Introdução

Vivemos em um mundo altamente digital e conectado. Isso facilita a coleta de dados e criação de novas informações valiosas, mas, ao mesmo tempo, abre novas vulnerabilidades. Afinal, tudo o que é digital e interligado está potencialmente exposto a riscos de acesso indevido por terceiros.

Os riscos cibernéticos são, em 2026, a maior preocupação das empresas na Europa e a segunda maior no Brasil.¹ Para as empresas, existem diversos riscos: (1) os ataques cibernéticos podem comprometer os sistemas de informação da empresa, bloqueando ou prejudicando seu funcionamento operacional; (2) podem colocar em risco dados sensíveis de funcionários e clientes; (3) terceiros podem, por meio de ataques cibernéticos, roubar informações comerciais valiosas da empresa atacada; e (4) existem novos riscos inimagináveis até pouco tempo atrás, como, por exemplo, o data poisoning, que consiste na manipulação de bases de dados utilizadas para o treinamento de modelos de inteligência artificial através de ataques cibernéticos.

Nesse contexto, é importante destacar que, em um mundo altamente conectado e caracterizado por cadeias de fornecimento com inúmeros elos, um nível inadequado de cibersegurança não representa apenas um risco isolado para uma empresa. Uma proteção inadequada pode gerar riscos para diversas outras empresas ou até setores industriais inteiros.

Diante desse cenário, a União Europeia iniciou uma estratégia abrangente de cibersegurança por meio de diversos instrumentos legislativos, como a Network and Information Security Directive 2 (NIS2)², o Digital Operational Resilience Act (DORA)³, o Cyber Resilience Act (CRA)⁴ e o Cybersecurity Act (CSA)⁵. Essas normas criam novas obrigações para as empresas com o objetivo de estabelecer um nível adequado de proteção dos sistemas de informação e produtos digitais comercializados.

Como resultado dessa evolução normativa, consolida-se uma nova área jurídica de grande importância para a inovação e a competitividade das empresas: o Direito da Cibersegurança.

É importante observar que, tanto do ponto de vista legislativo quanto sob a ótica estratégico-empresarial, as novas leis mencionadas acima não podem ser tratadas isoladamente, mas sim em conjunto com outras normas que, em um contexto mais amplo, visam garantir a segurança de informações e de dados, como, entre outras, o General Data Protection Regulation (GDPR)⁶, o Data Act (DA)⁷ e a Trade Secrets Directive (TSD)⁸. A NIS2, por exemplo, menciona expressamente a proteção de segredos comerciais como um de seus objetivos principais. Ao mesmo tempo, as empresas têm um interesse inerente em manter um elevado nível de cibersegurança, não apenas para cumprir as novas exigências regulatórias, mas também para proteger dados pessoais de clientes e funcionários, bem como informações comerciais valiosas.

Níveis adequados de cibersegurança através da meta-regulação

No campo da cibersegurança, um dos grandes desafios consiste na atribuição dos ataques aos seus autores.⁹ Na maioria dos casos, é muito difícil identificar e/ou responsabilizar os agentes envolvidos nos ataques. Diante dessa realidade, leis que proíbem crimes cibernéticos (embora necessárias) mostram-se, por si só, pouco eficazes para proteger as empresas, garantir o funcionamento seguro dos sistemas de informação e assegurar a confiança da sociedade no ambiente digital.

Em razão disso, a Uniao Europeia passa a exigir que as próprias empresas implementem níveis adequados de cibersegurança, limitando-se a monitorar e fiscalizar essas ações. Esse modelo regulatório é conhecido como meta-regulação.¹⁰

As novas Leis de Cibersegurança

Network and Information Security Directive 2 (NIS2)

A NIS2 obriga as empresas por ela abrangidas a implementar níveis adequados de cibersegurança. Não se trata da primeira norma com esse objetivo, uma vez que já existia a NIS1. No entanto, a NIS2 apresenta um alcance significativamente mais amplo.

Enquanto a NIS1 abrangia apenas empresas de setores bastante específicos, a NIS2 amplia consideravelmente o seu âmbito de aplicação, passando a incluir um grande número de setores, como, entre outros, energia, transportes, saúde, espaço, gestão de resíduos, prestadores de serviços de computação em nuvem, prestadores de serviços digitais, gestão de serviços de tecnologia da informação e comunicação, produção e distribuição de produtos químicos, produção e distribuição de alimentos e a fabricação de produtos informáticos e eletrônicos, dispositivos médicos, máquinas, equipamentos e veículos.

