Cibersegurança NIS2 para PMEs industriais portuguesas: guia de conformidade 2026

Sexta-feira, 18h30, uma confecção perto de Famalicão. O servidor onde corre o ERP e onde estão dez anos de fichas técnicas de cliente arranca a piscar mensagens de resgate em inglês. O backup mais recente é de há onze dias — alguém desligou o agendamento porque "estava a deixar a rede lenta". A casa-mãe, uma marca de fast fashion europeia, pede esclarecimentos até segunda-feira. Não há plano. Não há sequer uma lista de quem ligar.

Esta cena deixou de ser azar. Com a transposição da NIS2 para a ordem jurídica portuguesa, uma fatia grande da indústria transformadora nacional passa a ter obrigações concretas de cibersegurança — e a maioria das PMEs industriais ainda não sabe se está dentro ou fora do âmbito. Este guia resolve isso: quem está abrangido, o que tem de fazer, e em que ordem fazê-lo até 2026.

Escrevemos isto para um trio muito específico: o CEO que assina, o CFO que paga e o responsável de TI que vai executar. A maioria dos textos sobre NIS2 está escrita para juristas ou para departamentos de segurança de bancos. Este não. Foi escrito a pensar na fábrica de 80 pessoas em Guimarães onde o servidor de produção e o PC da contabilidade partilham a mesma tomada de rede e o mesmo administrador — que é o sobrinho do dono e aprendeu sozinho.

1. O problema operacional real

A cibersegurança na PME industrial portuguesa não falha por falta de firewalls caros. Falha por três coisas mundanas: backups que ninguém testa, acessos partilhados que nunca se revogam, e tecnologia operacional (OT) ligada à mesma rede que o e-mail.

Num chão-de-fábrica do calçado em Felgueiras, os terminais de captura de produção, as máquinas de corte CNC e o PC da contabilidade vivem frequentemente no mesmo segmento de rede plano. Uma máquina contaminada por um pen USB infetado propaga-se a tudo. Não há separação. Não há firewall interno. O chefe de produção sabe os nomes das 40 máquinas, mas ninguém sabe quantos dispositivos estão realmente ligados à rede.

Esta é a diferença de fundo entre a teoria e o terreno. Na teoria, segurança é uma matriz de controlos. No terreno, é a pergunta "quem é que mexeu na configuração do switch em 2019 e já não trabalha cá?". A dívida técnica das PMEs industriais portuguesas acumulou-se durante vinte anos de "se funciona, não se mexe" — uma filosofia que protege a produção a curto prazo e a expõe a longo prazo.

Onde dói primeiro: a paragem de produção

Para uma fábrica que entrega just-in-time a uma casa-mãe como a Inditex ou a Decathlon, o custo de um incidente não é o resgate. É a paragem. Três dias parado em plena campanha de coleção — calçado de mulher entrega-se em fevereiro, calçado de homem em agosto — pode significar perder a encomenda da estação seguinte. O comprador internacional que visita duas vezes por ano não espera.

Vale a pena fazer a conta de cabeça. Uma fábrica de calçado de Felgueiras com 120 pessoas e uma cadência de 2 000 pares/dia, parada três dias úteis, perde a produção de 6 000 pares. Se cada par vale, à porta da fábrica, entre 12 e 25 euros de margem industrial bruta, o buraco direto anda entre 70 mil e 150 mil euros — antes de contar salários pagos sem produção, penalizações contratuais por atraso de entrega e o custo intangível de uma reunião difícil com o comprador. O resgate, quando existe, é muitas vezes a menor das contas.

Uma distribuidora alimentar com armazém de 20 000 m² e cross-docking diário não aguenta o WMS em baixo por uma manhã. O picking pára. As carrinhas ficam à porta. O chefe de armazém — aquele que luta contra qualquer rollout que o tire do rádio mais de duas horas — fica sem sistema durante um dia inteiro. No alimentar fresco, com janelas de entrega em supermercados e prazos de validade curtos, uma manhã de paragem não se recupera. A mercadoria perde-se ou volta para trás.

Na PME industrial, o sistema de informação não é um custo de retaguarda. É a linha de montagem. Quando ele pára, pára a fábrica — e a fábrica não tem stock de tempo.

OT versus IT: a fronteira que ninguém desenhou

O conceito que separa as fábricas maduras das vulneráveis é a segmentação entre tecnologia operacional (OT) e tecnologia de informação (IT). OT é tudo o que toca na produção física: PLCs, máquinas CNC, autómatos, terminais de captura, sensores. IT é o e-mail, o ERP, a contabilidade, o ficheiro partilhado.

O problema é que estas máquinas industriais foram desenhadas para durar quinze ou vinte anos. Uma máquina de corte instalada em 2011 corre frequentemente um Windows que já não recebe atualizações de segurança há anos. Não se pode atualizar sem arriscar quebrar o software proprietário do fabricante — que muitas vezes já nem existe. A única defesa real é o isolamento: essa máquina não devia ver a internet nem o e-mail. Numa rede plana, vê tudo.

