Introdução
A transposição polaca da NIS2 aplica-se desde 3 de abril de 2026. Traz uma definição que descreve o que qualquer casa de manutenção faz: instalação, exploração e conservação de sistemas de informação, prestadas à distância. Segue-se o que o texto legal diz, citado literalmente, com marcação clara dos pontos que não resolve.
É uma lei polaca. Portugal tem o seu próprio diploma nesta matéria, que este texto não aborda. Vale a leitura se serve clientes na Polónia, ou se quiser ver o aspeto de uma obrigação de cadeia de abastecimento depois de uma diretiva se tornar lei nacional com números lá dentro.
Em resumo
- Lei de 23 de janeiro de 2026, jornal oficial de 2026, posição 252, publicada a 2 de março, em vigor desde 3 de abril de 2026 por força do artigo 49.
- A definição de prestador de serviços geridos abrange apoio e administração “no local ou à distância”.
- O setor Gestão de serviços TIC consta do anexo 1, ou seja entre os setores essenciais.
- Esse mesmo setor enumera dois tipos de entidade distintos, e a diferença decide o limiar de dimensão.
- Para o prestador de serviços geridos de cibersegurança o limiar começa na pequena empresa, não na média.
- Os prazos correm desde a verificação dos pressupostos, não desde uma data única, pelo que este texto não é uma contagem decrescente.
- Não é aconselhamento jurídico, mas uma leitura do texto legal com o limite dessa leitura assinalado.
Três datas em circulação, uma que vale
Ao reunir os prazos para este texto, encontrei três datas diferentes de entrada em vigor da mesma lei. Os resultados de pesquisa e os portais do setor indicavam 3 de abril de 2026, o registo jurídico europeu indicava igualmente 3 de abril, e um resumo de um comunicado ministerial falava em 10 de abril.
O texto resolve. A disposição final diz:
Artigo 49. A lei entra em vigor decorrido um mês sobre o dia da publicação.
A publicação ocorreu a 2 de março de 2026, o mês termina a 2 de abril, e a lei aplica-se portanto desde 3 de abril de 2026. Uma linha resolve aquilo sobre o que circulavam três versões.
Refiro-o porque cada prazo abaixo é contado a partir dessa data. Se tomar a data do comunicado, cada um deles desloca-se uma semana. Serve também de teste rápido a qualquer outro texto sobre esta lei: verifique se o autor cita um número de artigo ou apenas uma data.
O que a lei diz sobre fornecedores
A alteração introduz duas definições que vale a pena ler literalmente, porque a diferença entre elas comanda tudo o resto.
A primeira:
prestador de serviços geridos designa a pessoa singular, pessoa coletiva ou unidade organizacional sem personalidade jurídica que presta serviços ligados à instalação, exploração ou manutenção de produtos TIC, serviços TIC, processos TIC ou sistemas de informação, através de apoio ou administração ativa realizados junto do destinatário do serviço, no local ou à distância
A segunda:
prestador de serviços geridos de cibersegurança designa (…) a entidade que presta serviços consistentes na realização, ou no apoio à realização, de atividades ligadas à gestão do risco em cibersegurança, incluindo o tratamento de incidentes e testes de segurança
A primeira definição descreve manutenção. Atualizações do núcleo e dos plugins, cópias de segurança, configuração de servidor, publicações, disponibilidade quando algo falha, ou seja o conteúdo de um contrato de manutenção vulgar. A palavra “à distância” está expressamente no texto, pelo que o argumento de nunca se tocar na infraestrutura física do cliente não altera a classificação da atividade.
A segunda definição descreve outra coisa: gestão de risco, tratamento de incidentes, testes de segurança. Vende-se como competência autónoma, não como assistência técnica.
Dois tipos de entidade dentro do mesmo setor
No anexo 1 o setor Gestão de serviços TIC tem duas linhas na coluna do tipo de entidade: prestador de serviços geridos e prestador de serviços geridos de cibersegurança. Não é repetição, são duas categorias separadas.
Verifiquei onde fica o setor, porque disso depende saber se se trata do nível essencial ou do importante. O anexo 1 começa na página 87 da edição do jornal oficial, o anexo 2 na página 96, e a Gestão de serviços TIC aparece na página 94. Está portanto no anexo 1, entre os setores essenciais, ao lado da energia, dos transportes e da banca.
Constar do anexo 1 não significa por si só estar abrangido, porque isso é decidido pela dimensão. Significa, sim, que o tema não se despacha com um “não é o nosso setor”.
