Resposta curta: A NIS2 (Diretiva (UE) 2022/2555) é a lei da UE sobre cibersegurança para setores críticos. A Saúde é um setor de alta criticidade (Anexo I): hospitais e outros prestadores de cuidados de saúde, laboratórios de referência da UE, fabricantes de produtos farmacêuticos básicos e de dispositivos médicos críticos durante uma emergência de saúde pública, e entidades que realizam investigação e desenvolvimento de medicamentos. Os prestadores de serviços digitais nos quais a saúde se baseia também estão abrangidos: computação em nuvem, centros de dados, serviços de segurança geridos e plataformas e mercados online. Entidades acima do limiar de dimensão (médias: 50 funcionários ou 10 milhões de euros de volume de negócios) são essenciais ou importantes dependendo do setor e da dimensão, e devem implementar dez categorias de medidas de segurança, reportar incidentes significativos em 24 horas, 72 horas e um mês, e aceitar que a gestão é pessoalmente responsável. Os Estados-Membros tiveram de transpor até 17 de outubro de 2024; vários fizeram-no tardiamente, e as leis nacionais, não a diretiva, são o que se aplica a si.
Quem está abrangido
A NIS2 abrange o setor da saúde como um setor de alta criticidade: hospitais e outros prestadores de cuidados de saúde, laboratórios de referência da UE, fabricantes de produtos farmacêuticos básicos e de dispositivos médicos críticos em emergências de saúde pública, e entidades de I&D de medicamentos, além dos fornecedores de serviços na nuvem, centros de dados e serviços geridos de que a saúde depende. As PMEs são geralmente importantes, as grandes são essenciais.
| Entidade | Anexo | Estatuto típico |
|---|---|---|
| Hospitais, clínicas, redes de médicos de família, laboratórios, farmácias que prestam cuidados (prestadores de cuidados de saúde ao abrigo da Diretiva 2011/24) | I, saúde | Essencial se grande (250+ funcionários ou 50M€+), importante se médio |
| Laboratórios de referência da UE | I, saúde | Essencial |
| Fabricantes de produtos e preparações farmacêuticas básicas | I, saúde | Essencial ou importante por dimensão |
| Fabricantes de dispositivos médicos considerados críticos durante uma emergência de saúde pública (lista do Regulamento 2022/123) | I, saúde | Essencial ou importante por dimensão |
| Entidades que realizam I&D de medicamentos | I, saúde | Essencial ou importante por dimensão |
| Prestadores de serviços de computação em nuvem, prestadores de centros de dados, redes de distribuição de conteúdo, prestadores de serviços de gestão (de segurança) geridos, DNS, registos TLD | I, infraestrutura digital e gestão de serviços TIC | Essencial independentemente da dimensão para alguns (DNS, TLD, serviços de confiança); caso contrário, por dimensão |
| Mercados online, motores de busca, redes sociais | II, prestadores digitais | Importante por dimensão |
| Fabricantes de outros dispositivos médicos e de computadores, eletrónica, maquinaria | II, fabrico | Importante por dimensão |
Um fornecedor de SaaS de tecnologia de saúde não é um prestador de cuidados de saúde, mas pode estar abrangido como prestador de serviços de computação em nuvem (se oferecer serviços em nuvem como negócio) ou ser atraído através dos seus clientes: o Artigo 21.º, n.º 2, alínea d), exige que as entidades essenciais e importantes gerenciem a segurança da cadeia de abastecimento, pelo que os hospitais transmitem requisitos de nível NIS2 para os contratos com os seus fornecedores de software. Micro e pequenas empresas estão geralmente fora do âmbito, a menos que um Estado-Membro as designe (por exemplo, como únicos fornecedores de um serviço crítico).
As dez medidas, Artigo 21
O Artigo 21 da NIS2 exige que todas as entidades abrangidas tomem medidas proporcionais em dez áreas: análise de risco e políticas de segurança, gestão de incidentes, continuidade de negócios e gestão de crises, segurança da cadeia de abastecimento, aquisição e desenvolvimento seguros, incluindo gestão de vulnerabilidades, avaliação de eficácia, ciberhigiene e formação, criptografia e encriptação, segurança de recursos humanos e controlo de acesso, e autenticação multifator com comunicações seguras.