O fator humano e a dívida técnica acumulada

A PME industrial portuguesa típica tem um herói de TI: 15 anos de conhecimento do negócio, sabe onde estão todos os cabos, mas sem equipa e sem orçamento de segurança dedicado. Faz tudo. Quando sai de férias, a empresa fica cega. Esta concentração de conhecimento numa pessoa é, em si, um risco de continuidade que a NIS2 obriga a documentar.

Este herói é uma das maiores forças e uma das maiores fragilidades destas empresas. Conhece o negócio ao detalhe — sabe que a tabela de tamanhos do cliente X tem uma exceção que ninguém documentou, sabe porque é que aquele relatório corre às quintas. Mas o conhecimento está na cabeça dele, não em ficheiro. Se ele adoecer, ninguém restaura um backup. Se ele sair zangado, a empresa fica sem as passwords. A NIS2 obriga, na prática, a tirar o conhecimento da cabeça do herói e a pô-lo em procedimento — o que também o protege a ele.

O phishing continua a ser a porta de entrada mais comum, e não exige sofisticação. Um e-mail credível a imitar a casa-mãe, com um anexo "ficha técnica revista.xlsx", chega a uma confeção numa altura de pico de coleção em que ninguém tem tempo para desconfiar. A pessoa abre. A partir daí, numa rede plana, o resto é geografia.

A esmagadora maioria dos incidentes que vemos em PME industrial não exigiu técnica sofisticada do atacante. Exigiu uma password reutilizada e um backup que ninguém validou.

2. O que é exatamente a cibersegurança NIS2 para PME em Portugal

A NIS2 — Diretiva (UE) 2022/2555 — é a segunda geração da diretiva europeia de segurança das redes e sistemas de informação. Substitui a NIS original de 2016 e alarga drasticamente o âmbito de quem está abrangido, sobe o nível das obrigações e introduz responsabilidade direta da gestão de topo.

A NIS original cobria poucos setores e deixava muita discricionariedade aos Estados-Membros para identificar quem era "operador de serviços essenciais". O resultado foi uma aplicação desigual pela Europa. A NIS2 corrige isso de duas formas: define setores de forma muito mais ampla e estabelece um critério de dimensão automático, removendo grande parte do poder de escolha dos Estados. Por outras palavras, deixou de depender de alguém "designar" a sua fábrica — passa a depender do tamanho e do setor.

Em Portugal, a transposição faz-se através do regime jurídico da cibersegurança que enquadra o trabalho do Centro Nacional de Cibersegurança (CNCS) como autoridade nacional competente. O essencial para um gestor industrial reduz-se a três perguntas: estou abrangido? que medidas tenho de implementar? e quais os prazos e sanções?

Entidades essenciais vs. entidades importantes

A NIS2 divide os sujeitos obrigados em duas categorias, com implicações práticas diferentes:

• Entidades essenciais — setores de alta criticidade (energia, transportes, banca, saúde, água, infraestrutura digital). Supervisão proativa: a autoridade pode auditar antes de qualquer incidente.
• Entidades importantes — incluem o fabrico em vários subsetores, produção e distribuição de produtos químicos, alimentação, gestão de resíduos, serviços postais. Supervisão reativa: a autoridade atua após indícios de incumprimento.

A indústria transformadora — onde cai grande parte do têxtil, calçado, metal e plástico portugueses — entra tipicamente como entidade importante quando cumpre os limiares de dimensão. É uma categoria com obrigações reais, ainda que com supervisão menos intrusiva do que as essenciais.

A distinção não muda as medidas técnicas a implementar — essas são essencialmente as mesmas. Muda o regime de supervisão e o teto das coimas. Uma entidade essencial vive sob escrutínio permanente; uma entidade importante só atrai a autoridade depois de algo correr mal ou de uma denúncia. Para a fábrica média, isto significa que a probabilidade de uma auditoria espontânea é baixa — mas a probabilidade de a casa-mãe pedir provas é alta. O verdadeiro fiscal da PME industrial portuguesa não é o CNCS. É o cliente internacional.

O subsetor importa: nem todo o "fabrico" entra igual

Os anexos da NIS2 não tratam toda a indústria transformadora da mesma forma. Alguns subsetores de fabrico estão explicitamente listados como abrangidos — fabrico de dispositivos médicos, de produtos eletrónicos, de máquinas e equipamentos, de veículos. Outros entram pela via dos produtos químicos ou da alimentação. O têxtil e o calçado puros nem sempre constam dos anexos de forma direta, o que gera confusão legítima.

