Descrição:

Introdução da categoria de empresa de média capitalização mais pequena (small mid-cap), definida na Recomendação (UE) 2025/1099 da Comissão. A proposta não altera os limiares de inclusão na NIS2: o efeito é que as small mid-caps passam a ser classificadas como entidades importantes e não como entidades essenciais, ficando sujeitas ao regime de supervisão mais leve.

Critérios de elegibilidade:

• Menos de 750 trabalhadores
• Volume de negócios anual até 150 milhões de euros ou balanço total anual até 129 milhões de euros

Benefício:

Segundo a Comissão Europeia (perguntas e respostas do pacote de 20 de janeiro de 2026), a reclassificação reduz os custos de conformidade de cerca de 22.500 empresas na União Europeia, que deixam de estar sujeitas à supervisão prévia aplicável às entidades essenciais.

Descrição:

Criação, no Digital Omnibus de 19 de novembro de 2025, de uma plataforma única operada pela ENISA para notificação de incidentes de cibersegurança: um só portal centralizado através do qual a entidade cumpre várias obrigações de notificação; os prazos e o conteúdo exigidos por cada regime mantêm-se.

Benefício:

Permite submeter uma única notificação, que a plataforma encaminha para as autoridades competentes de cada regime; não harmoniza prazos nem conteúdos. Regimes abrangidos:

• NIS2 (Diretiva de Cibersegurança)
• RGPD (Proteção de Dados Pessoais)
• DORA (Resiliência Operacional Digital Financeira)
• CER (Resiliência de Entidades Críticas)
• eIDAS (Identificação Eletrónica e Serviços de Confiança)

Descrição:

Clarificação e simplificação das regras que determinam qual a autoridade competente responsável quando uma entidade opera em múltiplos Estados-Membros da União Europeia.

Benefício:

Reduz ambiguidade e conflitos de jurisdição, facilitando a vida às empresas multinacionais. Define critérios claros para determinar:

• Qual a autoridade nacional que supervisiona a entidade
• Como funcionam os mecanismos de coordenação transfronteiriça
• Regras de "one-stop-shop" para empresas com operações pan-europeias
• Procedimentos de resolução de conflitos de jurisdição

Descrição:

A Agência da União Europeia para a Cibersegurança (ENISA) terá um papel mais forte na coordenação de entidades que operam transfronteiras (proposta de 20 de janeiro de 2026) e na gestão do Single Entry Point (Digital Omnibus).

Novas responsabilidades específicas:

• Apoio à supervisão transfronteiriça de entidades que operam em múltiplos Estados-Membros e à assistência mútua entre autoridades nacionais
• Gestão do Single Entry Point (SEP) para notificações unificadas
• Coordenadora entre autoridades nacionais competentes
• Facilitadora de partilha de threat intelligence
• Provedora de orientações técnicas harmonizadas

Novas regras detalhadas para reporte de ataques de ransomware, que vão além dos requisitos de notificação já previstos na NIS2 atual. Nem todos os elementos são reportados automaticamente na notificação — alguns só mediante pedido:

Na notificação (art. 23.º n.º 12 proposto):

• Deteção do ataque
• Vetor de ataque utilizado
• Medidas de mitigação aplicadas

Mediante pedido do CSIRT ou da autoridade competente (art. 23.º n.º 13 proposto):

• Se o resgate foi pedido e por quem
• Se o resgate foi pago e o montante
• Meio de pagamento e destinatário

Onde a Comissão Europeia adoptar atos de execução (implementing acts), os Estados-Membros não podem adicionar requisitos nacionais extra.

Objetivo: prevenir a fragmentação regulatória e simplificar a conformidade para organizações que operam em múltiplos países.

A ENISA terá responsabilidades acrescidas de supervisão e coordenação a nível europeu:

• Apoio à supervisão transfronteiriça de entidades transfronteiriças e à assistência mútua entre autoridades nacionais (a supervisão continua a cargo das autoridades nacionais)
• Gestão do Single Entry Point (SEP) para notificações unificadas

Novos requisitos de segurança para toda a cadeia de fornecimento de tecnologias de informação e comunicação, incluindo hardware e software.

Complementa a NIS2 ao abordar a segurança dos produtos e serviços ICT utilizados pelas entidades essenciais e importantes.

Esquemas de certificação de cibersegurança mais robustos a nível europeu, com reconhecimento mútuo entre Estados-Membros.

Baseia-se no quadro de certificação europeu de cibersegurança já existente e expande a sua abrangência e aplicabilidade.

Nova modalidade de certificação ao nível da entidade (não apenas ao nível do produto), permitindo às organizações certificar a sua postura global de cibersegurança.

As organizações poderão obter certificação pelo seu nível global de cibersegurança, complementando a certificação de produtos e serviços já existente.