Lei cibernética neerlandesa: o que pode o cliente exigir?

Desde 15 de agosto de 2026 vigora nos Países Baixos a lei de cibersegurança, a transposição nacional das regras europeias NIS2. Se a sua empresa tem menos de cinquenta pessoas, provavelmente não é abrangido — e ainda assim pode em breve chegar-lhe à caixa de correio um questionário de um cliente com 'NIS2' no assunto. À volta desse questionário vende-se muito neste momento: certificados, formações, subscrições. Este artigo explica o que a própria lei diz sobre fornecedores, o que o seu cliente pode e não pode impor-lhe, quanto o Estado achou que isto lhe custaria, e quanto o mercado cobra hoje. Com os artigos da lei, para poder confirmar.

É o senhor abrangido?

Provavelmente não. A lei visa pouco mais de 8.000 organizações em setores designados, e o limiar está nos 50 trabalhadores ou 10 milhões de euros de volume de negócios ou de balanço. Não houve período transitório nem de tolerância: a obrigação entrou em vigor a 15 de agosto de 2026 e pronto.

Duas coisas são muitas vezes mal contadas. Primeiro, 15 de agosto é uma data de início e não um prazo — a partir desse dia a obrigação aplica-se; não é que algo tivesse de estar pronto. Segundo, a obrigação de registo só vale para as organizações abrangidas; registam-se em mijn.ncsc.nl com a identificação neerlandesa eHerkenning de nível EH2+, e têm de comunicar alterações em catorze dias. Se não for abrangido, não tem de se inscrever em lado nenhum.

Então porque é que o questionário lhe chega à mesma?

Porque o dever de diligência do seu cliente não acaba à porta dele. O regulamento de execução determina no artigo 10.º, n.º 2, que uma organização abrangida verifica se os seus fornecedores e prestadores diretos cumprem os requisitos de segurança — e há ali uma palavra que passa despercebida: a entidade 'controla isto periodicamente'.

Ou seja, não se preenche um formulário e fica-se despachado. Entra-se num ciclo que se repete. E o momento não é escolhido pelo senhor: normalmente numa renovação de contrato, num concurso, ou de repente, porque o departamento do cliente que trata disto tem um prazo próprio.

Não existe um questionário legal — e isso é uma escolha

Esta é a parte que mais surpreende os empresários. Não há questionário-padrão nacional para fornecedores nem obrigação legal de certificação. O artigo 7.º, n.º 5, estabelece que é o próprio cliente que define os requisitos de segurança, com base no seu próprio panorama de riscos. Dois clientes do mesmo setor podem, com toda a legitimidade, pedir-lhe coisas diferentes.

Não é descuido do legislador. Na consulta pública propôs-se tornar obrigatórios o rastreio de fornecedores e as auditorias de cadeia, e essa proposta foi expressamente rejeitada porque, segundo a exposição de motivos, 'levaria a um aumento da carga regulatória e a custos consideravelmente mais altos'. As portarias deixam o artigo da cadeia deliberadamente por concretizar.

Daí decorre algo prático. 'Cumprimos a NIS2' é um rótulo vazio para um fornecedor, porque enquanto fornecedor não há nada a cumprir. O que conta é conseguir responder às perguntas daquele cliente concreto com algo que possa mostrar.

A única coisa que a lei diz sobre fornecedores

Uma característica do fornecedor é nomeada explicitamente. O artigo 21.º, n.º 4, obriga as organizações a ter em conta a qualidade geral dos produtos e as práticas de cibersegurança dos seus fornecedores, 'incluindo os seus procedimentos de desenvolvimento seguro'.

Traduzido para a prática: se alguém constrói algo para si — um site, uma loja, uma ligação entre sistemas, uma automatização — então a forma como isso é construído faz parte da sua resposta ao cliente. É também o único ponto de que pode ter a certeza que voltará. Se se vai preparar para alguma coisa, prepare-se para isto:

• Quem tem acesso aos sistemas onde se trabalha com os dados do seu cliente, e como é retirado esse acesso quando alguém sai?
• Entra-se com verificação em duas etapas, e onde é que isso está escrito?
• Quem colabora a partir de fora da sua empresa, e o que foi acordado com essa parte?
• Existem cópias de segurança, e alguma vez se testou se é possível repô-las?
• O que acontece quando corre mal, e em que momento o seu cliente fica a saber?

Essa lista não lhe custa um certificado. Custa-lhe uma tarde, um documento com data e um nome, e a disciplina de o atualizar uma vez por ano.

O que a lei custa ao seu cliente — e o que do seu lado foi estimado em zero

Na exposição de motivos, o Estado neerlandês calculou ele próprio o custo para as empresas abrangidas: 142.000 euros por empresa e por ano, de forma estrutural, e 1,071 mil milhões de euros para as 7.550 empresas em conjunto. O grosso está no dever de diligência: 1.758 horas por ano a 63 euros à hora mais 30.646 euros de custos externos. Em tempo, é sensivelmente um posto a tempo inteiro, todos os anos.

