O que a NIS2 exige da monitorização de rede em Portugal

Quem está abrangido, e com que exigência

A Diretiva (UE) 2022/2555, conhecida como NIS2, aplica-se a entidades públicas e privadas dos setores enumerados nos seus anexos I e II. Em regra, abrange médias e grandes empresas: na prática, as que têm pelo menos 50 trabalhadores, ou um volume de negócios anual e um balanço total ambos superiores a 10 milhões de euros. Algumas categorias são abrangidas independentemente da dimensão, entre elas os fornecedores de redes e serviços públicos de comunicações eletrónicas, os prestadores de serviços de confiança, os registos de nomes de domínio de topo e os prestadores de serviços de DNS (artigo 2.º).

As entidades abrangidas são classificadas como essenciais ou importantes. Os artigos 21.º e 23.º aplicam-se a ambas. As categorias distinguem-se na supervisão, que é proativa para as entidades essenciais e sobretudo reativa para as importantes (artigos 32.º e 33.º), e no limite máximo das coimas: pelo menos 10 milhões de euros ou 2 % do volume de negócios anual a nível mundial para as entidades essenciais, e pelo menos 7 milhões de euros ou 1,4 % para as importantes, consoante o montante mais elevado (artigo 34.º).

Os órgãos de direção respondem pessoalmente. Aprovam as medidas de gestão dos riscos de cibersegurança, supervisionam a sua aplicação, podem ser responsabilizados por infrações e têm de frequentar formação (artigo 20.º). Para a monitorização, isto desloca a pergunta de saber se existe uma ferramenta instalada para saber se a direção consegue demonstrar que as medidas funcionam.

O regime português

Portugal transpôs a diretiva pelo Decreto-Lei n.º 125/2025, de 4 de dezembro, que aprova o novo Regime Jurídico da Cibersegurança e entrou em vigor a 3 de abril de 2026. O Centro Nacional de Cibersegurança (CNCS) é a autoridade nacional de cibersegurança, e o CERT.PT, que funciona no CNCS, é a equipa nacional de resposta a incidentes de segurança informática (CSIRT).

O Regulamento n.º 756/2026 do CNCS, publicado a 23 de junho de 2026, concretiza o regime. Cria a plataforma eletrónica através da qual as entidades se identificam, são qualificadas, comunicam com as autoridades e notificam incidentes; define três níveis de exigência (básico, substancial e elevado), atribuídos com base numa matriz de risco; adota o Quadro Nacional de Referência para a Cibersegurança (QNRCS) como referencial principal das medidas técnicas; e torna obrigatória a designação de um responsável de cibersegurança e de um ponto de contacto permanente. O acesso à plataforma faz-se com Cartão de Cidadão ou Chave Móvel Digital.

A notificação de incidentes significativos segue a cadência da diretiva: alerta precoce em 24 horas, notificação em 72 horas e relatório final no prazo de um mês. Os prazos e formulários concretos devem ser confirmados no texto do decreto-lei, no regulamento e nas orientações publicadas pelo CNCS.

Artigo 21.º: a monitorização como prova das medidas

O n.º 1 do artigo 21.º exige "medidas técnicas, operacionais e organizativas adequadas e proporcionadas", tendo em conta o estado da técnica, o custo de aplicação, a exposição da entidade aos riscos, a sua dimensão e a probabilidade e gravidade dos incidentes. O n.º 2 fixa o mínimo que essas medidas têm de abranger:

• a) políticas de análise dos riscos e de segurança dos sistemas de informação;
• b) tratamento de incidentes;
• c) continuidade das atividades, como a gestão de cópias de segurança e a recuperação de desastres, e gestão de crises;
• d) segurança da cadeia de abastecimento;
• e) segurança na aquisição, desenvolvimento e manutenção dos sistemas de rede e informação, incluindo o tratamento e a divulgação de vulnerabilidades;
• f) políticas e procedimentos para avaliar a eficácia das medidas;
• g) práticas básicas de ciber-higiene e formação em cibersegurança;
• h) políticas e procedimentos relativos à criptografia e, se for caso disso, à cifragem;
• i) segurança dos recursos humanos, políticas de controlo do acesso e gestão de ativos;
• j) autenticação multifator ou contínua e comunicações de voz, vídeo, texto e de emergência seguras, se for caso disso.