Cada entidade abrangida deve tomar medidas técnicas, operacionais e organizacionais apropriadas e proporcionais que cubram, pelo menos:
- políticas de análise de risco e segurança de sistemas de informação;
- gestão de incidentes;
- continuidade operacional (backups, recuperação de desastres) e gestão de crises;
- segurança da cadeia de abastecimento, incluindo a segurança das relações com fornecedores diretos;
- segurança na aquisição, desenvolvimento e manutenção de sistemas, incluindo gestão e divulgação de vulnerabilidades;
- políticas para avaliar a eficácia das medidas;
- práticas básicas de higiene cibernética e formação;
- políticas sobre criptografia e, quando apropriado, encriptação;
- segurança de recursos humanos, controlo de acesso e gestão de ativos;
- autenticação multifator ou contínua, comunicações seguras e comunicação de emergência segura.
Um regulamento de execução de outubro de 2024 (2024/2690) especifica estes detalhes para prestadores de infraestruturas digitais e TIC, e as autoridades nacionais publicam os seus próprios catálogos para a saúde. A lista corresponde de perto ao Anexo A da ISO/IEC 27001; uma organização com um SGSI certificado com âmbito sobre os sistemas relevantes está a meio caminho. Ver ISO 27001 vs ISO 27799.
O relógio de incidentes, Artigo 23
Ao abrigo do Artigo 23 da NIS2, um incidente significativo deve ser comunicado ao CSIRT nacional ou à autoridade competente em três etapas: um alerta inicial no prazo de 24 horas após a tomada de conhecimento, uma notificação de incidente no prazo de 72 horas com uma avaliação inicial, e um relatório final no prazo de um mês, cobrindo a causa raiz e a mitigação, com um relatório intermédio a pedido.
Um incidente significativo (aquele que causa ou é capaz de causar grave perturbação operacional ou perda financeira, ou que afeta outros com danos consideráveis) deve ser comunicado ao CSIRT nacional ou à autoridade competente:
- alerta antecipado no prazo de 24 horas após a tomada de conhecimento, indicando se há suspeita de ação maliciosa e se existe um impacto transfronteiriço;
- notificação de incidente no prazo de 72 horas, com uma avaliação inicial da gravidade e do impacto e indicadores de comprometimento;
- um relatório intermédio a pedido;
- um relatório final no prazo de um mês, com causa raiz, mitigação e impacto transfronteiriço.
Onde dados pessoais estão envolvidos, a notificação de 72 horas do RGPD à autoridade de proteção de dados decorre em paralelo; um ataque de ransomware a um hospital desencadeia ambos. Os destinatários dos serviços devem ser informados quando o incidente os puder afetar.
Governança, responsabilidade, multas
A NIS2 torna a gestão pessoalmente responsável: os órgãos de gestão devem aprovar as medidas de cibersegurança, supervisionar a sua implementação e seguir formação, e podem ser responsabilizados por infrações; para entidades essenciais, as autoridades podem suspender temporariamente os gestores. As multas atingem €10 milhões ou 2% do volume de negócios mundial para entidades essenciais e €7 milhões ou 1,4% para entidades importantes.
As autoridades podem auditar, exigir provas e, em alguns Estados-Membros, o registo das entidades é, por si só, uma obrigação.
Onde se encontra a transposição
A NIS2 teve de ser transposta para a legislação nacional até 17 de outubro de 2024. Em meados de 2025, cerca de metade dos Estados-Membros já tinha leis em vigor, a Comissão tinha iniciado procedimentos de infração contra os atrasados, e o ato de implementação da Alemanha entrou em vigor no final de 2025. A lei nacional, e não a diretiva, define o prazo de registo, a autoridade competente e qualquer catálogo do setor da saúde.
