Uma confeccionista do Vale do Ave com 67 colaboradores recebeu a notificação há três meses. Não era multa. Não era auditoria. Era classificação: entrou na lista portuguesa de operadores de serviços essenciais sob NIS2. O diretor de TI, que há 15 anos geria um servidor num armário, leu "cibersegurança crítica" e pensou em orçamento. O CEO pensou em compliance. Ninguém pensou na verdade: isto não é um projecto de TI. É uma mudança operacional.

A Diretiva (UE) 2022/2555 NIS2, transposta em Portugal pelo Decreto-Lei 65/2025, não traz tecnologia nova. Traz obrigação de organização. E essa obrigação toca tudo: desde quem pode aceder ao ERP até como se faz backup, desde quem treina os colaboradores até quem responde quando há incidente. A diferença entre "ter segurança" e "demonstrar que se tem segurança" é operacional, não técnica.

Quem é afetado e por quê

A NIS2 não toca todas as PMEs industriais portuguesas. Toca as que são "operadores de serviços essenciais" em setores críticos: energia, transportes, água, saúde, digital, alimentação, infra-estruturas físicas, administração pública. Na prática industrial portuguesa, isto significa:

  • Distribuidoras de alimentar com rede logística acima de certos limiares (armazém central + distribuição para cadeias de retalho).
  • Indústria de transformação alimentar (moagem, lacticínios, carnes processadas).
  • Fornecedores de componentes críticos para setores essenciais (ex.: peças auto para montadoras de veículos comerciais).
  • Operadores de infra-estruturas de telecomunicações ou data centers.

A maioria das confecções, sapatarias e fábricas têxteis do Norte não entra. Mas — e isto é importante — estão um passo atrás. Se fornecem para uma empresa classificada, aquela empresa vai exigir que vocês cumpram NIS2 também. Subcontratação é cadeia, não silo.

NIS2 não é sobre ter firewall. É sobre provar que o firewall existe, quem o gere, quando foi testado, e o que se faz quando falha.

O que muda no chão-de-fábrica e no back-office

Vamos ser concretos. Uma fábrica têxtil típica com 120 colaboradores, 3 turnos, ERP em nuvem e WMS integrado.

Controlo de acesso

Hoje: 8 pessoas têm password do ERP escrita num post-it na mesa do armazém. Amanhã: cada acesso é nominativo, rastreável, com multi-fator se acesso remoto, e auditável por um terceiro. Isto significa onboarding diferente (quanto tempo até um novo operário ter acesso justificado?), offboarding obrigatório (quando sai, em que hora é removido?), e revisão trimestral de quem ainda precisa de quê. Isto é operacional — passa a ser tarefa de RH, não de TI. Numa fábrica com turnos, isto complica-se: se um operário sai à noite, quem remove o acesso? Que procedimento existe para garantir que a remoção é feita antes do turno seguinte? NIS2 exige resposta escrita.

Incidentes de segurança

Hoje: se o ERP fica lento porque alguém fez query pesada, o chefe de armazém liga para o TI e resolve. Amanhã: se há suspeita de acesso não autorizado, há obrigação de notificação em 72 horas à autoridade (CNCS — Comando Nacional de Cibersegurança). Isto exige procedimento escrito, responsável designado, e comunicação coordenada com legal/comunicação. Uma falsa partida pode custar multa. Pior: um incidente real que não é notificado a tempo torna-se violação de lei. Quem é responsável por decidir se é "incidente"? Quem telefona à CNCS? Que documentação se guarda?

Backup e recuperação

Hoje: fazemos backup ao fim-de-semana, guardamos numa pen num armário, e testamos "quando temos tempo". Amanhã: backup é diário, imutável (não pode ser apagado nem alterado nem mesmo pelo administrador durante X dias), e recuperação é testada trimestralmente com data/hora registada. Isto afeta planeamento de TI — precisa de infraestrutura diferente, talvez cloud com SaaS de backup dedicado. Uma fábrica que usa ERP MULTI em nuvem tem vantagem aqui — o fornecedor já gere backup — mas a configuração de imutabilidade e o teste trimestral continuam a ser responsabilidade tua.

Treino e consciência

A NIS2 exige que colaboradores tenham "consciência de cibersegurança". Isto não é "enviar um e-mail sobre não clicar em links". É treino documentado, anual, com avaliação. Quem forma? Quem regista? Quem prova? Isto toca RH, toca operações, toca TI. Numa confecção com 67 colaboradores e mão-de-obra envelhecida, isto é desafio real: como treinas segurança digital a operários que aprenderam o ofício há 30 anos sem computador?

