Lei NIS2 afeta 8.000 empresas nos Países Baixos

A Lei de Cibersegurança NIS2 dos Países Baixos, conhecida em neerlandês como Cyberbeveiligingswet, entra em vigor no sábado, 15 de agosto de 2026, impondo diretamente deveres mais rigorosos de segurança digital a cerca de 8.000 organizações em 18 setores críticos. Hospitais, empresas de água potável, municípios, operadoras de telecomunicações e operadores de transporte público devem agora mapear riscos cibernéticos, adotar medidas de proteção concretas e comunicar incidentes graves em até 24 horas. A lei é a transposição neerlandesa da diretiva NIS2 da União Europeia e substitui a antiga Lei de Segurança de Redes e Sistemas de Informação (Wbni).

O que é a Lei de Cibersegurança NIS2 dos Países Baixos?

A Cyberbeveiligingswet (Cbw) incorpora a diretiva NIS2 da UE, formalmente Diretiva (UE) 2022/2555, ao direito nacional. De acordo com o Centro Nacional de Cibersegurança dos Países Baixos (NCSC), a lei entrou em vigor em 15 de agosto de 2026, depois de o Senado aprovar o projeto em 7 de julho de 2026. Os Estados-membros deveriam transpor a NIS2 até 17 de outubro de 2024, mas os atrasos nos Países Baixos levaram a Comissão Europeia a abrir processos por infração. O esforço de conformidade com a diretiva de cibersegurança da UE expôs uma implementação desigual em todo o bloco, com apenas 23 Estados-membros a aplicar plenamente as medidas até 2026.

Comparada com as regras anteriores da NIS1, que abrangiam apenas algumas centenas de entidades, a NIS2 expande as obrigações para cerca de 8.000 organizações em 18 setores críticos.

Três deveres essenciais: diligência, notificação e responsabilidade do conselho

A especialista em cibersegurança Lisa de Wilde afirma que a legislação introduz três grandes mudanças para as organizações afetadas.

• Dever de diligência (zorgplicht): As organizações devem mapear os seus riscos cibernéticos e adotar medidas técnicas, operacionais e organizativas proporcionais para proteger redes e sistemas de informação.
• Dever de notificação em 24 horas (meldplicht): Incidentes graves devem ser comunicados ao CSIRT competente e ao supervisor no prazo de 24 horas, com uma notificação mais completa em 72 horas.
• Responsabilidade ao nível do conselho: A administração deve aprovar as medidas de segurança e supervisionar a sua implementação como parte da gestão integrada de riscos.

Sobre a responsabilidade do conselho, De Wilde alertou: 'O conselho é responsável por garantir que a segurança organizacional permaneça em ordem. Se não o fizerem e ocorrer um incidente, podem ser responsabilizados pessoalmente.'

Efeito em cascata na cadeia de fornecimento além das 8.000

Embora a lei vise diretamente 8.000 organizações de grande dimensão e críticas, o seu impacto será sentido em toda a comunidade empresarial neerlandesa. As empresas devem agora avaliar a segurança de toda a sua cadeia de fornecimento. 'Pode acontecer que forneçam um serviço a uma organização crítica que seja tão relevante que também sejam impostas exigências a essa organização', explicou De Wilde. 'Assim, essas 8.000 organizações também olham para a sua cadeia. Isso significa que a lei, na verdade, tem impacto em muito mais do que essas 8.000 organizações.' Isto reflete regras de cibersegurança de infraestruturas críticas mais amplas em toda a Europa.

As fugas de dados pessoais também se enquadram nos riscos que exigem medidas de proteção e devem ser comunicadas ao abrigo da nova lei, a par das obrigações existentes ao abrigo do Regulamento Geral sobre a Proteção de Dados (RGPD) da UE.

Custos, fiscalização e implementação tardia

Grupos empresariais neerlandeses criticaram a carga administrativa e os custos de conformidade. De Wilde contra-argumentou em parte: 'Na verdade, acho que as organizações já deveriam estar a trabalhar nisto. É verdade que custa dinheiro, mas um ciberataque, ou o impacto quando ocorre, é enorme — não apenas financeiramente.'

Para as organizações que já estavam bem preparadas, pouco mudará, disse ela, mas para as que começaram tarde as novas regras representam uma despesa significativa. A forma como a lei será aplicada dependerá da supervisão. 'A questão é, em última análise: será aplicada e quais serão as consequências para essas organizações?', disse De Wilde. As empresas podem rever as suas obrigações através da lista de verificação de conformidade em segurança cibernética dos Países Baixos publicada pelo governo nacional.

Perguntas Frequentes

Quando entra em vigor a Lei de Cibersegurança NIS2 dos Países Baixos?

A Cyberbeveiligingswet entrou em vigor em 15 de agosto de 2026.

Quantas organizações a lei afeta diretamente?

Cerca de 8.000 organizações em 18 setores críticos são diretamente abrangidas.

Qual é o prazo para notificação de incidentes?

Incidentes graves devem ser notificados em 24 horas, com detalhes adicionais em 72 horas.

Os administradores podem ser responsabilizados pessoalmente?

Sim, os conselhos podem ser responsabilizados se não garantirem segurança adequada e ocorrer um incidente.

A lei afeta pequenos fornecedores?

Indiretamente, sim: as organizações críticas devem avaliar a sua cadeia de fornecimento, pelo que as exigências podem alastrar aos seus fornecedores.