Aqui está a armadilha: mesmo que o seu CAE específico não conste explicitamente, três caminhos podem puxá-lo para dentro. Primeiro, se fabricar componentes para um setor abrangido (por exemplo, têxtil técnico para a indústria automóvel). Segundo, se a parte alimentar ou química do seu negócio o qualificar. Terceiro, e mais provável, pela cadeia de abastecimento. Não assuma que está fora só porque o seu setor não salta à vista no anexo. Documente a análise.

O critério de dimensão: a regra dos 50/10M€

A NIS2 aplica-se, em regra, a entidades médias e grandes dos setores abrangidos. O limiar de média empresa, segundo a Recomendação 2003/361/CE, é: 50 ou mais colaboradores, OU volume de negócios anual superior a 10 milhões de euros e balanço total superior a 10 milhões. Abaixo disso, em princípio, a entidade fica fora — exceto casos especiais (prestadores de serviço crítico, infraestrutura de comunicações, entidades designadas individualmente).

Atenção a uma subtileza que apanha muitos gestores: o cálculo da dimensão, segundo a Recomendação 2003/361/CE, pode incluir empresas associadas e parceiras. Se a sua fábrica de 40 pessoas pertence a um grupo familiar com três sociedades que, somadas, ultrapassam os 50 colaboradores ou os 10M€, o cálculo pode consolidá-las. Muitas estruturas societárias portuguesas — comuns no têxtil e no calçado, onde se separa a produção da comercialização em sociedades distintas — descobrem assim que estão dentro quando julgavam estar fora.

Regra prática para o CFO: se a sua fábrica tem 50+ pessoas ou factura acima de 10M€ e está no fabrico, distribuição ou alimentar, assuma que está dentro até prova documentada em contrário. E faça o cálculo consolidado do grupo antes de respirar de alívio.

O efeito cadeia de abastecimento: porque PMEs abaixo do limiar também são puxadas

Aqui está o ponto que os artigos genéricos esquecem. A NIS2 obriga as entidades abrangidas a gerir o risco da sua cadeia de abastecimento. Uma marca europeia abrangida vai exigir garantias de segurança aos seus subcontratados portugueses — mesmo que esses tenham 30 pessoas e estejam tecnicamente fora do âmbito direto. A conformidade desce a cadeia através dos contratos. Uma confeção do Vale do Ave de 35 colaboradores acabará por receber um questionário de segurança da casa-mãe. E terá de responder.

O setor do vestuário português vive de subcontratação para casas-mãe como Inditex, Decathlon, Mango, Tom Tailor e Lacoste. Estas marcas já têm departamentos de compliance que enviam questionários de fornecedor com dezenas de perguntas: "tem MFA?", "testa os backups?", "tem plano de resposta a incidentes?", "onde estão alojados os nossos dados de design?". Uma resposta vaga ou em branco não tira logo o contrato — mas vai para a coluna de risco. E quando o comprador precisa de cortar fornecedores, corta primeiro os de maior risco.

Isto inverte completamente a lógica de incentivo. A pequena confeção que ignorava a cibersegurança porque "isso é para os grandes" descobre que a sua sobrevivência comercial depende de poder responder credivelmente a um PDF de duas páginas. O custo de não ter nada não é uma coima do CNCS — é deixar de estar na lista de fornecedores aprovados. Para a PME do Vale do Ave, isto é existencial.

3. O panorama em Portugal hoje

Os números desmontam o otimismo de slide-deck. Segundo o Eurostat, em 2024 apenas uma minoria das empresas portuguesas reportava ter políticas formais de segurança das TIC documentadas, e a percentagem cai ainda mais nas pequenas empresas. Portugal está consistentemente abaixo da média europeia em adoção de medidas de cibersegurança nas PME.

O padrão é conhecido: as grandes empresas portuguesas têm maturidade comparável às congéneres europeias, mas a cauda das pequenas e médias puxa a média nacional para baixo. E é precisamente nessa cauda que vive o tecido industrial do Norte — milhares de empresas familiares de têxtil, calçado e metalomecânica que durante décadas competiram por preço e prazo, não por sofisticação digital.

O CNCS, nos seus relatórios anuais do Observatório de Cibersegurança, tem documentado um crescimento sustentado de incidentes reportados em Portugal, com o ransomware e o phishing entre as ameaças mais frequentes ao tecido empresarial. A indústria transformadora é um alvo crescente precisamente por combinar baixa maturidade defensiva com alta sensibilidade a paragens. A ENISA, no seu Threat Landscape anual, confirma a mesma tendência à escala europeia: o ransomware mantém-se no topo e as PMEs industriais são alvo preferencial por serem elo fraco de cadeias maiores.

Porque a indústria portuguesa é um alvo atrativo

Os atacantes de ransomware não escolhem alvos por antipatia. Escolhem por retorno esperado. Uma fábrica que entrega just-in-time tem uma característica que a torna ideal: a urgência. Quem não pode estar parado três dias está mais inclinado a pagar depressa. O atacante sabe disto. Sabe que uma confeção em plena entrega de coleção tem uma janela de negociação curta e desesperada.

