NIS2 / DORA / Cyber Resilience Act: o que muda e como preparar a organização

NIS2, DORA e Cyber Resilience Act estão a transformar a forma como as organizações gerem risco, incidentes, terceiros, produtos com elementos digitais e evidência. Embora partilhem algumas preocupações, aplicam-se a contextos diferentes e exigem respostas distintas.

Em Portugal, o Decreto-Lei n.º 125/2025 aprovou o novo Regime Jurídico da Cibersegurança, transpondo a NIS2, e entrou em vigor em 3 de abril de 2026. O Regulamento n.º 756/2026, em vigor desde 23 de junho, concretizou matérias como o funcionamento da plataforma electrónica, o Quadro Nacional de Referência para a Cibersegurança, a matriz de risco, as medidas mínimas e os critérios de verificação.

O DORA é directamente aplicável desde 17 de janeiro de 2025. No Cyber Resilience Act, as obrigações de reporte começam a aplicar-se em 11 de setembro de 2026, enquanto a aplicação geral do regulamento está prevista para 11 de dezembro de 2027.

Como preparar a organização para NIS2 / DORA / Cyber Resilience Act?

A preparação deve começar pela confirmação do âmbito: que entidades, actividades, serviços, operações e produtos estão abrangidos por cada referencial. Depois, a organização deve definir responsáveis, avaliar riscos e dependências, identificar lacunas e organizar a evidência necessária.

O objectivo não é criar três programas completamente isolados, mas estabelecer uma base comum de governação, risco, incidentes, terceiros, testes e evidência, acrescentando os requisitos específicos de cada regime.

O que distingue NIS2, DORA e Cyber Resilience Act?

Num olhar rápido, a diferença está no destinatário, no objecto da protecção e no primeiro ponto que a organização precisa de confirmar:

NIS2 e o regime português de cibersegurança

A NIS2 centra-se na resiliência das entidades abrangidas. O novo regime português abrange 17 sectores e uma parte significativa da Administração Pública, permitindo a qualificação das entidades como essenciais, importantes ou públicas relevantes.

Reforça a responsabilidade dos órgãos de gestão, a abordagem baseada no risco, a segurança da cadeia de fornecimento e a preparação para incidentes. A plataforma MyCiber suporta processos como a auto-identificação, qualificação, comunicação de responsáveis e notificação de incidentes. As organizações potencialmente abrangidas devem confirmar os procedimentos e prazos aplicáveis nas orientações oficiais em vigor.

DORA

O DORA aplica-se ao sector financeiro e procura assegurar que as entidades mantêm ou recuperam as suas funções críticas perante perturbações tecnológicas.

O regulamento abrange a gestão do risco associado às TIC, a gestão e comunicação de incidentes, os testes de resiliência operacional digital e o controlo dos riscos relacionados com prestadores terceiros de serviços tecnológicos.

Cyber Resilience Act

O Cyber Resilience Act dirige-se sobretudo aos fabricantes de produtos com elementos digitais, incluindo hardware e software, embora também estabeleça responsabilidades para importadores e distribuidores.

O foco está na segurança do produto ao longo do ciclo de vida: avaliação do risco, segurança desde a concepção, gestão de vulnerabilidades, documentação técnica, actualizações e avaliação da conformidade. A partir de 11 de setembro de 2026, o regulamento prevê um aviso inicial em 24 horas e uma notificação completa em 72 horas para vulnerabilidades activamente exploradas e incidentes graves que afectem a segurança do produto.

Uma mesma organização pode estar relacionada com mais do que um referencial. Uma entidade financeira, por exemplo, pode estar sujeita ao DORA e, simultaneamente, desenvolver ou distribuir produtos abrangidos pelo Cyber Resilience Act.

A análise deve ser feita por entidade jurídica, actividade, serviço, produto e papel na cadeia de valor — e não apenas pela designação comercial do grupo.

Cinco prioridades para iniciar a preparação

1. Confirmar o âmbito

Identificar as entidades, actividades, serviços, produtos e geografias potencialmente abrangidos. Devem também ser considerados requisitos impostos por clientes, parceiros, contratos ou autoridades sectoriais. Sem esta análise, a organização pode aplicar controlos ao contexto errado ou deixar responsabilidades relevantes sem cobertura.

2. Definir governação e responsabilidades

Clarificar quem aprova o plano, quem coordena a implementação, quem mantém os contactos externos e quem toma decisões durante um incidente. A responsabilidade não deve ficar concentrada apenas na equipa de cibersegurança: gestão, TI, risco, compliance, operações, compras, produto e auditoria interna podem ter papéis diferentes, mas complementares.