A diretiva fixa resultados, não produtos, e incentiva o recurso a normas europeias e internacionais (artigo 25.º). Os dados de monitorização são prova direta em quatro das dez áreas. No tratamento de incidentes (b), são a camada de deteção e o primeiro registo do que aconteceu. Na continuidade das atividades (c), mostram se as cópias de segurança correram e se os serviços voltaram dentro dos objetivos. Na avaliação da eficácia (f), a disponibilidade medida, o volume de alertas e os tempos de resposta são o mais próximo de uma métrica objetiva que uma organização tem. Na gestão de ativos (i), um inventário construído a partir de dados de descoberta, como SNMP e LLDP, mantém-se mais atual do que um inventário mantido à mão. Nas restantes áreas, a monitorização fornece, quando muito, dados de entrada: uma política de cadeia de abastecimento (d) ou de criptografia (h) é escrita, aprovada e revista por pessoas.

As regras para infraestruturas digitais: os registos em concreto

Para um grupo de entidades, a Comissão transformou o n.º 2 do artigo 21.º em requisitos técnicos detalhados. O Regulamento de Execução (UE) 2024/2690 da Comissão, de 17 de outubro de 2024, aplica-se a prestadores de serviços de DNS, registos de nomes de domínio de topo, prestadores de serviços de computação em nuvem e de centros de dados, redes de distribuição de conteúdos, prestadores de serviços geridos e de serviços de segurança geridos, mercados em linha, motores de pesquisa em linha, plataformas de redes sociais e prestadores de serviços de confiança. O ponto 3.2 do anexo, sobre monitorização e registo, é a formulação mais precisa no direito da UE do que a monitorização tem de garantir. Em resumo, estas entidades devem:

• estabelecer procedimentos e usar ferramentas para monitorizar e registar a atividade nos sistemas de rede e informação, de modo a detetar eventos que possam ser incidentes e responder-lhes (3.2.1);
• automatizar a monitorização, de forma contínua ou a intervalos periódicos, reduzindo ao mínimo os falsos positivos e os falsos negativos (3.2.2);
• registar, se for caso disso, o tráfego de rede de entrada e de saída, a criação, alteração e eliminação de utilizadores e o alargamento de permissões, o acesso a sistemas e aplicações, os eventos de autenticação, os acessos privilegiados e a atividade administrativa, o acesso e as alterações a ficheiros críticos de configuração e de cópias de segurança, os registos das ferramentas de segurança, a utilização dos recursos dos sistemas, o acesso físico, o acesso ao equipamento de rede, a ativação e a suspensão dos próprios registos e os eventos ambientais (3.2.3);
• rever os registos com regularidade à procura de tendências invulgares, com limiares de alarme fixados em valores adequados (3.2.4);
• conservar os registos, com cópia de segurança, durante um período predefinido, protegendo-os contra o acesso e a alteração não autorizados (3.2.5);
• sincronizar as fontes de tempo dos seus sistemas e tornar redundantes os próprios sistemas de monitorização (3.2.6);
• rever os procedimentos e a lista de ativos registados com regularidade e após incidentes significativos (3.2.7).

Dois destes requisitos são fáceis de subestimar. A sincronização dos relógios é o que torna uma cronologia defensável: um prazo de 24 horas mede-se em carimbos temporais, e os registos de equipamentos com relógios desacertados não reconstroem uma sequência de eventos. A redundância do sistema de monitorização significa que, para estas entidades, um único servidor de monitorização é, por si só, uma não conformidade.

Para as entidades fora desta lista, o regulamento de execução não é vinculativo. As orientações técnicas de aplicação da ENISA, de junho de 2025, associam os mesmos requisitos a exemplos de evidências e são uma boa referência do que um avaliador irá procurar. Em Portugal, o QNRCS é o referencial a seguir.