Some-se a baixa maturidade defensiva — backups não testados, redes planas, ausência de monitorização — e tem-se o perfil perfeito: alvo fácil de comprometer e com forte incentivo a pagar. Não é por a sua fábrica ser importante a nível geopolítico. É por ser fácil e por ter pressa.

O fosso de maturidade entre setores

Há uma nuance setorial. A indústria metalomecânica e de moldes do corredor Aveiro–Marinha Grande, por trabalhar há mais tempo com clientes alemães e da indústria automóvel, tende a ter maturidade ligeiramente superior — porque a Indústria 4.0 e os requisitos da cadeia automóvel já a obrigaram a profissionalizar processos. O têxtil e o vestuário, com mão de obra envelhecida e margens apertadas, partem geralmente de uma base mais frágil. O calçado fica a meio, puxado pela exigência dos compradores internacionais da APICCAPS.

O custo real de não fazer nada

O IBM Cost of a Data Breach Report tem situado o custo médio global de uma violação de dados acima dos 4 milhões de dólares — número inflacionado por grandes empresas, mas o sinal é claro. Para a PME industrial portuguesa, o custo concreto mede-se em dias de produção parada, perda de encomenda de coleção e erosão da confiança da casa-mãe. Uma fábrica que perca a certificação de fornecedor de uma marca internacional por falha de segurança não recupera esse cliente numa estação.

Decomponha-se o custo real de um incidente numa PME industrial em camadas, da mais visível à mais traiçoeira:

• Custo direto imediato — eventual resgate, horas de consultoria de resposta a incidentes, recuperação de sistemas, equipamento substituído.
• Custo de paragem — produção perdida, salários pagos sem output, penalizações por atraso de entrega contratual.
• Custo regulatório — coimas NIS2 e RGPD se houver dados pessoais expostos, notificações obrigatórias.
• Custo reputacional e comercial — o mais grave e o menos contabilizado: sair da lista de fornecedores aprovados de uma casa-mãe e não regressar.

Não é o resgate que arruína a fábrica portuguesa. É a casa-mãe que muda de fornecedor porque deixou de confiar na sua continuidade operacional.

4. Os modelos de implementação da conformidade NIS2

Há quatro abordagens reais para uma PME industrial chegar à conformidade. Não são igualmente boas. Cada uma tem custo, velocidade e risco diferentes.

Modelo A: Interno puro (DIY com o herói de TI)

A empresa carrega tudo no seu responsável de TI existente. Funciona apenas se essa pessoa tiver tempo libertado e formação específica em segurança. Na prática, o herói já está sobrecarregado a manter o ERP e a rede a funcionar. A conformidade NIS2 exige documentação, políticas, testes de restore e gestão de risco contínua — trabalho que não cabe numa pessoa que também resolve impressoras.

Há um cenário em que este modelo funciona: a empresa que liberta formalmente metade do tempo do responsável de TI, lhe paga formação certificada e contrata um segundo técnico para a operação corrente. Raríssimo na PME industrial portuguesa, onde o orçamento de TI é tratado como custo a minimizar, não como investimento. Quando ouvimos "o nosso informático trata disso", traduzimos mentalmente para "ninguém trata disso de forma estruturada".

Modelo B: Outsourcing total (MSSP)

Contratar um Managed Security Service Provider que gere monitorização, deteção e resposta. Bom para quem não tem qualquer competência interna. O risco é a dependência total e a desconexão do contexto operacional — um MSSP genérico não entende porque é que o terminal de captura de produção não pode reiniciar a meio do turno.

O calcanhar de Aquiles do MSSP genérico revela-se no primeiro alerta. O sistema deteta tráfego "anómalo" de uma máquina CNC a comunicar com o servidor de produção às 3h da manhã e bloqueia-o por precaução. Só que essa comunicação era o ciclo noturno legítimo de preparação do turno da manhã. O MSSP, sem contexto industrial, parou a produção para "proteger" a empresa. O resultado é desconfiança mútua e, frequentemente, o desligar progressivo dos controlos — o pior dos mundos.

Modelo C: Híbrido (interno + parceiro especializado)

O modelo que recomendamos para a maioria das PME industriais. O conhecimento do negócio fica em casa; a competência técnica de segurança e a infraestrutura crítica delegam-se a um parceiro que conhece a indústria. Combina cloud híbrida, datacenter gerido e serviços de cibersegurança especializados com a operação local.

A divisão de responsabilidades que funciona é clara: o herói de TI mantém o conhecimento do negócio e a relação com a produção — sabe que máquina não pode reiniciar, conhece os ritmos do chão-de-fábrica. O parceiro traz a competência de segurança, a infraestrutura de backup testado, a monitorização e o apoio na resposta a incidentes. Nenhum dos dois é dispensável. O parceiro que entende a indústria não bloqueia a máquina CNC sem perguntar; o herói não fica sozinho às 18h30 de sexta com o servidor a piscar resgate.

