A empresa está sujeita à Diretiva NIS2 ou à sua transposição nacional?

Setor e dimensão determinam conjuntamente o resultado

Se a empresa está sujeita à Lei de Cibersegurança depende de dois fatores: o setor em que opera e a sua dimensão. A lei funciona com uma lista de setores — incluindo energia, transportes, abastecimento de água potável, infraestruturas digitais, saúde e um número de serviços industriais e digitais — e dentro desses setores existe uma classificação por tamanho: médias ou maiores geralmente contam, com o número de trabalhadores e volume de negócios anual ou total do balanço como critério. Se a empresa estiver fora dos setores designados, a Lei de Cibersegurança geralmente não se aplica, independentemente da dimensão.

Existem dois aspetos que são frequentemente confundidos. O primeiro é: a empresa está sujeita a ela diretamente, como entidade essencial ou importante. O segundo é: é afetada indiretamente, porque um cliente que está sujeito à lei transmite exigências na cadeia. Este último também pode aplicar-se a empresas que são demasiado pequenas ou operam num setor não designado. Esta pergunta diz respeito ao primeiro aspeto — a obrigação direta — e a resposta ainda não está definida enquanto o texto final e a lista de setores correspondente não forem verificados em relação ao nome e aos números da própria empresa. Quem já respondeu com certeza a esta pergunta — com ou sem obrigação direta — muitas vezes ainda enfrenta as mesmas questões na prática quando um cliente a coloca, por exemplo se há política para análise de riscos e segurança de sistemas de informação ou se autenticação multifator foi implementado.

Onde isto resulta: os critérios de setor e dimensão

Esta classificação resulta da Lei de Cibersegurança, a transposição holandesa da NIS2, que entra em vigor em 15 de agosto de 2026. A lei em si, com os anexos que contêm os setores e os limites de dimensão, é a fonte indicada para avaliar a própria empresa em relação a ela; este texto encontra-se em wetten.overheid.nl.