Os limiares de dimensão, literalmente
A lei não define dimensão por si, remete para o anexo I do regulamento 651/2014/UE da Comissão, onde se lê:
- A categoria das micro, pequenas e médias empresas (“PME”) é constituída por empresas que empregam menos de 250 pessoas e cujo volume de negócios anual não excede 50 milhões de euros ou cujo balanço total anual não excede 43 milhões de euros.
- Na categoria das PME, uma pequena empresa é definida como uma empresa que emprega menos de 50 pessoas e cujo volume de negócios anual ou balanço total anual não excede 10 milhões de euros.
- Na categoria das PME, uma microempresa é definida como uma empresa que emprega menos de 10 pessoas e cujo volume de negócios anual ou balanço total anual não excede 2 milhões de euros.
Dois pormenores do mesmo anexo salvam de uma conclusão precipitada.
O número de pessoas mede-se em unidades de trabalho anuais, não em nomes numa folha de vencimentos. Quem trabalha a tempo parcial ou parte do ano conta como fração.
E o artigo 4 número 2 diz que um único ano acima do limiar nada altera:
a aquisição ou a perda do estatuto de média, pequena ou microempresa só ocorre se esse facto se repetir em dois exercícios consecutivos
Um bom ano não muda a empresa de categoria. Dois seguidos mudam.
Porque o limiar da cibersegurança está mais baixo
Aqui está o ponto que passa despercebido numa leitura rápida. O artigo 5 fixa limiares diferentes para linhas diferentes do anexo.
A regra geral para uma entidade do anexo 1: é entidade essencial aquela que “excede os requisitos de média empresa”. Ou seja acima de 250 trabalhadores ou acima dos tetos financeiros.
Mas o número 3 do mesmo artigo diz outra coisa:
prestador de serviços geridos de cibersegurança que, no mínimo, preencha os requisitos de pequeno ou médio empresário (…) ou os exceda
Para esta única categoria o legislador desceu o limiar de média para pequena empresa. Uma casa que, fazendo manutenção comum, ficaria muito fora do alcance da lei pode, com exatamente a mesma dimensão, cair na categoria de entidade essencial se aquilo que vende couber na segunda definição.
Não resolvo como exatamente se aplica a expressão “no mínimo preencha os requisitos de pequena” a uma microempresa, porque essa é pergunta para advogado e não para programador. O que importa é a direção: o limiar está aqui mais baixo do que em qualquer outro ponto, e este é por isso o único lugar onde a dimensão da empresa deixa de ser um argumento cómodo.
Está abrangido, perguntas em vez de veredicto
Não vou escrever que está abrangido nem o contrário, porque a resposta depende dos seus números e não do seu setor. Em vez disso, a ordem das perguntas que eu próprio percorreria.
O que vende de facto, segundo os contratos e não segundo o site. Um contrato de manutenção com atualizações e cópias de segurança é a primeira definição. Um contrato em que se obriga a tratar incidentes de segurança, a correr testes ou a manter uma análise de risco aproxima-se da segunda. Lê-se o conteúdo das obrigações, não o nome do pacote.
O que o seu marketing promete. É uma pergunta distinta da anterior e mais vezes o problema. Uma página que promete resposta a incidentes 24 horas e monitorização de segurança descreve um serviço diferente do contrato de atualizações que foi efetivamente assinado. Esse desencontro é um problema antes sequer de existir qualquer autoridade envolvida.
A sua dimensão em unidades de trabalho anuais e em volume de negócios, nos dois últimos exercícios fechados. Não no corrente, porque o que conta é a repetição em dois períodos.
Se algum dos seus clientes é entidade essencial ou importante. Isto não decide o seu estatuto, mas decide o que o cliente lhe vai exigir.
O que muda quando o cliente está abrangido
Mesmo não estando abrangido, algo muda na relação com um cliente que está. Entre os requisitos de gestão da segurança a lei enumera:
a segurança e a continuidade da cadeia de abastecimento de produtos TIC, serviços TIC e processos TIC de que depende a prestação do serviço, tendo em conta as relações entre o fornecedor direto de equipamento ou software e a entidade essencial ou importante
A tradução prática é muito concreta. Um cliente abrangido tem de conseguir demonstrar que domina a sua cadeia de abastecimento TIC. Se a loja ou o portal correm em WordPress administrado por alguém de fora, esse alguém é um elo da cadeia que tem de ser descrito.
A pergunta “fazem cópias de segurança” transforma-se numa pergunta sobre procedimento documentado, sobre tempo de reposição comprovado por um teste datado, sobre quem tem acesso à produção e o que acontece quando essa pessoa sai. A diferença está em que a garantia deixa de bastar, porque o cliente precisa de prova para o seu próprio processo.