Modelo D: Plataforma integrada (segurança embebida no stack)

Construir a conformidade dentro das próprias ferramentas de gestão — ERP, gestão documental, controlo de acessos — em vez de a tratar como camada externa. Um ERP MULTI com gestão de utilizadores granular, logs de auditoria e gestão documental com assinatura qualificada eIDAS resolve nativamente uma parte das exigências de controlo de acesso e integridade de registos.

Este modelo brilha em momentos de transição. Quem vai renovar o ERP de qualquer forma tem aqui uma oportunidade rara: desenhar a segurança na arquitetura desde o início, em vez de a colar por cima depois. Controlo de acessos baseado em papéis, segregação de funções (quem cria a encomenda não pode aprovar o pagamento), trilho de auditoria imutável, integridade de registos para o SAF-T. Tudo isto é mais barato e mais sólido quando nasce com o sistema do que quando se remenda mais tarde.

Na prática, os modelos C e D combinam-se com frequência. A empresa adota o híbrido para a operação de segurança e, em simultâneo, embebe controlos na renovação do ERP. É a combinação mais sólida para quem está a modernizar a casa de uma vez.

A pior decisão é não decidir. Adiar a NIS2 à espera de "mais clareza regulatória" deixa-o exposto tanto à autoridade como à casa-mãe — e ambas chegam sem aviso.

5. Como avaliar se a sua empresa precisa

Antes de gastar um euro, faça o diagnóstico de âmbito. Demora meio dia e poupa decisões erradas.

Sinais de que está dentro do âmbito

• Tem 50 ou mais colaboradores ou factura acima de 10M€ anuais.
• Opera no fabrico, alimentar, distribuição, gestão de resíduos ou produtos químicos.
• É subcontratado de uma marca europeia que já lhe enviou questionários de segurança.
• Recebeu comunicação direta de uma autoridade nacional sobre obrigações de cibersegurança.
• Pertence a um grupo societário que, consolidado, ultrapassa os limiares de dimensão.
• Fornece componentes ou serviços a um setor explicitamente abrangido (automóvel, dispositivos médicos, eletrónica).

Passo a passo: diagnóstico de prontidão NIS2

1. Determine o âmbito. Confirme dimensão (colaboradores, volume de negócios, balanço) e setor face aos anexos da NIS2. Documente a conclusão por escrito — "estamos dentro como entidade importante" ou "estamos fora, mas sujeitos por via contratual da cadeia".
2. Inventarie os ativos digitais. Liste todos os servidores, terminais industriais, máquinas com ligação de rede, aplicações (ERP, WMS, captura de produção, contabilidade), contas de utilizador e acessos remotos. Não pode proteger o que não conhece.
3. Avalie os controlos existentes. Para cada medida-base da NIS2 — backups, MFA, segmentação, gestão de incidentes, controlo de acessos, cifragem — classifique como existente, parcial ou ausente. Use uma folha simples com semáforo verde/amarelo/vermelho.
4. Identifique as lacunas críticas. Ordene as ausências por impacto operacional. Backup não testado e rede plana OT/IT vêm quase sempre primeiro porque são as que param a fábrica.
5. Estime o esforço e priorize. Atribua a cada lacuna um custo aproximado e um responsável. Separe quick wins (1-2 semanas) de projetos estruturais (3-6 meses).
6. Apresente à gestão de topo. A NIS2 responsabiliza diretamente a administração. CEO e CFO têm de aprovar o plano e o orçamento por escrito — não é delegável só para o herói de TI.

As perguntas que o questionário da casa-mãe vai fazer

Se quer antecipar o que aí vem, prepare respostas honestas para estas perguntas — são as que aparecem nos questionários de fornecedor das marcas europeias:

• Tem autenticação multifator nos acessos remotos e nos sistemas que tocam os nossos dados?
• Com que frequência testa a recuperação de backups e qual é o seu tempo de restore?
• Tem um plano de resposta a incidentes documentado e quem é o ponto de contacto?
• Onde estão alojados fisicamente os dados que partilhamos consigo (design, fichas técnicas)?
• Tem segmentação entre a rede de produção e a rede administrativa?
• Os seus colaboradores recebem formação de segurança? Com que periodicidade?
• Tem alguma certificação (ISO 27001) ou plano para a obter?

Quick wins implementáveis em duas semanas

• Ativar MFA em todos os acessos VPN, e-mail e ERP — reduz drasticamente o risco de credenciais comprometidas.
• Testar um restore real de backup num servidor isolado. Se não conseguir restaurar, não tem backup — tem uma ilusão de backup.
• Revogar todos os acessos de ex-colaboradores e fornecedores que já não trabalham consigo. É frequente encontrar contas ativas de pessoas que saíram há anos.
• Aplicar a regra de backup 3-2-1: três cópias, em dois suportes diferentes, uma delas fora das instalações e offline (imune a ransomware que cifra a rede inteira).

