Notificação de incidentes ao abrigo da NIS2: 24 h / 72 h / 1 mês

A Diretiva NIS2 estabelece três prazos sequenciais para a notificação de incidentes significativos de cibersegurança. Deve enviar um alerta precoce no prazo de 24 horas após tomar conhecimento do incidente, seguido de uma notificação mais detalhada no prazo de 72 horas e, por último, de um relatório final completo no prazo de um mês. O contraste fundamental é com a notificação de violações no prazo de 72 horas prevista no GDPR, que constitui um prazo único e não um processo em três fases — confundi-los é um erro comum no exame.

Para evitar confusões, memorize a sequência como «alertar, explicar, concluir». O aviso no prazo de 24 horas é apenas uma comunicação preliminar que indica o impacto inicial, a notificação no prazo de 72 horas acrescenta a causa principal e os efeitos em curso, e o relatório no prazo de um mês abrange a investigação completa e as medidas de mitigação. Um truque de eliminação útil: se uma pergunta mencionar «relatório intercalar» ou «atualização», provavelmente não se refere à NIS2 — a NIS2 prevê apenas estas três fases fixas, não atualizações contínuas. Tenha também em conta que o prazo de 24 horas começa a contar a partir da «tomada de conhecimento», e não do incidente propriamente dito, pelo que deve estar atento a formulações como «detetado» em oposição a «ocorrido».

Para fixar a ordem, pense num alerta noticioso no prazo de 24 horas, numa informação detalhada no prazo de 72 horas e numa análise posterior no prazo de um mês. Teste-se recitando: «24 para o aviso, 72 para os pormenores, um mês para a história completa.» Se encontrar um prazo como 48 horas ou 14 dias, este provavelmente provém de outro regulamento, como o Regulamento Resiliência Operacional Digital (DORA) — assinale-o como elemento de distração.