3 de Abril de 2027. NIS2 plenamente sancionatória.

A NIS2 aplica-se a entidades essenciais e entidades importantes em 18 sectores identificados no Anexo I e II da Diretiva. Energia, transportes, bancos, infra-estruturas financeiras, saúde, águas, infra-estruturas digitais, administração pública, espaço, serviços postais, gestão de resíduos, química, alimentar, indústrias transformadoras, provedores digitais, investigação.

Critérios quantitativos: tipicamente mais de 50 colaboradores ou €10M de volume de negócios em sectores identificados. Há exceções sectoriais — algumas entidades entram com limites menores (infra-estruturas críticas, provedores de serviços digitais críticos).

Na nossa carteira, a saúde especializada — onde figuram clientes como B. Braun Medical, Recipharm, Ferring Portugal e Expomédica, e um grupo nacional de análises clínicas — cai quase sempre como entidade essencial. Indústria, transportes (Air Rail, OMNI Helicopters International, Lusoponte, DDN Engenharia) e serviços financeiros regulados (Montepio Valor SGOIC, Futuro, Servdebt, Best Ability Financial Consulting) cruzam frequentemente o limiar de importantes.

Uma análise de lacunas inicial identifica se a vossa empresa está mesmo dentro do âmbito. A resposta a esta pergunta é o primeiro passo — muitas PMEs assumem que não entram sem verificar.

Escala Microsoft sob gestão: 84 subscrições Azure activas, 131 tenants Microsoft 365 com mais de oito mil utilizadores activos mensais. Implementar NIS2 em ambientes que já conhecemos desde a identidade (Entra ID) até ao ERP (Cegid) é materialmente mais rápido do que levantá-los de zero.

Análise de lacunas. Duas a quatro semanas, preço fixo. Avaliação de enquadramento no DL 125/2025, mapa de controlos exigidos vs. controlos em vigor, classificação de risco.

Implementação técnica. Implantação do Microsoft Defender (Cloud, Endpoint, Office, Identity), Microsoft Sentinel para SIEM/SOAR, Entra ID com MFA obrigatório e Conditional Access, políticas de salvaguarda e retenção, cifra em repouso e em trânsito.

Implementação processual. Plano de resposta a incidentes documentado, procedimento de notificação ao CNCS (Centro Nacional de Cibersegurança) em 24h (alerta inicial) e 72h (notificação detalhada), registo de incidentes, plano de continuidade de negócio.

Formação e governance. Formação da direção (obrigatória no DL 125/2025), formação de utilizadores, nomeação de responsável de cibersegurança, revisão anual.