3. Avaliar riscos e dependências

Mapear activos, serviços críticos, prestadores terceiros, componentes de software e pontos únicos de falha. A avaliação deve permitir perceber que dependências podem interromper um serviço, afectar um produto ou impedir a organização de cumprir uma obrigação de comunicação.

4. Preparar incidentes, vulnerabilidades e continuidade

Os procedimentos devem estabelecer critérios de classificação, escalamento, decisão, recolha de informação e reporte. Também devem ser testados: um procedimento que nunca foi exercitado pode revelar falhas precisamente quando a organização mais precisa dele.

5. Organizar competências e evidência

A organização deve conseguir demonstrar o que decidiu, quem ficou responsável, o que foi implementado e como verificou a eficácia. No Regulamento n.º 756/2026, os critérios de verificação são definidos como evidências factuais, documentais ou técnicas da aplicação das medidas de cibersegurança. Possuir uma política não é suficiente: é necessário provar que foi aplicada, acompanhada e revista.

Plano prático por fases

As cinco prioridades mostram o que deve ser avaliado. As três fases seguintes mostram como ordenar o trabalho, ajustando a sequência à dimensão, maturidade e exposição da organização.

Algumas actividades podem decorrer em paralelo, desde que existam prioridades, responsáveis e critérios de conclusão claramente definidos.

Fase 1 — Confirmar o âmbito e estabelecer a governação

Nesta fase, a organização deve:

• mapear as entidades, actividades, serviços e produtos potencialmente abrangidos;
• definir responsáveis, interlocutores e canais de decisão;
• estabelecer o acompanhamento pela gestão e um repositório central de evidência.

Fase 2 — Avaliar lacunas e definir prioridades

A organização deve comparar os requisitos aplicáveis com as práticas e evidências existentes, identificar dependências e lacunas e priorizar o trabalho de acordo com o risco, a criticidade e o impacto potencial sobre clientes e operações.

Fase 3 — Implementar, testar e demonstrar

A terceira fase transforma decisões em práticas verificáveis. A organização deve implementar ou reforçar os controlos prioritários, actualizar políticas e contratos, testar os procedimentos de incidentes, vulnerabilidades e continuidade e acompanhar as acções correctivas.

A evidência deve ser revista para confirmar que demonstra não apenas a existência dos controlos, mas também a sua aplicação e eficácia.

Este modelo não representa, por si só, conformidade integral. Funciona como uma estrutura para organizar a capacitação, a implementação, o advisory ou a auditoria interna.

Que competências devem ser preparadas?

A preparação deve ser adaptada às funções desempenhadas. Os órgãos de gestão precisam de compreender o risco, aprovar prioridades e acompanhar desvios. As equipas de segurança, TI e operações devem implementar controlos e executar os procedimentos de resposta.

Compras e gestão de fornecedores precisam de avaliar dependências e contratos. Produto e engenharia devem integrar segurança no desenvolvimento e gerir componentes, actualizações e vulnerabilidades. Auditoria interna, risco e compliance devem conseguir avaliar controlos e relacionar as conclusões com critérios e evidências verificáveis.

A organização deve, por isso, identificar não apenas quem necessita de sensibilização, mas também quem precisa de competências de decisão, implementação, reporte, teste e verificação.

Como a Behaviour pode apoiar

A Behaviour pode apoiar através de formação específica por referencial, advisory e auditoria interna/readiness.

Formação específica por referencial

Ver todos os percursos de Conformidade Digital e Resiliência Operacional

O percurso deve ser escolhido de acordo com o referencial aplicável, o papel dos participantes e o objectivo: sensibilização, fundamentos, governação, implementação, gestão ou verificação.

Perguntas frequentes sobre NIS2, DORA e Cyber Resilience Act

Conclusão

NIS2, DORA e Cyber Resilience Act podem partilhar uma base comum de governação, risco, incidentes, terceiros, testes, competências e evidência. O âmbito, os destinatários, os processos de reporte e as obrigações específicas de cada regime mantêm-se distintos e devem ser geridos como tal.

Conhecer cada referencial deixou de ser suficiente. O que as organizações precisam de demonstrar — com pessoas preparadas e evidência verificável — é a capacidade de decidir, implementar, responder e melhorar.

Nota: este conteúdo e a checklist têm finalidade informativa e não substituem uma avaliação jurídica, regulamentar ou técnica do caso concreto. A confirmação do âmbito e das obrigações aplicáveis deve considerar a actividade da organização e as fontes oficiais em vigor.

Data: 20 de julho de 2026
Autor: Behaviour
Não é autorizada a cópia ou reprodução deste artigo.