lista de perguntas questiona se reportamos incidentes a um órgão regulador

A obrigação de notificação aplica-se apenas se você próprio estiver abrangido pela NIS2

Esta pergunta é relevante apenas se a sua empresa for uma entidade NIS2 — essencial ou importante. Se não for o caso, a resposta é geralmente "não aplicável" e pode ser registada como tal, com uma breve explicação do motivo. Se tiver dúvidas sobre esse estatuto, é necessário verificar primeiro através de ou se a empresa está abrangida pela diretiva NIS2 — a resposta a esta pergunta depende diretamente disso.

Se está abrangido pela NIS2, a pergunta centra-se em saber se notificou efetivamente junto do CSIRT ou da autoridade de supervisão competente os incidentes que cumprem os critérios de notificação, dentro dos prazos estabelecidos (notificação inicial, notificação intermédia, relatório final). Se o fez, a resposta "sim" pode ser fundamentada com a confirmação da notificação ou o registo de incidentes como prova. Se simplesmente não teve nenhum incidente sujeito a obrigação de notificação no período solicitado, a resposta "não" é factualmente correta — não é uma lacuna e pode ser clarificada como tal no campo de texto livre. O problema surge apenas se houve um incidente que cumpria os critérios e nenhuma notificação foi feita; é um facto que o seu dossiê deve refletir, não algo para formular de forma diferente. Esta pergunta está, aliás, relacionada com o procedimento para o tratamento de incidentes de segurança: sem um procedimento funcional, geralmente também não há um processo de notificação completo.

Onde isto decorre: artigo 21.º, n.º 2, alínea b) e a Lei de Cibersegurança

A obrigação de notificação não consta do artigo 21.º, n.º 2 — esse artigo descreve as dez medidas, incluindo na alínea b) a gestão de incidentes como medida de controlo. A obrigação de notificação efetiva com prazos é regulada separadamente na diretiva e é transposta para os Países Baixos na Lei de Cibersegurança, que entra em vigor em 15 de agosto de 2026. Até essa data, não existe obrigação de notificação prevista na lei neerlandesa com base na NIS2; o que um cliente pergunta num questionário agora é frequentemente uma antecipação dessa obrigação ou uma pergunta ISO 27001 sobre registo de incidentes no Anexo A.