6. O que escolher e porquê: decisão por dimensão de empresa

A resposta certa depende do tamanho e da maturidade. Não há solução única.

PME de 30-50 colaboradores (muitas vezes fora do âmbito direto)

Foco na higiene básica e na resposta a questionários de cadeia de abastecimento. Quick wins, backup testado, MFA, segmentação mínima. Modelo híbrido leve com um parceiro que assegure o datacenter e os backups. O objetivo é poder responder com credibilidade à casa-mãe.

Para esta dimensão, o erro a evitar é gastar de mais em ferramentas sofisticadas que ninguém vai gerir. Um SIEM corporativo numa empresa de 35 pessoas é dinheiro mal gasto — ninguém olha para os alertas. Concentre o orçamento no que move a agulha: MFA, backup offline testado e a capacidade de responder a um questionário sem mentir. A higiene básica bem feita protege contra a esmagadora maioria dos ataques oportunistas.

PME de 50-150 colaboradores (entidade importante típica)

Conformidade plena obrigatória. Modelo híbrido completo: políticas documentadas, plano de resposta a incidentes, segmentação OT/IT real, monitorização. Aqui faz sentido embeber controlos no ERP industrial e profissionalizar a gestão documental com trilho de auditoria e assinatura eIDAS.

Esta é a faixa onde vive a maior parte das fábricas de calçado de Felgueiras e das têxteis de média dimensão do Vale do Ave. O salto qualitativo aqui é da informalidade para a documentação. Não basta fazer — tem de provar que faz, com políticas escritas, registos de teste de restore e atas de aprovação pela administração. A diferença entre "achamos que estamos seguros" e "temos um dossiê que demonstra a nossa conformidade" é exatamente o que a autoridade e a casa-mãe vão querer ver.

Empresa de 150+ colaboradores ou multi-instalação

Estrutura de governança de segurança formal, possivelmente com responsável dedicado, e integração entre instalações via Multi Connect. Para operações de elevada complexidade, um QAD Adaptive ERP com gestão de identidade robusta. Monitorização contínua e exercícios de simulação de incidentes periódicos.

A multi-instalação acrescenta complexidade de coordenação. Uma empresa com produção em Felgueiras, armazém em Lousada e comercial no Porto tem três perímetros, três redes e três pontos de falha. A segurança tem de ser pensada de forma centralizada mas executada localmente — políticas comuns, mas alguém responsável por cada local. A integração entre instalações, se for por VPN mal configurada, torna-se a auto-estrada por onde o ransomware viaja de uma fábrica para todas as outras.

Para aprofundar os controlos concretos por instalação, veja o nosso guia NIS2 na prática: controlos técnicos para fábricas portuguesas e o complemento operacional NIS2 em PMEs industriais: o que muda na prática operacional.

7. Quadro regulatório e conformidade aplicável

A NIS2 não vive isolada. Cruza-se com várias obrigações que a PME industrial portuguesa já tem — ou devia ter.

As obrigações que a NIS2 impõe diretamente

• Gestão de risco de cibersegurança — análise de risco, políticas de segurança da informação, medidas técnicas e organizativas proporcionais.
• Notificação de incidentes — incidentes significativos têm de ser reportados à autoridade nacional dentro de prazos apertados: alerta inicial em 24 horas, notificação completa em 72 horas, relatório final até um mês.
• Segurança da cadeia de abastecimento — avaliar e gerir o risco dos fornecedores e prestadores de serviço.
• Responsabilidade da gestão — a administração aprova e supervisiona as medidas e pode responder pessoalmente pelo incumprimento.
• Sanções — coimas que, para entidades importantes, podem atingir milhões de euros ou uma percentagem do volume de negócios anual, conforme o regime sancionatório nacional.

O calendário de notificação que tem de saber de cor

A obrigação de notificação é onde muitas empresas tropeçam, porque os prazos são curtos e contam-se a partir do momento em que se toma conhecimento do incidente — não do momento em que se decide reportar. Tenha isto afixado na parede do responsável de TI:

O que isto significa na prática: na sexta-feira das 18h30 do nosso exemplo, o relógio das 24 horas já está a contar. Sem um plano de resposta com a cadeia de contactos definida, a empresa gasta as primeiras doze horas a perceber a quem ligar — e perde metade do prazo legal só em pânico. É por isto que o plano de resposta documentado não é burocracia. É o que transforma o caos em procedimento.

