o momento para descobrir os canais de contacto. Os contactos da Rede de CSIRTs da ENISA são públicos.

Passos práticos para fornecedores e compradores de transferência

Para os fornecedores em 2026, os inegociáveis: uma avaliação de lacunas do Artigo 21 documentada e revista pelo conselho de administração, um líder de resposta a incidentes nomeado com rotação 24/7, um inventário de fornecedores verificado com cláusulas de segurança, uma página de confiança e conformidade publicada referenciando a prontidão NIS2 e um relatório de teste de intrusão de um prestador qualificado nos últimos 12 meses. Para os compradores, peça aos fornecedores: a sua autoavaliação NIS2, o seu contacto CSIRT nacional, a sua lista de sub-processadores, o seu SLA de notificação de violação e as especificações criptográficas do produto. A medida de segurança da cadeia de abastecimento ao abrigo do Artigo 21(2)(d) torna estas perguntas parte da due diligence, não opcionais.

O HexaTransfer encripta ficheiros do lado do cliente com AES-256-GCM, aloja em infraestrutura da UE e publica a sua política de resposta a incidentes. Experimente em hexatransfer.com — gratuito, sem conta, até 10 GB.

A NIS2 não inventou novas práticas de segurança. Tornou-as obrigatórias, acrescentou responsabilidade dos diretores e apertou os prazos. Os serviços de transferência de ficheiros que já geriam programas de segurança disciplinados principalmente tiveram de documentar o que estavam a fazer. Os que não estavam tiveram dois anos de engenharia urgente para recuperar. Para os compradores em 2026, a questão não é se o seu fornecedor está ciente da NIS2, mas se pode prová-lo por escrito quando o regulador perguntar.