Há nisto algo pouco óbvio para o fornecedor, e antes bom: não é uma nova obrigação legal do seu lado, é uma nova exigência contratual. Chega por contrato, negoceia-se como qualquer outra cláusula em vez de se receber como intimação.
Os seus dados num registo público
Um pormenor que surpreende à primeira leitura. O pedido de inscrição no registo de entidades essenciais e importantes contém, entre os dados da entidade, também:
a informação sobre a celebração de contrato com prestador de serviços geridos de cibersegurança (…) juntamente com os dados desse prestador, contendo o nome (firma) do prestador, a morada da sede, a morada para correspondência, o número de telefone e o endereço de correio eletrónico
Se um cliente abrangido subcontrata tarefas dessa área, os dados do fornecedor vão portanto parar a um registo mantido pelo ministério. Acresce que o artigo 7c número 3 exige pedido de alteração “no prazo de 14 dias a contar da alteração”, pelo que mudar de fornecedor arranca um relógio de catorze dias do lado do cliente.
Consequência prática para o fornecedor: convém saber se figura no registo de outrem, porque isso muda o significado de uma denúncia contratual comum. O pedido inclui declaração prestada sob responsabilidade criminal por falsas declarações, pelo que a direção da entidade tem forte motivo para manter os dados atualizados.
Prazos que correm de acontecimentos, não de uma data
Os prazos desta lei não são uma data no calendário, são relógios que os acontecimentos põem a andar. É por isso que este texto não caduca em nenhum dia concreto.
Seis meses para o pedido de inscrição, contados desde a verificação dos pressupostos:
Artigo 7c número 1. A entidade essencial ou a entidade importante apresentam o pedido de inscrição no registo no prazo de 6 meses a contar do dia em que se verificam os pressupostos do reconhecimento como entidade essencial ou importante.
Para as entidades que já preenchiam os pressupostos no dia da entrada em vigor, seis meses a contar de 3 de abril de 2026 caem no início de outubro de 2026. Uma empresa que preencha os pressupostos no ano que vem tem os seus próprios seis meses a contar da sua própria data.
Doze meses para as obrigações das entidades que preenchiam os pressupostos à data da entrada em vigor (artigo 33 número 1), ou seja até 3 de abril de 2027.
Vinte e quatro meses para a primeira auditoria das entidades essenciais (artigo 33 número 2), ou seja até 3 de abril de 2028.
Catorze dias para atualizar os dados do registo após cada alteração.
Fornecedor de alto risco, um mecanismo à parte
A lei contém um segundo mecanismo, que se confunde com o primeiro, funciona de modo diferente e atinge outra pessoa.
O ministro responsável pela digitalização pode instaurar procedimento “de reconhecimento de um fornecedor de equipamento ou software” como fornecedor de alto risco, para proteção da segurança do Estado ou da ordem pública. O efeito consta do artigo 67c: as entidades abrangidas não podem pôr em utilização os produtos, serviços e processos TIC visados pela decisão, e têm de retirar de utilização os já usados “no prazo máximo de 7 anos” após a publicação da decisão no jornal oficial. Para os operadores de telecomunicações o prazo é de 4 anos. A decisão é de execução imediata e não admite pedido de reapreciação.
Duas conclusões para um prestador de serviços. O mecanismo visa equipamento e software, não empresas de manutenção, pelo que uma agência não é o seu destinatário. E pode ainda assim atingi-la indiretamente e com força: se um componente sobre o qual assenta a solução de um cliente abrangido entrar numa decisão destas, a migração deixa de ser questão de orçamento e passa a ser prazo legal.
Na prática isso significa uma coisa, independentemente do estatuto jurídico: convém saber exatamente o que está na pilha tecnológica dos clientes de setores regulados, incluindo quem publica cada plugin e de onde vem o alojamento. Esse conhecimento custa uma tarde quando se escreve com calma, e bastante mais quando é preciso reconstituí-lo sob pressão.
Coimas, números do texto
Cito-os porque circulam arredondados, quase sempre para cima.
Para entidade essencial:
O montante da coima não pode exceder 10 000 000 euros (…) ou 2 % dos rendimentos obtidos pela entidade essencial na atividade económica no exercício anterior ao da aplicação da coima, aplicando-se o valor mais elevado. A coima não pode, porém, ser inferior a 20 000 zlótis.
Para entidade importante o teto é de 250 000 euros ou 1,4 por cento dos rendimentos, com um mínimo de 15 000 zlótis.
Duas notas mudam o quadro. Estes são tetos máximos, não taxas, e a lei liga a coima à gravidade da infração. E as coimas só começam a aplicar-se dois anos após a entrada em vigor, portanto depois de 3 de abril de 2028, pelo que o período atual serve para arrumar a casa e não para execução.
