Antecipação eleitoral em Espanha travou a NIS2: o que devem fazer as empresas?
A antecipação das eleições deixou em suspenso várias iniciativas legislativas relacionadas com a cibersegurança e a transformação digital. Entre elas, a regulamentação destinada a concluir, em Espanha, a transposição da Diretiva NIS2. O processo parlamentar foi travado, mas os riscos e as obrigações que as empresas enfrentam continuam a avançar.
A convocação antecipada de eleições e a consequente dissolução das Cortes afetaram diversas iniciativas legislativas relacionadas com a cibersegurança e a transformação digital. Uma das mais relevantes é o desenvolvimento do quadro nacional necessário para concluir a transposição da Diretiva NIS2.
Espanha ainda tem de concluir este processo. O prazo estabelecido pela diretiva terminou a 17 de outubro de 2024 e, em julho de 2026, a Comissão Europeia decidiu levar a Espanha ao Tribunal de Justiça da União Europeia por não ter notificado as medidas necessárias para concluir a sua transposição.
O novo cenário político prolonga a incerteza quanto ao futuro quadro nacional. No entanto, não altera uma realidade evidente: o calendário legislativo pode parar, mas as necessidades de cibersegurança das organizações não.
As ameaças continuam a evoluir e as empresas dependem cada vez mais de sistemas digitais, serviços tecnológicos e fornecedores externos. Por isso, esperar que o processo regulamentar termine para começar a preparar-se pode significar a perda de tempo valioso.
NIS2 continua a apontar o caminho
A Diretiva NIS2 visa elevar o nível comum de cibersegurança na União Europeia. Para tal, reforça áreas como a gestão de riscos, a resposta a incidentes, a continuidade das atividades, a governação e a segurança da cadeia de abastecimento.
Embora a transposição espanhola ainda esteja pendente, as organizações podem avançar nestas áreas sem necessidade de antecipar qual será o conteúdo definitivo da futura regulamentação nacional.
A cibersegurança é um fator de resiliência, confiança e competitividade
Além disso, a preparação não se resume apenas a uma questão regulamentar. As empresas podem já deparar-se com requisitos de segurança decorrentes das suas relações contratuais, dos processos de homologação ou dos modelos de gestão de terceiros.
A cibersegurança deixa, assim, de ser uma questão limitada ao cumprimento da legislação. Torna-se também um fator de resiliência, confiança e competitividade, especialmente para as empresas que trabalham com grandes clientes ou que desenvolvem a sua atividade em mercados internacionais.
O que podem as organizações fazer agora?
O cenário atual oferece às empresas uma oportunidade para se prepararem de forma progressiva, ordenada e proporcionada.
O primeiro passo consiste em determinar até que ponto a organização pode ser afetada pela NIS2. Em seguida, convém realizar uma análise de lacunas ou GAP que permita conhecer a situação inicial, avaliar as capacidades existentes e identificar as principais áreas de melhoria.
A partir desse diagnóstico, a empresa pode estabelecer um roteiro baseado nos riscos e centrado em quatro domínios prioritários:
- Analisar a exposição e a aplicabilidade. É necessário estudar o setor de atividade, a dimensão da organização e as suas interligações críticas para determinar se esta pode ser considerada uma entidade essencial ou importante.
- Reforçar a segurança da cadeia de abastecimento. A gestão do risco deve estender-se aos fornecedores de tecnologia e aos prestadores de serviços geridos. Isto implica rever os requisitos contratuais, os mecanismos de supervisão e, quando necessário, as auditorias técnicas.
- Revisar a gestão e a notificação de incidentes. As organizações devem adaptar os seus procedimentos de resposta para cumprir o esquema escalonado previsto pela NIS2: alerta precoce no prazo de 24 horas, notificação do incidente no prazo de 72 horas e relatório final no prazo de um mês.
- Envolver a direção executiva. A cibersegurança deve fazer parte da governação da empresa. A direção executiva precisa de receber formação adequada e assumir de forma eficaz a supervisão da estratégia, dos riscos e das medidas de segurança.
As organizações que já trabalham com a norma ISO/IEC 27001 ou com o Esquema Nacional de Segurança (ENS) dispõem de uma base que pode facilitar este processo. No entanto, estes quadros não devem ser interpretados como uma equivalência automática com a NIS2.
Preparar-se hoje para não ter de reagir amanhã
A incerteza regulatória não deve traduzir-se em inação. Aproveitar este período para identificar o ponto de partida, detetar lacunas e priorizar ações permitirá às empresas avançar de forma proporcionada. Também as ajudará a manter a flexibilidade necessária para se adaptarem ao futuro quadro regulatório espanhol.
Preparar-se agora não significa antecipar-se indevidamente ao legislador. Significa reforçar a capacidade da organização para gerir os seus riscos, responder a possíveis incidentes e enfrentar o próximo cenário regulamentar com maior maturidade e margem de manobra.
Porque o calendário político pode parar. A cibersegurança, não.
Este artigo foi escrito em colaboração por Lucía Pedrosa, Gestora de Oferta e do PMO de GRC, e Cristina Muñoz, Responsável pela Normalização e Conformidade na Izertis.