Se vive na UE, três leis determinam a rapidez com que uma empresa tem de admitir que foi alvo de um ataque informático. Uma comparação de 2026 da NIS2, DORA e RGPD analisa o âmbito de aplicação, os prazos de incidente de 24 horas e 72 horas, coimas numa faixa de 10 a 20 milhões de euros, e quais os Estados-Membros que tinham tomado medidas até novembro de 2026. Este artigo traduz isso em linguagem simples. A versão curta da notificação de violações na NIS2, DORA e RGPD: os prazos são apertados, as sanções são elevadas, e as regras não se aplicam da mesma forma em todos os países.

O que os prazos de notificação de violações da NIS2, DORA e RGPD realmente significam

Os dois números que se destacam na comparação são 24 horas e 72 horas. São prazos que começam a contar quando uma organização tem conhecimento de um incidente grave. Não são promessas de que será informado no prazo de um ou três dias.

Na prática, estes prazos dizem sobretudo respeito à comunicação da empresa a uma autoridade reguladora ou de supervisão. Esse relatório inicial permite aos responsáveis ver se um ataque está a afetar várias organizações ao mesmo tempo. Um primeiro prazo mais curto (24 horas) significa geralmente um aviso prévio, enquanto um prazo mais longo (72 horas) deixa tempo para uma visão mais completa do que aconteceu. A comparação de origem não especifica todos os detalhes de como cada lei atribui os seus prazos, por isso consulte o texto oficial de cada regulamento ou a sua autoridade nacional para a formulação exata.

As três leis também abrangem áreas diferentes:

  • O RGPD diz respeito aos dados pessoais e aplica-se às organizações que tratam dados de pessoas na UE.
  • A NIS2 diz respeito à segurança das redes e sistemas de informação em setores considerados importantes para a sociedade.
  • O DORA diz respeito à resiliência operacional digital no setor financeiro.

Devido a esta sobreposição, um único incidente pode desencadear mais do que uma lei ao mesmo tempo. Um ciberataque a uma empresa financeira que exponha dados de clientes pode suscitar questões ao abrigo das três.

Quando uma empresa tem de o informar sobre uma violação: o que isto significa para si

É aqui que as expectativas precisam de ser ajustadas. Um prazo de 24 ou 72 horas não significa que a sua caixa de entrada se vá encher no dia seguinte. O primeiro relatório vai geralmente para as autoridades, e a notificação dos titulares afetados é um passo separado com as suas próprias condições. Essas condições dependem da lei em causa e da gravidade do risco para si.

O que pode razoavelmente retirar do quadro:

  • Os reguladores são os primeiros a saber. Espere que o prazo formal se aplique à comunicação à autoridade, não a um anúncio público.
  • Os avisos iniciais podem estar incompletos. Um primeiro relatório curto pode omitir a causa, a escala ou se os seus dados estavam envolvidos.
  • Os seus direitos decorrem principalmente do RGPD. É a lei centrada nos dados pessoais, por isso é a que deve consultar quando quer saber o que tem direito a ouvir.
  • O setor é importante. Se o seu banco, um prestador de serviços de pagamento ou um serviço essencial for afetado, as obrigações da NIS2 ou do DORA podem aplicar-se para além do RGPD.

Nada disto substitui a sua própria cautela. Mesmo um sistema de notificação bem gerido deixa uma lacuna entre um incidente e a sua notificação, por isso ajuda alterar palavras-passe, ativar a autenticação multifator e vigiar as suas contas para atividades invulgares assim que ouvir falar de uma violação.

Como se comparam as coimas da NIS2, DORA e RGPD

A comparação enquadra as sanções numa faixa que vai de 10 a 20 milhões de euros. Esse intervalo sinaliza a seriedade com que os legisladores encaram os prazos incumpridos e a segurança fraca. Não notificar a tempo é, por si só, uma falha de conformidade, separada da violação.

Uma ressalva quanto à precisão. O resumo de origem indica a faixa global, mas não uma divisão linha a linha que mostre qual lei fixa qual valor. Não vamos adivinhar os montantes por lei, porque as estruturas de sanções podem incluir limites máximos diferentes, percentagens do volume de negócios e escolhas de implementação nacionais. Para o DORA em particular, os detalhes podem depender da forma como cada Estado-Membro fixa as suas sanções. Se precisar de números exatos para uma lei específica, leia o próprio regulamento ou as orientações da sua autoridade nacional.

O que a faixa lhe diz é que os reguladores têm realmente poder. Para as empresas que têm de cumprir várias obrigações sobrepostas, um incidente mal gerido pode criar mais do que um problema de conformidade ao mesmo tempo.

Como verificar se o seu país da UE transpoz a NIS2 e o DORA

A comparação também acompanha quais os Estados da UE que tinham tomado medidas até novembro de 2026, o que é um lembrete de que as regras da UE nem sempre entram em vigor em todo o lado ao mesmo tempo. A NIS2 é uma diretiva, por isso cada Estado-Membro tem de a transpor para o direito nacional, e o progresso pode variar de país para país. Formas práticas de verificar a situação do seu:

  1. Pesquise a autoridade de cibersegurança do seu governo nacional. Normalmente publica o estado da legislação nacional da NIS2 e indica quem deve registar-se ou notificar.
  2. Consulte o seu regulador financeiro. Para o DORA, o supervisor financeiro nacional é a melhor fonte sobre como as regras se aplicam a bancos, seguradoras e empresas de pagamento.
  3. Verifique a sua autoridade de proteção de dados. Para o RGPD, explica como apresentar uma reclamação e que direitos de notificação tem.
  4. Leia os textos oficiais da UE. Os regulamentos e as diretivas são a palavra final sobre prazos e âmbito de aplicação.

Se o seu país tiver sido lento, isso não elimina o RGPD. Aplica-se em toda a UE há anos e continua a ser a sua ferramenta mais direta quando dados pessoais são expostos.

Principais conclusões

Compreender a notificação de violações na NIS2, DORA e RGPD resume-se a alguns pontos: os prazos de 24 e 72 horas regem sobretudo as comunicações aos reguladores, as coimas são substanciais e a transposição nacional varia. Reserve alguns minutos esta semana para consultar o estado da NIS2 e do DORA no seu próprio país e reveja os seus direitos ao abrigo do RGPD de ser informado e de reclamar junto da sua autoridade de proteção de dados.

Se quiser ver como um regime não pertencente à UE trata questões semelhantes, leia a nossa cobertura do Projeto de Lei de Resiliência da Cibersegurança do Reino Unido, que integra as infraestruturas críticas num quadro nacional formal e aborda as suas próprias obrigações de notificação de incidentes. Compará-lo com a abordagem da UE mostra como diferentes governos estão a convergir para uma divulgação de violações mais rápida e estruturada.