Do apagão de 2025 ao NIS 2: como Portugal se está a blindar contra o caos digital

Lembras-te de onde estavas a 28 de abril de 2025? Se estavas em Portugal ou Espanha, as probabilidades de teres ficado às escuras, preso num elevador ou sem rede no telemóvel são altíssimas. O “Cero Ibérico”, como ficou conhecido, deixou mais de 20 milhões de pessoas sem eletricidade e paralisou aeroportos e hospitais. Na altura, as dúvidas pairaram no ar: foi uma falha técnica ou um ataque coordenado?

Independentemente da causa final – que envolveu oscilações atmosféricas e falhas em subestações – esse evento serviu de “campainha de alarme” para a urgência da Diretiva NIS 2. O apagão provou que as nossas infraestruturas são dominós: se um cai, o resto vai atrás. E é aqui que a nova legislação entra para segurar as peças.

O que é o NIS 2 e porque nasceu agora?

A primeira diretiva de segurança (NIS 1) foi um bom ensaio, mas era demasiado vaga. O mundo de 2016 não tinha a sofisticação de ataques de ransomware que vemos hoje, nem a dependência absoluta da cloud. O NIS 2 surge para criar um escudo europeu homogéneo.

Em Portugal, isto materializou-se no Decreto-Lei n.º 125/2025. O objetivo é simples: garantir que as empresas que mantêm o país a funcionar (água, luz, transportes, saúde) tenham defesas de elite. Se o apagão de 2025 tivesse sido um ciberataque, o NIS 2 seria o protocolo que ditaria como prevenir a entrada dos atacantes e, caso entrassem, como repor o sistema em tempo recorde.

Os três pilares da mudança em Portugal

1. A Responsabilidade é de Quem Manda

Acabou-se o tempo em que a cibersegurança era “coisa dos informáticos”. Com o novo regime jurídico, os órgãos de gestão (CEOs e Administradores) são diretamente responsáveis. Se a empresa for atacada e se provar que houve negligência na implementação das medidas do NIS 2, os gestores podem enfrentar sanções pesadíssimas. A ideia é que a segurança passe a ser discutida nas reuniões de direção, ao lado dos lucros e da estratégia.

2. O setor “essencial” vs. “importante”

A lei agora divide as empresas em dois grupos. As Entidades Essenciais (Energia, Saúde, Água, Banca) sofrem uma supervisão apertada e constante. As Entidades Importantes (Gestão de resíduos, serviços postais, fabrico de alimentos) também têm de cumprir as regras, mas a fiscalização é feita maioritariamente após um incidente. No caso do apagão de 2025, operadoras como a REN e a E-Redes são o exemplo máximo de entidades que não podem falhar.

3. A regra das 24 horas

Se houver um incidente significativo, o tempo é tudo. As empresas abrangidas têm agora de notificar o Centro Nacional de Cibersegurança (CNCS) em apenas 24 horas (alerta antecipado). Em 72 horas, devem apresentar uma notificação mais detalhada. Isto serve para que o Estado possa coordenar uma resposta nacional e evitar que um problema numa subestação de Elvas desligue a luz em Madrid.

Lições do apagão: a cadeia de abastecimento

Uma das maiores vulnerabilidades expostas em 2025 foi a interdependência. O NIS 2 foca-se imenso na segurança da cadeia de abastecimento. Já não chega a tua empresa ser uma fortaleza se o software que usas para gerir as máquinas tem uma “porta dos fundos” aberta. A partir de agora, as empresas têm de auditar os seus fornecedores. É um círculo de confiança que, se tivesse sido aplicado há uns anos, talvez tivesse mitigado o impacto sistémico que vimos no ano passado.

E se não cumprirem? As coimas

As multas deixaram de ser simbólicas. Estamos a falar de valores que podem chegar aos 10 milhões de euros ou 2% da faturação anual global. É um incentivo financeiro para que a cibersegurança deixe de ser vista como um custo e passe a ser um investimento na continuidade do negócio.

No fundo, o NIS 2 quer garantir que, da próxima vez que houver uma “tempestade” no sistema, as luzes continuem acesas e os nossos dados fiquem onde devem estar: seguros.