E agora o interessante. O que esse cálculo não inclui é a fatura junto dos fornecedores. O organismo neerlandês que avalia a carga regulatória chamou a atenção para isso; a resposta na exposição de motivos é que se trata apenas de fornecedores relevantes para os sistemas da organização, 'pelo que a estimativa é que neste ponto a lei e o regulamento não causam maior carga regulatória'. A carga na cadeia está oficialmente estimada em zero.

Duas páginas antes, no mesmo documento, as empresas inquiridas dizem o contrário: as que trabalham muito por projeto com parceiros de cadeia esperam que celebrar acordos com essas partes passe a custar estruturalmente mais tempo, e o painel de PME consultado avisa que os fornecedores mais pequenos 'dificilmente conseguirão cumprir os requisitos'. Está lá escrito, no diário oficial, no mesmo documento.

O mercado já pôs preço nesse zero

A lei não impõe nenhum certificado de fornecedor, mas as confederações patronais neerlandesas MKB-Nederland e VNO-NCW criaram um através da sua iniciativa Samen Digitaal Veilig: NIS2 Supply Chain. Há um pacote inicial gratuito, e os níveis pagos começam nos 725 euros por ano e sobem com o número de trabalhadores. A auditoria externa não está incluída. As associações setoriais aderentes — 96 no total, entre elas as da instalação técnica, construção, transporte e metalurgia — dão desconto aos seus membros.

Com honestidade: um selo destes pode ser prático. Uma resposta reconhecível é melhor do que dez formulários diferentes, e o caminho até lá obriga-o a escrever coisas que já deveria ter escrito. Mas não é uma exigência legal, e ninguém lho pode impor invocando a lei. Em resumo: o legislador estimou os custos da cadeia em zero, e o mercado põe preço a essa mesma cadeia por fornecedor e por ano.

E depois a variante mais pesada, por vezes pedida: a ISO 27001. Todos os Países Baixos contam 1.568 certificados ISO 27001 válidos, incluindo cada banco, seguradora, multinacional e hospital (ISO Survey 2024). Para uma empresa com menos de cinquenta pessoas esse certificado é uma exceção, não uma norma. Vê-se no preço: só a auditoria custa a uma empresa pequena cerca de 4.000 a 12.500 euros no primeiro ano, mais 2.000 a 4.500 euros por ano de controlos intermédios.

Duas coisas vendidas como exigência legal que não o são

• 'Precisa de um certificado.' Não. A lei não prevê certificação obrigatória para fornecedores, e não existe uma norma que um fornecedor tenha de cumprir. Um selo facilita responder; não é condição de acesso.
• 'A formação do órgão de gestão tem de ser dada por uma entidade externa independente.' Esse requisito esteve no projeto e foi retirado. A exposição de motivos di-lo literalmente: o requisito de um formador independente foi eliminado após a consulta pública. A obrigação de formação mantém-se — vem da diretiva europeia — mas quem a dá é livre. E aplica-se à direção da organização abrangida, não a si como fornecedor.

O que pode mesmo fazer agora

• Percorra a sua lista de clientes e assinale quem será provavelmente abrangido: saúde, administração pública, energia, água, transportes, empresas maiores. É daí que vêm os questionários.
• Ponha o básico no papel: acessos, verificação em duas etapas, cópias de segurança, o que acontece num incidente e quem responde pelo quê. Cada documento com data e um nome.
• Acrescente quem colabora de fora nos seus sistemas e o que combinou com essa parte. É o único ponto que a lei nomeia expressamente.
• Responda sempre a um questionário remetendo para um documento. Uma resposta sem fonte é uma promessa; com fonte, é prova.
• Se não tiver alguma coisa, escreva-o com a data em que terá. Uma falha assumida com um plano vale mais do que um campo vazio — e mais do que uma promessa que não conseguirá cumprir na ronda seguinte.
• Só compre alguma coisa depois de ter recebido duas vezes a mesma pergunta. Aí sabe qual é, e não paga por uma resposta que ninguém pede.

E manter a calma também é permitido

Não há vaga de pânico, e isso mede-se. A percentagem de empresários neerlandeses que vê o cibercrime como risco (muito) elevado foi de 35% em 2023, 40% em 2024, 33% em 2025 e 37% em 2026 — o próprio estudo classifica esse último movimento como 'não significativo' (ABN AMRO/MWM2 Cybertrends 2026, n=777). Quatro anos planos. Quem lhe disser que o mundo mudou de repente está a vender-lhe alguma coisa.

Mas o risco de cadeia é real, e os Países Baixos viram um exemplo este ano. A 7 de abril de 2026 a ChipSoft foi atingida por um ataque de sequestro de dados — o fornecedor que gere os processos clínicos de cerca de 76% de todos os hospitais neerlandeses. Onze a quinze hospitais retiraram os seus portais de doentes da internet (fontes: security.nl e NOS, abril de 2026). O que importa não é o setor mas o mecanismo: a segurança própria de todas essas organizações podia estar impecável, e mesmo assim ficaram paradas. É por isso que o seu cliente lhe faz estas perguntas. Não por desconfiar de si.