Artigo 23.º: a sequência de notificação

O artigo 23.º diz respeito a incidentes significativos. Um incidente é significativo se tiver causado, ou for suscetível de causar, perturbações operacionais graves dos serviços ou perdas financeiras para a entidade, ou se tiver afetado, ou for suscetível de afetar, outras pessoas singulares ou coletivas, causando danos materiais ou imateriais consideráveis (n.º 3). As notificações são dirigidas ao CSIRT, em Portugal o CERT.PT, ou à autoridade competente quando a lei nacional assim o determine. Se for caso disso, os destinatários do serviço suscetíveis de ser afetados têm também de ser informados sem demora injustificada (n.os 1 e 2).

A sequência do n.º 4 conta a partir do momento em que a entidade toma conhecimento do incidente:

O CSIRT ou a autoridade competente responde sem demora injustificada e, sempre que possível, no prazo de 24 horas após receber o alerta precoce, com uma primeira apreciação e, a pedido, orientações sobre medidas de atenuação (n.º 5). O Grupo de Cooperação SRI adotou modelos comuns para a notificação de incidentes.

A consequência prática é que o prazo começa a contar quando a entidade toma conhecimento, não quando confirma o incidente. Uma equipa que só abre o registo depois de perceber a causa falhará com frequência as 24 horas. O que o dever de notificação pede às operações é modesto em tecnologia e exigente em disciplina: uma deteção com carimbo temporal, um registo de incidente aberto no momento do conhecimento, uma cronologia só de acréscimo do que foi observado e feito, uma decisão fundamentada sobre a significância, e rascunhos de relatório construídos a partir dessa cronologia em vez de reconstruídos depois.

O que uma plataforma consegue demonstrar, e o que não consegue

Um software que promete tornar uma organização "conforme com a NIS2" promete mais do que um software pode dar. A conformidade é uma propriedade das medidas e da governação de uma organização, avaliada pela autoridade competente; as ferramentas produzem a evidência.

Onde entra o AtlasEye

O AtlasEye cobre a coluna da evidência desse quadro para redes de pequena e média dimensão. Cada incidente tem um ciclo de vida com uma cronologia ordenada e os três marcos do artigo 23.º, para que a equipa veja o que está a vencer e quando. Os relatórios podem ser exportados em JSON ou XML, preparados para os CSIRT dos 27 Estados-Membros, e enviados por e-mail. As ações ficam num registo de auditoria encadeado por hash, com verificação da cadeia. O plano Enterprise acrescenta uma avaliação dos controlos do n.º 2 do artigo 21.º que distingue os dados medidos na instalação das propriedades do produto. O syslog por UDP e TCP na porta 514, a deteção de ataques de força bruta e de varrimentos de portas, a monitorização de equipamentos e serviços e o inventário de endereços IP fornecem os dados de base. As funcionalidades de incidentes, auditoria e NIS2 fazem parte dos planos Pro e Enterprise.

Os limites contam tanto como as funcionalidades. O AtlasEye corre num único nó, sem alta disponibilidade georredundante, o que uma entidade abrangida pelo Regulamento de Execução 2024/2690 tem de pesar face ao requisito de redundância do ponto 3.2.6. A autenticação de dois fatores é apenas por TOTP. As instâncias geridas pela cdnCore estão alojadas em Portugal. O AtlasEye é uma ferramenta que apoia o trabalho relacionado com a NIS2; não é uma certificação nem garante a conformidade. Os pormenores do produto estão em AtlasEye para a NIS2; comparações com outras plataformas, em inglês, em Replacing PRTG under NIS2 e AtlasEye and Zabbix compared.

Fontes

• Diretiva (UE) 2022/2555 (NIS2), Jornal Oficial L 333 de 27 de dezembro de 2022: EUR-Lex
• Regulamento de Execução (UE) 2024/2690 da Comissão, de 17 de outubro de 2024: EUR-Lex
• Centro Nacional de Cibersegurança, Diretiva NIS 2: cncs.gov.pt
• CS'Associados, "Diretiva NIS2 em Portugal: o Decreto-Lei n.º 125/2025, de 4 de dezembro": csassociados.pt
• ECO, "CNCS publica regulamento que concretiza regime jurídico da cibersegurança", 22 de junho de 2026: eco.sapo.pt
• ENISA, Technical implementation guidance on cybersecurity risk-management measures, versão 1.0, junho de 2025: ENISA
• Factos do produto AtlasEye, verificados na versão 1.2.341 a 30 de setembro de 2026: atlaseye.eu/pt/nis2