ISO 27001 vs NIS2 — O que é Obrigatório em Portugal em 2025?

Em 2025, a conformidade de cibersegurança tornou-se uma prioridade incontornável para empresas portuguesas. A Diretiva NIS2 alargou significativamente o número de organizações sujeitas a requisitos obrigatórios de segurança TIC, enquanto a ISO/IEC 27001:2022 continua a ser a norma de referência para Sistemas de Gestão de Segurança da Informação (SGSI) a nível mundial. Mas qual é a diferença entre as duas? É a NIS2 obrigatória para a sua empresa? E como é que a certificação ISO 27001 se relaciona com a conformidade NIS2? Neste artigo, respondemos a estas questões e fornecemos um guia prático para organizações em Portugal.

O que é a Diretiva NIS2?

A Diretiva NIS2 (Regulamento UE 2022/2555) substituiu a NIS1 em outubro de 2024 e foi transposta para o ordenamento jurídico português através do Decreto-Lei publicado em 2024. O seu objetivo é elevar o nível geral de cibersegurança na União Europeia, harmonizando requisitos entre Estados-Membros e eliminando as assimetrias que existiam sob a NIS1.

A NIS2 divide as organizações abrangidas em duas categorias principais:

• Entidades essenciais: energia, transportes, banca, infraestruturas de mercados financeiros, saúde, água potável, infraestruturas digitais (incluindo cloud e CDN) e administração pública.
• Entidades importantes: serviços postais e de estafeta, gestão de resíduos, produtos químicos, alimentação, indústria transformadora e fornecedores de serviços digitais (incluindo motores de busca e plataformas de redes sociais).

Os requisitos principais da NIS2 incluem:

• Gestão de riscos TIC — políticas documentadas, avaliação de riscos periódica, implementação de controlos técnicos e organizacionais adequados.
• Reporte de incidentes ao CNCS — alerta inicial em 24 horas após deteção do incidente significativo, relatório completo em 72 horas e relatório final em um mês.
• Segurança da cadeia de abastecimento digital — avaliação e gestão dos riscos de cibersegurança dos fornecedores e prestadores de serviços TIC.
• Continuidade de negócio — planos de recuperação, gestão de crises e redundâncias para garantir a prestação de serviços críticos.

Um dos aspectos mais significativos da NIS2 é a responsabilização pessoal: os membros dos órgãos de gestão de topo são pessoalmente responsáveis pelo cumprimento, podendo ser sujeitos a sanções individuais em caso de incumprimento negligente.

Quem está sujeito à NIS2 em Portugal?

A NIS2 aplica-se a médias e grandes empresas que operem nos setores abrangidos. Em termos de dimensão, estão incluídas organizações com:

• Mais de 50 colaboradores, ou
• Volume de negócios anual superior a €10 milhões

Existem exceções: certas entidades críticas (administração pública central, operadores de infraestruturas críticas) estão sujeitas independentemente da sua dimensão. O CNCS (Centro Nacional de Cibersegurança) é a autoridade nacional competente em Portugal para a implementação e supervisão da NIS2.

Setores essenciais detalhados em Portugal:

• Energia (eletricidade, petróleo, gás, hidrogénio)
• Transportes (aéreo, ferroviário, marítimo, rodoviário)
• Banca e infraestruturas de mercados financeiros
• Saúde (hospitais, laboratórios, fabricantes de dispositivos médicos críticos)
• Água potável e tratamento de águas residuais
• Infraestruturas digitais (IXPs, DNS, TLD, cloud, CDN, data centers)
• Gestão de serviços TIC (B2B)
• Administração pública central e regional
• Espaço (operadores de infraestruturas terrestres espaciais)

Setores importantes:

• Serviços postais e de estafeta
• Gestão de resíduos
• Produção, fabrico e distribuição de produtos químicos
• Produção, transformação e distribuição de alimentos
• Indústria transformadora (dispositivos médicos, computadores, veículos automóveis, equipamentos elétricos)
• Fornecedores de serviços digitais (mercados online, motores de busca, redes sociais)
• Investigação e ensino superior (em determinadas condições)

Para verificar se a sua organização está abrangida, o CNCS disponibiliza ferramentas de auto-avaliação no seu portal. Recomendamos consultar o portal.cncs.gov.pt ou contactar a BALTUM para uma avaliação gratuita de âmbito NIS2.

O que é a ISO 27001 e como se relaciona com a NIS2?

A ISO/IEC 27001:2022 é a norma voluntária internacional para a certificação de Sistemas de Gestão de Segurança da Informação (SGSI). A sua estrutura inclui:

• Cláusulas 4 a 10 — requisitos do sistema de gestão (contexto, liderança, planeamento, suporte, operações, avaliação do desempenho, melhoria)
• Annex A — 93 controlos organizados em 4 temas: organizacionais, pessoas, físicos e tecnológicos

A ISO 27001 não garante automaticamente a conformidade com a NIS2, mas existe uma sobreposição significativa que torna a certificação ISO 27001 o ponto de partida mais eficiente. O mapeamento mais relevante é o seguinte:

