Em resumo
A 19 de março de 2026 o Comité Europeu para a Proteção de Dados e a Autoridade Europeia para a Proteção de Dados adotaram um parecer conjunto sobre a proposta de Cybersecurity Act 2 e sobre as alterações específicas à diretiva NIS2. O pacote tinha sido publicado pela Comissão a 20 de janeiro de 2026, que no dia seguinte pediu formalmente o parecer nos termos do artigo 42.º, n.º 2, do Regulamento (UE) 2018/1725.
O balcão único, a parte que lhe diz respeito de cada vez
Em linha com o parecer conjunto sobre o Digital Omnibus, o Comité e a Autoridade apoiam a criação de um ponto de entrada único para a notificação de violações de dados pessoais, porque reduziria o encargo administrativo de quem notifica sem baixar o nível de proteção das pessoas.
Quem já geriu um incidente sabe porque isto conta. Hoje o mesmo evento pode desencadear a notificação à autoridade de proteção de dados em setenta e duas horas, a de cibersegurança noutro prazo, e nas entidades reguladas ainda outras comunicações: formatos diferentes, portais diferentes, campos que perguntam o mesmo com outras palavras, tudo nas horas em que se deveria conter o dano.
Os limites à ENISA
O parecer apoia o reforço do papel da Agência da União Europeia para a Cibersegurança e a difusão da certificação, e acolhe com agrado que o parecer da ENISA seja emitido a pedido prévio do Comité, mantendo as responsabilidades claramente divididas. Sugere acrescentar a Autoridade Europeia entre quem pode pedir esse parecer.
- Se o conselho de administração da ENISA adotar medidas para a aplicação do regulamento de proteção de dados, essas decisões devem limitar-se a pormenores muito técnicos, com consulta prévia da Autoridade
- O âmbito do quadro europeu de certificação da cibersegurança e a sua relação com a certificação do RGPD devem ser clarificados
- Antes de adotar um esquema de certificação relativo à segurança do tratamento, a ENISA deve consultar o Comité
- Os esquemas para produtos e serviços suscetíveis de serem usados em operações de tratamento devem ter em conta os controlos de segurança úteis para demonstrar a conformidade com o RGPD
A frase que vale a pena guardar
"Embora a cibersegurança apoie a proteção dos dados pessoais ao limitar os riscos de acesso, alteração ou indisponibilidade indesejados, é crucial garantir que os controlos de segurança sejam aplicados de modo a não comprometer os direitos e as liberdades fundamentais das pessoas."
É o argumento a usar quando um fornecedor propõe uma medida de segurança que recolhe muito mais do que o necessário: registo completo de teclas, câmaras sobre os postos de trabalho, inspeção do conteúdo das comunicações. A segurança não é um fundamento que absorve tudo o resto.
Sobre as alterações à NIS2
O Comité e a Autoridade acolhem com agrado a designação dos fornecedores de carteiras europeias de identidade digital e de carteiras europeias para empresas como «entidades essenciais». Tem consequências práticas: quem gerir essas carteiras entra no regime mais severo da diretiva.
Quanto às competências, o parecer recomenda que o quadro europeu de competências em cibersegurança não se limite aos profissionais do setor mas inclua também um perfil para o conjunto dos trabalhadores. Traduzido: a segurança não é o ofício de meia dúzia de pessoas dentro da empresa.
O que fazer com isto agora
O balcão único é uma proposta, não uma norma: hoje nada muda. O que pode fazer já é verificar se o procedimento de notificação dos seus clientes assenta numa só pessoa a preencher formulários diferentes para autoridades diferentes, e se essa pessoa tem à frente uma lista de quem deve ser avisado e em que prazo.
Procura uma ferramenta para o seu trabalho de EPD?
O DPO Workspace foi construído por um DPO certificado. 30 dias de experiência gratuita.
Começar gratuitamente
