Penalidades SRI2: Compreendendo os riscos financeiros e legais

A Estrutura de Penalidades: Entidades Essenciais versus Entidades Importantes

A SRI2 estabelece um quadro de penalidades por níveis com base na classificação das entidades:

Entidades Essenciais

Multas administrativas máximas:

• 10.000.000 € (dez milhões de euros), ou
• 2% do volume de negócios anual total mundial do exercício financeiro anterior

Aplica-se o valor mais elevado.

Entidades Importantes

Multas administrativas máximas:

• 7.000.000 € (sete milhões de euros), ou
• 1,4% do volume de negócios anual total mundial do exercício financeiro anterior

Aplica-se o valor mais elevado.

Além das multas: o espectro completo dos poderes de fiscalização

As sanções financeiras são apenas uma das ferramentas à disposição da autoridade supervisora. A SRI2 concede às autoridades amplos poderes de execução, incluindo:

Para Entidades Essenciais (Supervisão Proativa)

• Auditorias regulares (programadas e ad hoc) realizadas por auditores qualificados
• Inspeções no local e verificações remotas de sistemas e controles
• Solicitações de documentação, políticas de segurança e evidências de controles
• Verificações de segurança para identificar vulnerabilidades em sistemas acessíveis ao público

Para ambos os tipos de entidades (supervisão reativa e fiscalização)

• Instruções vinculativas para corrigir as deficiências identificadas dentro dos prazos especificados.
• Ordens para implementar medidas de segurança específicas
• Proibição temporária de exercer funções de gestão (responsabilidade pessoal — ver abaixo)
• Divulgação pública de não conformidade (denúncia pública)
• Suspensão de certificações ou autorizações para operar
• Encaminhamentos criminais em que as infrações envolvem conduta intencional

Responsabilidade pessoal da administração: uma mudança significativa

Uma das inovações mais significativas da SRI2 é a disposição explícita relativa à responsabilidade pessoal da administração. Nos termos do artigo 20.º da diretiva:

• Os órgãos de gestão (conselhos, diretores, executivos) devem aprovar as medidas de gestão de riscos de segurança cibernética implementadas pela sua organização.
• A gerência deve participar de treinamentos para manter conhecimento suficiente para avaliar os riscos de segurança cibernética.
• Quando se constata que uma entidade infringiu as obrigações da SRI2 devido a uma falha de gestão, os gestores individuais podem ser responsabilizados pessoalmente.

Isso significa que as autoridades de supervisão podem:

• Aplicar multas individuais a diretores ou executivos
• Proibir temporariamente indivíduos específicos de exercer funções de gestão

Esta disposição foi especificamente concebida para garantir que a cibersegurança seja tratada como uma responsabilidade do conselho de administração — e não apenas uma preocupação do departamento de TI. Os CEOs, CFOs e membros do conselho de administração que ignorarem ou investirem insuficientemente em cibersegurança não poderão mais se proteger da mesma forma atrás das proteções corporativas.

Divulgação pública: Risco reputacional

Além das penalidades financeiras, a SRI2 autoriza as autoridades a divulgar publicamente as conclusões de não conformidade. Na prática, isso significa:

• Publicação das decisões de execução no site da autoridade
• Identificar a organização e descrever a natureza da violação
• Possível cobertura da mídia sobre ações significativas de fiscalização

Para organizações que dependem de sua reputação — serviços financeiros, saúde, serviços digitais —, os danos à reputação decorrentes da divulgação pública da aplicação da lei podem exceder em muito a própria penalidade financeira.

Fatores que influenciam a gravidade da penalidade

As autoridades nacionais avaliam as penalidades com base em vários fatores:

Fatores que aumentam as penalidades:

• Infrações repetidas
• Conduta intencional ou negligente (em vez de falha inadvertida)
• Não cooperação com as autoridades de supervisão
• Tentativas de ocultar incidentes ou obstruir investigações
• A dimensão e a duração da infração
• Lucro financeiro resultante da infração

Fatores que podem reduzir as penalidades:

• Cooperação imediata e proativa com as autoridades
• Correção rápida das deficiências identificadas
• Divulgação voluntária do incidente antes da detecção
• Compromisso comprovado com a conformidade e a melhoria
• Histórico de conformidade impecável
• Dimensão e recursos financeiros da entidade

O que desencadeia uma ação coercitiva?

As autoridades de supervisão podem iniciar a aplicação da lei com base em:

1. Relatórios de incidentes — Um incidente significativo desencadeia uma investigação para determinar se a organização possuía medidas de segurança adequadas em vigor.
2. Reclamações — Terceiros (incluindo usuários afetados ou outras organizações) podem relatar suspeitas de não conformidade.
3. Inspeções proativas — Para Entidades Essenciais, as autoridades realizam auditorias de rotina.
4. Coordenação transfronteiriça — Quando uma autoridade de outro Estado-Membro da UE identifica questões que afetam a sua organização
5. Denunciantes — Funcionários ou pessoas com acesso a informações privilegiadas que relatam falhas de conformidade.

Desenvolvendo um caso de negócios para investimento em conformidade

A estrutura de penalidades fornece a base para uma argumentação quantificada sobre riscos para a alta administração e os conselhos. Considere:

• Caso sua organização seja classificada como uma Entidade Essencial com faturamento global de € 100 milhões, a multa máxima é de € 2 milhões.
• Uma única violação significativa de dados pode custar muito mais do que € 2 milhões em resposta a incidentes, recuperação, honorários advocatícios e perda de negócios.
• Os danos à reputação decorrentes de uma decisão pública de aplicação da lei podem ser incalculáveis.
• A responsabilidade pessoal da administração cria um incentivo direto para que os executivos defendam a conformidade.

A questão não é "podemos investir na conformidade com a SRI2?" — mas sim "podemos nos dar ao luxo de não investir?"

O cronograma para a aplicação da lei em Portugal

Após a transposição em 4 de dezembro de 2025 pela Lei 125/2025, a CNCS e os reguladores do setor estão desenvolvendo sua capacidade de supervisão. Embora seja improvável que multas máximas sejam aplicadas imediatamente por desafios de conformidade transitórios, as organizações não devem presumir que existe um "período de carência". As ações de fiscalização ocorrerão após os incidentes, e as entidades mais bem posicionadas são aquelas que iniciaram programas de conformidade antes da ocorrência de um incidente.

Evitar penalidades: o caminho prático

A maneira mais eficaz de evitar penalidades SRI2 é:

1. Conheça sua classificação — Você é essencial ou importante?
2. Compreenda suas obrigações — As 10 medidas de segurança obrigatórias se aplicam a você.
3. Implementar e documentar — A comprovação da conformidade é o que protege você.
4. Relate incidentes imediatamente — O atraso ou a falta de relatório constituem, por si só, uma violação.
5. Envolva a administração — Inclua a segurança cibernética na agenda da diretoria imediatamente.

A conformidade proativa não é apenas uma obrigação legal — é uma gestão de risco empresarial sólida.