Classificação e proteção de dados

Hoje: dados de clientes, dados de produção, dados de RH — tudo no mesmo servidor. Amanhã: tens de classificar o que é "crítico", o que é "sensível", o que é "público". Dados críticos têm proteção diferente: acesso mais restrito, backup mais frequente, criptografia em repouso e em trânsito. Isto obriga a mapeamento de dados — tarefa que a maioria das PMEs nunca fez. Quantos ficheiros de clientes estão em partilhas de rede abertas? Quantos passwords de sistemas estão em Excel? NIS2 força a resposta.

O erro que vimos fazer (e que não deves repetir)

Há cinco anos, vimos empresas a tratar segurança como projecto de TI puro. Compravam firewall, instalavam antivírus, faziam scan de vulnerabilidades. Depois ficavam confusas quando auditores perguntavam: "Quem é responsável pela segurança?", "Como comunicam incidentes?", "Qual é o plano de continuidade?", "Quem autoriza acesso a dados de clientes?". Estavam errados — e nós ajudámos-os a estar errados porque focámos em tecnologia.

NIS2 não é tecnologia. É governança. Tecnologia é ferramenta, mas a mudança é organizacional. Uma empresa que compra firewall de 50 mil euros mas não tem procedimento escrito de incidentes continua vulnerável — e em violação de lei.

Por isso, quando um CEO nos pergunta "Quanto custa ficar em compliance com NIS2?", a resposta honesta é: "Depende. A tecnologia talvez custe 15-20% do esforço. Os outros 80% são processos, papéis, responsabilidades, treino, auditoria interna." E isto não é vendido por fornecedores de software — é feito internamente ou com consultores de cibersegurança, não de TI.

Planeamento prático para os próximos 12 meses

Se foste classificado, ou se esperas sê-lo, a sequência é esta:

Meses 1-2: Auditoria interna

Contrata um auditor de cibersegurança certificado (ISO 27001) para mapear estado atual: quem acede a quê, como está guardado o backup, qual é o plano de continuidade, existe documentação de incidentes? Isto custa 3-8 mil euros e dura 2-3 semanas. É investimento, não custo. O auditor não é para "passar auditoria externa" — é para saber onde estás. Se estás mal, melhor saber agora do que descobrir quando chegar a inspecção da CNCS.

Meses 3-6: Governança

Define responsabilidades formais. Quem é "responsável de cibersegurança"? Não precisa ser CTO — pode ser IT Diretor com apoio externo. Documenta: política de acesso, política de incidentes, plano de continuidade, matriz de classificação de dados. Isto é trabalho interno, com template de consultores. Isto é também quando crias o "comité de segurança" — reunião mensal entre TI, operações, RH, legal — que vai acompanhar implementação. Sem comité, cada departamento faz à sua maneira.

Meses 7-10: Implementação técnica

Agora, sim, tecnologia. Reforça autenticação (multi-fator para acesso remoto), implementa backup imutável, configura logging e alertas, testa recuperação de desastre. Se usar ERP MULTI ou QAD Adaptive, estas plataformas têm funcionalidades de auditoria e controlo de acesso nativas — mas configuração não é automática. Precisas de especialista que conheça o sistema e o teu negócio. Isto é quando consultoria de cibersegurança faz diferença: não é consultoria genérica, é implementação concreta no teu ERP.

Meses 11-12: Treino e validação

Treina colaboradores (documentado), faz teste de penetração externo (simula ataque), valida que procedimentos funcionam em pressão, documenta tudo para auditoria futura. O teste de penetração é importante: não é "correr uma ferramenta". É contratar especialista externo que tenta entrar no teu sistema — e depois relata vulnerabilidades reais. Custa 5-15 mil euros, mas é prova de que testaste.

Custo total e timeline

Isto não é "90 dias". Isto é 12 meses, com custo total (auditoria, consultoria, tecnologia, treino) entre 30 e 80 mil euros para uma PME de 100-150 colaboradores. Muito? Talvez. Mas multa por não-compliance vai de 10 a 20 milhões de euros ou 4% do volume de negócios — o que for maior. Uma confecção com 5 milhões de euros de volume anual paga 200 mil euros de multa só por não ter procedimento de incidentes. Isto muda a perspectiva.

