Na primeira parte vimos o diagnóstico: uma ameaça substancial, a inteligência artificial a encurtar a janela de defesa e uma média europeia de 71,53 em 100 no Índice de Cibersegurança. Nesta segunda parte olhamos para a resposta. O relatório bienal da ENISA, apresentado a 10 de novembro, propõe uma «bússola estratégica» com cinco direções para o ecossistema europeu e uma lista de recomendações dirigidas à Comissão, aos Estados-membros e à própria agência.
Em resumo: A ENISA propõe cinco direções: aplicar bem a legislação, sobretudo nos aspetos transfronteiriços; preparar uma resposta a crises com mais partilha de informação; reforçar as infraestruturas críticas conforme a sua importância; gerir os riscos das cadeias de fornecimento, incluindo os criados pela IA; e investir em competências e educação. Entre as recomendações estão o apoio prioritário às PME abrangidas pela NIS2, um modelo comum de notificação de incidentes e a subida das equipas de resposta a incidentes ao nível «estabelecido» em dois anos.
📄 Relatório completo: descarregar o 2026 Report on the State of Cybersecurity in the Union (PDF, 74 páginas, em inglês) no site da ENISA. Está também disponível uma versão condensada na página da publicação.
1. Passar da lei à implementação eficaz
A mensagem do relatório de 2024 mantém-se: o sucesso da legislação europeia depende da forma como é aplicada. Para a NIS2, a ENISA defende que se suavizem os aspetos transfronteiriços e de sobreposição entre leis, para que uma empresa com atividade em vários países encontre um ambiente coerente. As recomendações principais são:
- a ENISA deve apoiar a supervisão nacional, partilhando boas práticas e modelos de assistência mútua em casos transfronteiriços;
- a ENISA e o Grupo de Cooperação NIS devem dar prioridade às PME abrangidas pela NIS2 e aos operadores recém-identificados, com orientações e ferramentas;
- a Comissão deve acelerar uma abordagem comum ao tratamento de vulnerabilidades exigido por diferentes leis;
- o Grupo de Cooperação NIS deve estudar uma notificação de incidentes simplificada, por exemplo com um modelo comum baseado no da NIS2.
2. Uma capacidade operacional abrangente em crises
O plano europeu de gestão de crises cibernéticas de 2025 criou uma base para uma cooperação mais estruturada, sobretudo entre entidades públicas civis. Ainda assim, a ENISA identifica um risco estrutural: nem todos os atores têm a mesma capacidade, e continua a faltar uma visão comum e atempada da situação a nível europeu. Recomenda que os Estados-membros invistam nas equipas nacionais de resposta a incidentes (CSIRT) para que atinjam o nível de maturidade «estabelecido» nos próximos dois anos, que se clarifique o papel da rede EU-CyCLONe e que se construa uma consciência situacional comum, com uma taxonomia partilhada que integre informação da NIS2 e do Cyber Resilience Act.
3. Infraestruturas críticas: maturidade à medida da criticidade
A maturidade dos setores críticos está a melhorar, mas de forma desigual, e a ENISA avisa que a IA pode alargar o fosso entre eles. A conformidade legal é o principal motor de investimento para 70% das organizações inquiridas, embora muitas reconheçam ganhos que vão além disso: melhor identificação e mitigação de riscos (41%), deteção mais rápida de incidentes (35%) e melhor resposta e recuperação (26%). As áreas da NIS2 mais difíceis de cumprir são a gestão de vulnerabilidades e correções, a continuidade do negócio e a recuperação de desastres, e os riscos da cadeia de fornecimento.
Entre as recomendações: os Estados-membros devem exigir aos operadores de infraestruturas críticas que demonstrem, nas auditorias anuais, bases de confiança zero, capacidade de resposta a incidentes e procedimentos de escalamento para incidentes acelerados por IA, e devem responder às necessidades de competências das entidades essenciais e importantes, recorrendo ao quadro europeu de competências (ECSF).
4. Cadeias de fornecimento e dependências entre fronteiras
Os riscos da cadeia de fornecimento ganharam um peso que ultrapassa o plano técnico. As organizações dizem-se conscientes do problema, mas pouco preparadas. Há progressos: o número de Estados-membros com uma política nacional de divulgação coordenada de vulnerabilidades passou de 7 para 17 desde 2024. A ENISA recomenda reforçar a capacidade nacional para contribuir para avaliações de risco europeias, aproveitar a NIS2, o Cyber Resilience Act e o AI Act para gerir os riscos dos modelos de IA mais avançados, e tornar interoperáveis as bases de dados de vulnerabilidades, da EUVD europeia ao programa CVE.
5. Resiliência social: competências e educação
A última direção trata das pessoas. O relatório cita o Global Cybersecurity Outlook 2025 do Fórum Económico Mundial, segundo o qual o défice de competências em cibersegurança aumentou 8% desde 2024, e nota que a IA está a mudar a própria profissão. As recomendações incluem monitorizar o impacto da IA nas competências e adaptar os perfis profissionais, reforçar a cooperação entre escolas e empresas, incluir a cibersegurança no observatório europeu de competências, incentivar a certificação de competências e integrar a higiene digital nos currículos do ensino básico e secundário, em articulação entre as autoridades de cibersegurança e os ministérios da Educação.
O que significa para as organizações portuguesas
Três recomendações têm efeito direto em Portugal. A prioridade às PME abrangidas pela NIS2 deverá traduzir-se em mais orientações e ferramentas, uma necessidade evidente para quem ainda não sabe se está abrangido pelo Regime Jurídico da Cibersegurança (o nosso diagnóstico de legislação ajuda a perceber). A simplificação da notificação de incidentes interessa a todas as entidades sujeitas a várias leis em simultâneo, como a NIS2, o RGPD e o DORA. E a meta de equipas de resposta a incidentes «estabelecidas» em dois anos, tal como a aposta em competências, cruza-se com o investimento previsto no PTRR.
A ENISA resume o momento numa ideia: a UE mostrou vontade política e capacidade de cooperação, e agora precisa de acelerar, mantendo a rapidez e a flexibilidade à medida que as ameaças e a tecnologia evoluem.
Perguntas frequentes
Quais são as cinco direções propostas pela ENISA?
Passar a uma implementação eficaz da legislação; criar uma capacidade operacional abrangente em situações de crise; reforçar a resiliência das infraestruturas críticas; gerir os riscos e dependências das cadeias de fornecimento e entre fronteiras; e construir resiliência social de longo prazo através da sensibilização, das competências e da educação.
O que recomenda a ENISA para as PME?
Que a ENISA e o Grupo de Cooperação NIS deem prioridade ao apoio às PME abrangidas pela NIS2 e aos operadores recém-identificados, ajudando os Estados-membros a explicar as obrigações e a disponibilizar orientações e ferramentas.
Porque é que a conformidade legal é o principal motor do investimento?
Segundo o inquérito citado pela ENISA, 70% das organizações dos setores críticos indicam a conformidade como principal razão para investir em cibersegurança. Muitas reconhecem, porém, benefícios que vão além disso, como melhor identificação de riscos e deteção mais rápida de incidentes.
O que muda na notificação de incidentes?
A ENISA recomenda que o Grupo de Cooperação NIS estude formas de simplificar a notificação para entidades sujeitas a várias leis, por exemplo com um modelo comum baseado no da NIS2.
Esta informação tem caráter noticioso e baseia-se no 2026 Report on the State of Cybersecurity in the Union e no comunicado de imprensa da ENISA de 10 de novembro de 2026. Imagem de destaque: capa do relatório © ENISA, licença CC BY 4.0, adaptada ao formato 16:9.