• Cláusula 6.1 (Avaliação de riscos) → Art. 21 NIS2 (medidas de gestão de riscos de cibersegurança): a ISO 27001 exige uma metodologia formal de avaliação e tratamento de riscos de segurança da informação — exatamente o que o Art. 21 da NIS2 requer.
• Annex A, A.5.24 a A.5.28 (Gestão de incidentes) → Art. 23 NIS2 (obrigações de reporte de incidentes): os controlos de planeamento de resposta a incidentes, avaliação, resposta, aprendizagem e recolha de evidências da ISO 27001 fornecem a base para o processo de reporte NIS2.
• A.5.19 a A.5.22 (Segurança nas relações com fornecedores) → Art. 21(2)(d) NIS2 (segurança da cadeia de abastecimento): a ISO 27001 requer políticas e procedimentos para gerir o risco de segurança associado a fornecedores e prestadores de serviços.
• A.5.29 e A.5.30 (Continuidade de negócio) → Art. 21(2)(c) NIS2 (continuidade das atividades e gestão de crises).

Uma organização com ISO 27001 certificada terá já implementado a maior parte dos controlos técnicos e organizacionais exigidos pela NIS2, reduzindo significativamente o esforço de conformidade adicional.

Diferenças práticas entre ISO 27001 e NIS2

Embora complementares, existem diferenças fundamentais entre as duas frameworks que as organizações devem compreender:

A complementaridade é clara: a ISO 27001 fornece o COMO — o sistema de gestão estruturado para implementar segurança da informação. A NIS2 define o PORQUÊ e QUANDO — os requisitos legais obrigatórios e as consequências do incumprimento. Organizações com ISO 27001 já implementada têm uma vantagem significativa na demonstração de conformidade NIS2, uma vez que já possuem a documentação, os processos e os controlos necessários.

Multas e consequências do incumprimento NIS2 em Portugal

As sanções previstas na NIS2 são substancialmente mais elevadas do que as da NIS1, refletindo a maior importância atribuída à cibersegurança:

• Entidades essenciais: coima máxima de €10.000.000 ou 2% do volume de negócios mundial total anual do exercício anterior, consoante o montante mais elevado.
• Entidades importantes: coima máxima de €7.000.000 ou 1,4% do volume de negócios mundial total anual, consoante o montante mais elevado.

Para além das coimas financeiras, a NIS2 prevê outras sanções graves:

• Suspensão temporária de certificações ou autorizações de serviço
• Proibição temporária de exercício de funções de gestão de topo
• Divulgação pública da infração e da entidade responsável
• Ordens vinculativas de implementação de medidas corretivas
• Nomeação de um representante de monitorização por parte do CNCS

A responsabilidade pessoal dos gestores é um dos aspectos mais disruptivos da NIS2. Os membros dos órgãos de administração que não tomem medidas adequadas para garantir o cumprimento da NIS2 podem ser pessoalmente responsabilizados, com possibilidade de proibição temporária de exercício de funções de gestão.

Recomendação prática — por onde começar?

Para organizações portuguesas que precisem de garantir conformidade NIS2, recomendamos a seguinte abordagem estruturada:

1. Verificar âmbito NIS2: Confirmar se a organização está abrangida pela NIS2 com base no setor de atividade e dimensão (>50 colaboradores ou >€10M de faturação). Em caso de dúvida, consultar o portal CNCS ou a BALTUM para avaliação gratuita.
2. Realizar gap analysis NIS2: Identificar lacunas face aos 10 requisitos mínimos de gestão de risco do Art. 21 da NIS2, incluindo gestão de riscos, segurança de redes, gestão de incidentes, continuidade de negócio, segurança da cadeia de abastecimento, segurança no desenvolvimento de sistemas, políticas de avaliação de eficácia, ciber-higiene, criptografia e segurança de recursos humanos.
3. Implementar ou certificar ISO 27001: Como base estrutural — a certificação ISO 27001 fornece o SGSI documentado e os controlos técnicos que suportam a maioria dos requisitos NIS2. Esta é a forma mais eficiente de demonstrar conformidade de forma sustentável.
4. Complementar com requisitos específicos NIS2: Identificar e implementar os requisitos NIS2 não cobertos pela ISO 27001, nomeadamente: processo formal de notificação de incidentes ao CNCS nos prazos de 24h/72h, plano de continuidade específico para serviços essenciais, e registo de fornecedores TIC com avaliação de risco.
5. Estabelecer processo de reporte de incidentes: Criar um procedimento documentado para deteção, avaliação, notificação (alerta em 24h, relatório em 72h, relatório final em 30 dias) e gestão de incidentes de cibersegurança significativos.
6. Formação da gestão de topo: Assegurar que os membros dos órgãos de administração compreendem as suas responsabilidades pessoais ao abrigo da NIS2 e participam ativamente na supervisão da cibersegurança organizacional.

Conclusão

A NIS2 e a ISO 27001 são complementares, não concorrentes. Para organizações abrangidas pela NIS2, a certificação ISO 27001 é o ponto de partida mais eficiente: estabelece o SGSI documentado, os processos de avaliação de riscos e os controlos técnicos e organizacionais necessários. A conformidade NIS2 requer alguns passos adicionais — em particular o processo de reporte ao CNCS e a responsabilização formal da gestão de topo — mas a base está lá.

A BALTUM apoia organizações portuguesas desde o gap analysis inicial até à certificação ISO 27001 e à conformidade plena com a NIS2. Contacte-nos para uma proposta personalizada.