NIS2 é um projecto de negócio disfarçado de projecto de TI. Trata-o como tal.

Perguntas para a próxima reunião de direção

Se a tua empresa é classificada (ou suspeita que pode ser), pergunta isto ao IT Diretor:

  • "Temos documentado quem acede a cada sistema, quando, e por quê?"
  • "Conseguimos recuperar do backup em menos de 24 horas?"
  • "Temos procedimento escrito para notificar incidentes à CNCS?"
  • "Quem é responsável de cibersegurança — nome, apelido, contacto?"
  • "Quando foi a última vez que testámos recuperação de desastre?"

Se a resposta a qualquer uma for "mais ou menos" ou "não", estás em risco operacional — não apenas legal. Isto não é para assustar — é para agir.

Próximos passos

A NIS2 não traz tecnologia mágica. Traz obrigação de organização. E organização, numa fábrica portuguesa com 80 colaboradores e três turnos, é mais difícil que comprar um firewall.

Se precisas de ajuda a mapear estado atual de segurança, ou a desenhar controlos técnicos para plataforma ERP, fala connosco. Temos experiência com serviço de cibersegurança e parceria com auditores certificados. Mas a decisão — e o trabalho — é teu.

Referências

  • Diretiva (UE) 2022/2555 — NIS2 (Diretiva relativa às medidas para um elevado nível comum de cibersegurança em toda a União Europeia).
  • Decreto-Lei 65/2025 (Portugal) — Transposição nacional da NIS2.
  • ENISA — Relatórios de Cibersegurança e Ameaças (European Union Agency for Cybersecurity).
  • CNCS — Comando Nacional de Cibersegurança (Portugal) — Documentação sobre notificação de incidentes e operadores essenciais.
  • ISO 27001:2022 — Norma internacional de Segurança da Informação (referência de boas práticas de auditoria).

Perguntas frequentes

A minha PME industrial precisa cumprir NIS2?

Depende. NIS2 aplica-se apenas a "operadores de serviços essenciais" em setores críticos: energia, transportes, água, saúde, digital, alimentação e infra-estruturas. A maioria das confecções, sapatarias e fábricas têxteis não entra. Porém, se fornece para uma empresa classificada, essa empresa exigirá que cumpra NIS2 também. A cadeia de fornecimento é responsabilidade partilhada.

Qual é a diferença entre ter segurança e estar em compliance com NIS2?

Ter segurança é técnico: firewall, antivírus, backups. Estar em compliance é operacional: procedimentos escritos, responsáveis designados, rastreabilidade, auditoria. NIS2 não exige tecnologia nova. Exige que se prove que a segurança existe, quem a gere, quando foi testada, e o que se faz quando falha.

O que muda no controlo de acesso ao ERP?

Hoje: múltiplos utilizadores partilham passwords. Amanhã: cada acesso é nominativo, rastreável, com multi-fator se remoto. Exige onboarding estruturado, offboarding imediato quando colaborador sai, e revisão trimestral de permissões. Isto passa a ser responsabilidade de RH e operações, não apenas de TI.

Como devo notificar um incidente de cibersegurança?

Se há suspeita de acesso não autorizado, deve notificar a CNCS (Comando Nacional de Cibersegurança) em 72 horas. Isto exige procedimento escrito, responsável designado, e documentação guardada. Não notificar a tempo é violação de lei. Deve definir internamente quem decide se é "incidente" e quem contacta a autoridade.

Qual é o procedimento de backup exigido por NIS2?

Backup diário, imutável (não pode ser apagado nem alterado, nem pelo administrador, durante período definido), e recuperação testada trimestralmente com registo de data/hora. Isto afeta infraestrutura de TI — pode exigir cloud ou SaaS dedicado. O teste trimestral é obrigação sua, mesmo que fornecedor gira o backup.

Como cumpro a exigência de treino em cibersegurança?

Não é enviar e-mail sobre não clicar em links. É treino documentado, anual, com avaliação. Deve registar quem formou, quando, conteúdo, e resultados. Isto envolve RH, operações e TI. Em PMEs com mão-de-obra envelhecida, é desafio real: como treinar segurança digital a operários sem experiência digital?

Quanto custa ficar em compliance com NIS2?

A tecnologia custa talvez 15-20% do esforço total. Os outros 80% são processos, procedimentos escritos, responsabilidades, treino, auditoria interna e documentação. Isto não é vendido por fornecedores — é feito internamente. O custo real é organizacional, não técnico.