O que fazer neste trimestre
Trabalho que faz sentido independentemente do resultado da apreciação jurídica, e que custa pouco.
Leia os seus próprios contratos à procura de verbos. Interessa a que se obriga, não como se chama o pacote. “Atualizamos” e “fazemos cópias” é uma coisa. “Respondemos a incidentes de segurança”, “mantemos uma análise de risco”, “realizamos testes” é outra. Se os contratos dizem uma coisa e o site diz outra, é trabalho de uma tarde.
Faça a lista de clientes que possam ser entidades essenciais ou importantes. Hospitais, universidades, autarquias, empresas municipais, energia, transportes, banca e os seus fornecedores. Não precisa de decidir o estatuto deles, basta saber de onde virá o questionário.
Prepare aquilo que lhe vão perguntar de qualquer forma. Quem tem acesso à produção, como é retirado, onde estão as cópias, quando foram repostas pela última vez em teste e quanto tempo demorou, qual é o caminho de escalonamento fora de horas. Quatro páginas, não quarenta.
Defina quem é o dono desta apreciação. É pergunta para advogado e para a gerência, não para a equipa técnica. A preparação técnica faz sozinho, a qualificação jurídica não.
Há mais um requisito que vale a pena conhecer cedo, porque diz respeito a um hábito e não a uma compra. A lei obriga as entidades abrangidas a conservar a documentação de segurança do sistema de informação “pelo prazo mínimo de 2 anos a contar do dia da sua retirada de utilização ou do termo da prestação do serviço”, e a sua destruição é confirmada por auto de inutilização com data, descrição do modo de destruição e identificação de quem aprova. Soa a papelada e em parte é, mas traz uma consequência concreta para fornecedores: a documentação sobrevive ao contrato. Se, terminada a colaboração, o cliente não tiver nada para mostrar porque tudo vivia no sistema de tickets do fornecedor, o problema regressa, agora sem contrato.
A conclusão prática é banal. O que a manutenção produz, ou seja registo de alterações, resultados dos testes de reposição e lista de acessos, deve viver do lado do cliente e não apenas nas ferramentas do fornecedor. Para o fornecedor é proteção em caso de litígio, para o cliente é a condição de ter documentação própria.
O que esta lei não altera
Pelo equilíbrio, porque os textos sobre regulação tendem a inflacionar o seu alcance.
Não altera as regras dos dados pessoais. O RGPD aplica-se de forma independente e é ele, não esta lei, que rege a notificação de violações à autoridade de controlo. São dois regimes distintos com prazos distintos, e confundi-los produz notificações desnecessárias.
Não cria obrigação de certificação. No texto não há exigência de norma ISO nem de qualquer certificado concreto, há a exigência de ter e manter um sistema de gestão da segurança da informação. Um certificado pode ser prova cómoda, mas a lei não o impõe.
Não impõe obrigações diretamente a um fornecedor que não seja ele próprio entidade essencial ou importante. As exigências chegam-lhe pelo contrato com o cliente, o que é diferença relevante, porque contratos negoceiam-se.
O que este texto não resolve
Dito de forma direta, porque um texto com tantas citações confunde-se facilmente com um parecer jurídico, e não é.
Não resolve se a sua empresa está abrangida. Isso depende da redação dos contratos, da dimensão medida em unidades de trabalho anuais e das relações de participação com outras empresas, que desconheço.
Não resolve como uma autoridade vai traçar a fronteira entre a primeira e a segunda definição nos casos mistos, em que um contrato de manutenção contém um elemento de segurança. Essa fronteira será esclarecida pela prática, e prática ainda não existe, porque as coimas começam em 2028.
Não resolve como deve um fornecedor sediado fora da Polónia lidar com estas disposições. É questão de jurisdição e pertence a advogados que trabalham nos dois sistemas.
O próprio texto legal é público e tem 102 páginas na edição do jornal oficial. As citações acima vêm dele e não de resumos, e cada uma pode ser verificada procurando a expressão no ficheiro.
Fontes
- Lei de 23 de janeiro de 2026 que altera a lei sobre o sistema nacional de cibersegurança e algumas outras leis, jornal oficial de 2026, posição 252, texto publicado a 2 de março de 2026
- O diploma na base de dados ISAP
- Regulamento (UE) n.º 651/2014 da Comissão, anexo I, definição de PME, artigos 2, 4 e 5
Última verificação: 10 de agosto de 2026. Citações conferidas com o texto publicado no jornal oficial. As traduções da redação legal são minhas e o texto polaco é o que vale. Este artigo é informativo e não constitui aconselhamento jurídico.