O prazo de transposição foi 17 de outubro de 2024. Em meados de 2025, cerca de metade dos Estados-Membros tinha leis em vigor (Bélgica, Croácia, Hungria, Itália, Letónia, Lituânia, Roménia, Eslováquia entre os primeiros), e a Comissão abriu procedimentos de infração contra os atrasados; a lei de implementação da NIS2 da Alemanha entrou em vigor no final de 2025. Verifique a sua lei nacional para o prazo de registo, a autoridade (frequentemente a agência nacional de cibersegurança para a saúde, por vezes um regulador do setor da saúde) e os catálogos específicos do setor. Fora da UE, o Reino Unido segue com o Cyber Security and Resilience Bill.
Para um fornecedor de tecnologia de saúde, na prática
Para um fornecedor de tecnologia de saúde, a NIS2 chega principalmente através de contratos com hospitais: os clientes abrangidos devem gerir a segurança da cadeia de abastecimento, pelo que exigem notificação de incidentes em poucas horas, prova das dez medidas do Artigo 21, divulgação de vulnerabilidades, listas de subcontratados e planos de saída e continuidade. Um sistema de gestão de segurança da informação com estes elementos documentados uma vez é a forma mais económica de responder.
A Anpheros publica a sua prática de segurança no site do programador (security, reliability) e executa a resposta a incidentes com os prazos da NIS2 e do GDPR no mesmo manual de operações.
Esta página explica a regulamentação para equipas de produto e engenharia. Não constitui aconselhamento jurídico; os textos ligados em Fontes são a autoridade, e o seu responsável pela proteção de dados, organismo notificado ou consultor decide para o seu caso. Última revisão: Outubro de 2026.
Páginas relacionadas
- ISO 27001 vs ISO 27799
- Artigo 9.º do RGPD para dados de saúde
- Mapa da regulamentação de dados de saúde
- DPIA para uma aplicação de saúde
- Segurança da plataforma (site do programador)
Fontes
- Diretiva (UE) 2022/2555 (NIS2), EUR-Lex
- Regulamento de Execução (UE) 2024/2690 (Requisitos técnicos NIS2 para prestadores digitais), EUR-Lex
- Comissão Europeia: Visão geral da Diretiva NIS2
- Regulamento (UE) 2022/123 (Papel reforçado da EMA; lista de dispositivos médicos críticos), EUR-Lex
Perguntas frequentes
A minha empresa de software de saúde com 30 funcionários está abrangida?
Normalmente não diretamente, a menos que a sua lei nacional o designe ou que forneça um serviço listado no Anexo I independentemente da dimensão. Continuará a cumprir a NIS2 através das obrigações de cadeia de abastecimento dos seus clientes hospitalares, que se refletem nos contratos.
O que é um incidente significativo?
Um que cause ou possa causar grave perturbação operacional ou perda financeira para a entidade, ou que afete outras pessoas ou organizações com danos materiais ou imateriais consideráveis. Um ataque de ransomware a um hospital é o caso típico; uma breve interrupção sem impacto nos dados geralmente não é.
A NIS2 substitui a notificação de violação do RGPD?
Não. Decorrem em paralelo com destinatários diferentes (o CSIRT ou a autoridade de cibersegurança vs. a autoridade de proteção de dados), gatilhos diferentes (perturbação do serviço vs. violação de dados pessoais) e prazos sobrepostos.
A certificação ISO 27001 é prova de conformidade com a NIS2?
Não formalmente, mas vários Estados-Membros e a ENISA consideram um SGSI certificado com âmbito sobre o âmbito relevante como forte evidência, e alguns esquemas nacionais aceitam-no como presunção para a maioria das medidas. Os deveres de comunicação e gestão de incidentes e de formação ainda precisam de ser demonstrados separadamente.
Experimente grátis no sandbox
Sua primeira chamada FHIR em 5 minutos. Uma API HL7 FHIR R4 com o consentimento do paciente integrado: experimente na sandbox e depois conecte a sua própria app ou sistema clínico.
Grátis · 30 pacientes sintéticos · sem cartão
A Anpheros desenvolve um registo médico que o doente controla e pode partilhar com qualquer clínica, numa plataforma HL7 FHIR R4, sediada na UE. Estes guias ajudam-no a compreender e organizar a sua saúde; não substituem o seu médico.
Sobre a Anpheros →