Como se cruza com o resto da legislação que já cumpre

A PME industrial portuguesa já lida com várias camadas. A NIS2 reforça-as:

• RGPD + Lei 58/2019 — a proteção de dados pessoais e a segurança da informação são primas. Um incidente que exponha dados de colaboradores ou clientes aciona ambos os regimes.
• DL 28/2019 e Portaria 195/2020 — faturação eletrónica certificada e comunicação SAF-T mensal exigem integridade e disponibilidade dos sistemas de faturação. A nossa análise em gestão documental e DL 28/2019 detalha o paperless conforme.
• eIDAS 2 — a assinatura qualificada garante a integridade de documentos legais e contratos, um controlo que a NIS2 valoriza.
• Lei 93/2021 — o canal de denúncias obrigatório para empresas com 50+ colaboradores intersecta a governança de segurança.
• AI Act (Regulamento UE 2024/1689) — para quem use IA preditiva em gestão de pessoas ou produção, há obrigações de classificação de risco que se somam à governança de segurança.
• ISO 27001 — a norma de gestão da segurança da informação é o melhor atalho para demonstrar conformidade NIS2; quem já é certificado tem grande parte do caminho feito.
• DORA — para quem opera no setor financeiro ou lhe presta serviços, o regulamento DORA impõe exigências de resiliência operacional digital com lógica próxima da NIS2.

A duplicação de notificação merece nota. Se um incidente expõe dados pessoais, dispara simultaneamente a obrigação de notificar a CNPD ao abrigo do RGPD (72 horas) e a autoridade de cibersegurança ao abrigo da NIS2 (24h/72h/1 mês). São canais diferentes, prazos parcialmente sobrepostos. O plano de resposta tem de prever ambos, ou arrisca-se a cumprir um e falhar o outro.

A boa notícia para o CFO: investir em ISO 27001 não é dinheiro perdido. É o caminho mais reconhecido para demonstrar conformidade NIS2 e, ao mesmo tempo, abrir portas a clientes internacionais que a exigem.

Financiamento: PT2030, PRR e os instrumentos do Norte

A cibersegurança é elegível em vários avisos de PT2030, PRR e Norte 2030 para digitalização e capacitação das PME. O ritmo é conhecido: o que envolve infraestrutura clara e métricas verificáveis passa; o que fica preso são os relatórios técnicos mal fundamentados. Estruture a candidatura com objetivos mensuráveis — número de sistemas com MFA, tempo de restore, instalações segmentadas — e fundamente cada investimento. O IAPMEI e a CCDR-N são os interlocutores no Norte.

Um conselho prático de quem já viu muitas candidaturas aprovadas e chumbadas: ligue o investimento em cibersegurança a um projeto mais amplo de transição digital. Uma candidatura que apresenta "queremos firewalls" tende a ficar presa; uma que apresenta "modernizamos o ERP, segmentamos a rede, profissionalizamos backups e formamos a equipa, com estes indicadores antes e depois" passa com mais facilidade. O avaliador quer ver transformação mensurável, não compra de caixas. Alinhe a narrativa com as prioridades da Indústria 4.0 e da resiliência das cadeias de valor — são as que abrem cofres.

8. Como a INFOS aborda isto

Não vendemos segurança como camada solta colada por cima de uma operação que não entendemos. Conhecemos o chão-de-fábrica do têxtil, do calçado, da distribuição e do metal porque é onde trabalhamos há mais de três décadas. Sabemos que o terminal de captura de produção não pode reiniciar a meio do turno e que o chefe de armazém não larga o rádio por um upgrade de firewall.

A nossa abordagem é o modelo híbrido com a segurança embebida no stack de gestão. O datacenter gerido assegura backups testados e disponibilidade; os serviços de cibersegurança tratam monitorização e resposta; e o ERP MULTI, a gestão documental e a gestão de identidade resolvem nativamente controlo de acessos, trilho de auditoria e integridade de registos. O conhecimento do seu negócio fica em casa; a competência técnica de segurança apoiamos nós.

Porque o contexto industrial muda tudo

A diferença entre um parceiro que conhece a indústria e um fornecedor genérico de segurança aparece nos detalhes operacionais. Sabemos que numa distribuidora com WMS e gestão de armazéns, a janela de manutenção tem de respeitar os horários de carga e descarga — não se reinicia o sistema às 10h quando as carrinhas estão a sair. Sabemos que numa fábrica de calçado a monitorização tem de distinguir o ciclo noturno legítimo das máquinas de um movimento lateral malicioso. Este contexto não se aprende num manual de MSSP genérico. Aprende-se em três décadas de chão-de-fábrica.

Da auditoria à prova: o trilho que a casa-mãe quer ver

Quando precisa de ler o que se passa — quem acedeu a quê, que sistemas estão expostos, onde estão as lacunas — o Qlik Sense transforma logs e indicadores em dashboards que o CEO e o CFO compreendem em dois minutos. O mesmo painel que mostra o OEE da produção pode mostrar o estado da conformidade: percentagem de acessos com MFA, último teste de restore bem-sucedido, número de contas órfãs por revogar. Transformar a segurança em indicadores visíveis é o que a tira da cabeça do herói e a põe na mesa da administração.

