CNCS: “A NIS2 tem uma previsibilidade que o RGPD nunca teve”

O Regulamento n.º 756/2026 foi publicado a 22 de junho e, no dia seguinte, a plataforma MyCiber entrou em funcionamento. A primeira fase do Regime Jurídico da Cibersegurança está completo com lei, regulamento e plataforma e o prazo de 60 dias úteis para registo das mais de seis mil entidades agora abrangidas começou a contar.

A IT Security entrevistou Lino Santos, Coordenador do Centro Nacional de Cibersegurança, nos dias seguintes ao lançamento. Publicamos um excerto da entrevista, centrado em duas das perguntas que mais preocupam CISO e responsáveis de cibersegurança neste momento: o risco de a NIS2 repetir o padrão do RGPD em Portugal e o que o CNCS entende por período de implementação.

A entrevista completa é publicada na edição de agosto da IT Security, disponível a meio de julho.

O RGPD entrou em vigor em 2018 com promessas semelhantes: impacto transformador, responsabilização das organizações e coimas pesadas. Em Portugal, o que se viu na prática foi muito compliance de papel e um regulador que raramente atuou. Como é que o CNCS garante que a NIS2 não segue o mesmo padrão, que daqui a cinco anos não estamos a falar de seis mil entidades registadas na plataforma MyCiber, mas com a mesma maturidade de segurança de hoje?

A comparação não deve ser feita. Acho que são dois regimes relativamente distintos, desde logo porque este novo Regime da Cibersegurança trabalha em cima do Regime de Segurança do Ciberespaço já existente, portanto não é algo completamente novo como foi o RGPD.

É óbvio que temos aqui um alargamento muito grande do número de entidades e esse novo conjunto de entidades merece a nossa melhor atenção e aquilo que nós vamos trabalhar nos próximos meses é no desenho e disponibilização de um conjunto de instrumentos que ajuda as organizações a percorrerem este caminho, vamos chamar assim, de crescimento na sua maturidade.

Acabámos de publicar um regulamento, estamos a percorrer esta primeira fase de qualificação e registo das entidades. O processo de qualificação termina com a identificação do que são o conjunto de medidas mínimas que cada uma das organizações tem de implementar, ou seja, qual é que é o nível de garantia exigido e o conjunto de medidas mínimo exigido a cada uma das entidades. Temos aqui uma previsibilidade que o RGPD nunca teve. O que nós pretendemos é criar um conjunto de guias, um conjunto de templates e mesmo um conjunto de ferramentas que ajudem as organizações a percorrerem este caminho de crescimento da maturidade.

Aquilo que nós também pretendemos fazer é, com o nosso observatório para a cibersegurança, tentar tirar uma fotografia, para o conjunto das entidades, de qual é que é o estado atual de maturidade e, obviamente, depois vamos tirando outras fotografias, numa base bianual ou anual para perceber se os instrumentos que nós temos, os serviços de apoio que nós temos com a C-Academy, com a rede de centros de competência, com os instrumentos que pretendemos disponibilizar de forma gratuita, se estão a ser eficazes ou não.

Obviamente, existirão linhas a redefinir, a corrigir, que poderemos ver com essa avaliação periódica de qual é que é o estado de evolução da implementação deste regime jurídico. Acho que com esta avaliação cíclica vamos, de alguma forma, verificar se está a haver alguma eficácia ou não e, obviamente, adaptaremos e faremos os investimentos necessários para corrigir se for necessário.

O Regulamento publicado ativa o prazo de 24 meses para as medidas técnicas do artigo 27.º e para o Relatório Anual. Há quem possa ler isso como uma moratória de dois anos, mas não é. Como é que o CNCS distingue o “período de implementação” do “período de inação aceitável”?

Aquilo que nós prevemos é manter e até intensificar, tendo em conta o número de entidades, aquilo que são os atos de supervisão prudencial para a avaliação da implementação do regime jurídico.

Durante este período de 24 meses, não haverá lugar a processos de inspeção ou processos contraordenatórios, mas iremos continuar e até intensificar o número de supervisões que realizamos nas entidades, produzindo os respetivos relatórios e as recomendações para o compliance das organizações. Vamos manter o rigor que é devido na implementação deste modelo.