Antes de comprometer orçamento, agende uma avaliação técnica com um especialista INFOS. Sem slide-deck. Com a sua rede real em cima da mesa.

9. Roadmap 30/60/90 dias

Conformidade NIS2 não se faz num fim de semana. Mas em 90 dias chega-se a uma postura defensável e auditável. Eis o caminho com marcos verificáveis.

Dias 1-30: visibilidade e quick wins

• Determinar e documentar o âmbito NIS2 (entidade importante, fora, ou puxado pela cadeia).
• Inventariar todos os ativos digitais e contas de acesso — incluindo OT e terminais industriais.
• Ativar MFA em VPN, e-mail e ERP. Marco verificável: 100% dos acessos críticos com MFA.
• Testar um restore real de backup. Marco verificável: restore completo bem-sucedido documentado.
• Revogar acessos de ex-colaboradores e fornecedores inativos.

Dias 31-60: estrutura e segmentação

• Segmentar a rede OT/IT — separar máquinas e terminais de produção da rede administrativa. Marco: VLANs e firewall interno operacionais.
• Redigir as políticas-base: segurança da informação, controlo de acessos, gestão

Perguntas frequentes

A minha PME industrial está abrangida pela NIS2?

Está abrangida se exerce atividade em setores essenciais ou críticos (energia, transportes, água, saúde, alimentação, infraestruturas digitais) e tem mais de 50 trabalhadores ou volume de negócios superior a 10 milhões de euros. Muitas confecções, fábricas de calçado e distribuidoras alimentares portuguesas entram nesta categoria. Verifique a sua classificação com a ANSSI ou consultor especializado.

Qual é o prazo para cumprir a NIS2 em Portugal?

A transposição da NIS2 para a lei portuguesa obriga ao cumprimento até 2026. Recomenda-se começar já em 2024 com o diagnóstico de segurança e a identificação de ativos críticos. Deixar para 2025 concentra o risco operacional e aumenta custos de conformidade. Organize-se por fases: inventário, segmentação de rede, backups testados, controlos de acesso.

O que é segmentação OT/IT e porque é crítica?

Segmentação é separar a rede de produção (máquinas CNC, PLCs, autómatos) da rede administrativa (e-mail, ERP, contabilidade). Numa rede plana, um vírus no PC da contabilidade contamina as máquinas. Máquinas industriais duram 15-20 anos sem atualizações de segurança. O isolamento é a única defesa. Sem segmentação, um incidente pára a fábrica inteira.

Como gerir máquinas antigas que não recebem atualizações?

Máquinas de 2011 com Windows desatualizado não se podem atualizar sem quebrar software proprietário. Solução: isolá-las numa rede separada, controlar acessos físicos (sem pen USB), monitorizar tráfego de rede, documentar o risco e comunicar à administração. Considere firewall interno ou DMZ. Substitua gradualmente conforme ciclo de vida.

Qual é o custo real de uma paragem por incidente cibernético?

Não é o resgate. Para uma fábrica de calçado de 120 pessoas com 2000 pares/dia, três dias parado custa 70-150 mil euros em margem perdida, mais salários, penalizações contratuais e risco de perder encomendas futuras. Numa distribuidora alimentar, uma manhã sem WMS perde mercadoria perecível. A prevenção custa menos que a paragem.

Como documentar o risco de um único responsável de TI?

A NIS2 obriga a tirar conhecimento da cabeça de uma pessoa. Faça: inventário de sistemas críticos, documentação de procedimentos, segregação de passwords em cofre seguro, plano de sucessão, backup testado regularmente. Defina quem substitui em férias ou saída. Não é despedir o herói — é proteger a empresa e dar-lhe condições de trabalho sustentável.

Por onde começo se não tenho orçamento grande de segurança?

Comece pelo essencial: (1) inventário de ativos e rede, (2) backups testados mensalmente, (3) revogar acessos de quem saiu, (4) separar OT de IT com firewall básico, (5) passwords únicas por pessoa. Isto custa pouco e reduz 80% do risco. Depois, conforme orçamento: monitorização de rede, autenticação multi-fator, seguro cibernético. Priorize por impacto operacional.

Fontes

• Diretiva (UE) 2022/2555 (NIS2) — Diretiva relativa às medidas para um elevado nível comum de cibersegurança em toda a União Europeia
• Lei n.º 32/2024, de 21 de agosto — Transposição da Diretiva NIS2 para a ordem jurídica portuguesa
• Regulamento (UE) 2024/1689 — Regulamento relativo à cibersegurança da cadeia de abastecimento
• ENISA (Agência da União Europeia para a Cibersegurança) — Guia de implementação NIS2 para operadores de serviços essenciais e fornecedores de serviços digitais críticos
• CNCS (Centro Nacional de Cibersegurança) — Orientações técnicas para conformidade NIS2 em Portugal