Em regra, pequenas empresas que empregam menos de 50 funcionários e cujo volume de negócios anual ou balanço total não excede 10 milhões de euros estão excluídas dessas novas obrigações. Contudo, podem ser afetadas indiretamente na qualidade de fornecedoras de empresas abrangidas pela NIS2, que lhes impõem requisitos contratuais relacionados à implementação de medidas de cibersegurança. Além disso, determinados setores considerados críticos (como o de telecomunicações) estão sujeitos à diretiva independentemente do seu porte.

A NIS2 exige, entre outros, que as entidades abrangidas adotem medidas técnicas, operacionais e organizacionais adequadas e proporcionais para gerir os riscos relacionados à segurança dos sistemas de rede e informação utilizados em suas operações ou na prestação de seus serviços, bem como para impedir ou minimizar o impacto de incidentes nos destinatários dos seus serviços e noutros serviços (artigo 21 da NIS2).

Essa nova obrigação inclui expressamente a garantia da segurança da cadeia de suprimentos, exigindo que as empresas considerem e gerenciem riscos de cibersegurança nas relações com fornecedores. Assim, a NIS2 obriga as empresas a avaliar sua cadeia de suprimentos, implementar um sistema de gestão de riscos para a cadeia de suprimentos e concluir contratos com fornecedores para que estes também implementem medidas de cibersegurança.

Ademais, é importante destacar que a nova NIS2 estabelece a obrigação de notificar as autoridades competentes sobre incidentes cibernéticos relevantes (artigo 23 da NIS2).

A NIS2 entrou em vigor em 16 de janeiro de 2023. Por se tratar de uma diretiva, sua aplicabilidade depende de transposição para o direito nacional pelos Estados-Membros da União Europeia. A Alemanha, por exemplo, transpôs a NIS2 por meio da nova Lei Alemã de Segurança da Tecnologia da Informação, que entrou em vigor em 6 de dezembro de 2025.¹¹

Digital Operational Resilience Act (DORA)

No que se refere ao setor financeiro (incluindo bancos, seguradoras e prestadores de serviços relacionados a criptoativos), a matéria da cibersegurança é regulada pelo DORA, um regulamento específico da União Europeia que prevalece sobre a NIS2 e que tem como objetivo reforçar a resiliência operacional digital desse setor.

O DORA entrou em vigor em 16 de janeiro de 2023 e é aplicável desde 17 de janeiro de 2025. Por se tratar de um regulamento, não requer transposição para o direito nacional dos Estados-Membros da União Europeia.

É importante destacar que o DORA não se limita às entidades que atuam diretamente no setor financeiro, abrangendo também empresas que prestam serviços digitais essenciais a esse setor, como provedores de serviços de computação em nuvem.

Cyber Resilience Act (CRA)

Enquanto a NIS2 e o DORA se concentram na cibersegurança dos sistemas de informação das empresas, o CRA tem como objetivo a segurança de produtos digitais comercializados no mercado da União Europeia. Nesse sentido, a NIS2 e o CRA apresentam caráter complementar.

O CRA prevê que os fabricantes devem assegurar que os produtos conectados sejam concebidos, desenvolvidos e produzidos em conformidade com os requisitos essenciais de cibersegurança estabelecidos pelo regulamento. Nos termos do artigo 3, n.º 1, do regulamento, consideram-se produtos conectados os produtos de software ou hardware e as respetivas soluções de tratamento remoto de dados, incluindo componentes de software ou hardware colocados no mercado separadamente. É importante destacar que essa definição é bastante ampla, abrangendo, na prática, a grande maioria dos produtos digitais.

O CRA entrou em vigor em 10 de dezembro de 2024 e será aplicável a partir de 11 de dezembro de 2027. A partir dessa data, os produtos conectados que não cumprirem as novas exigências de cibersegurança não poderão ser comercializados no território da União Europeia.

Cyber Security Act (CSA)

Finalmente, as leis de cibersegurança são complementadas pelo CSA. O CSA criou um novo sistema de certificação de produtos, serviços e processos digitais, bem como regras relativas ao funcionamento da ENISA (Agência da União Europeia para a Cibersegurança). O regulamento entrou em vigor e é aplicável desde 27 de junho de 2019.

Proteção de Dados e Segurança de Dados

General Data Protection Regulation (GDPR)

Embora o GDPR, que entrou em vigor em 2018, tenha como objetivo principal a proteção dos direitos e liberdades fundamentais das pessoas (e não, em primeiro lugar, a cibersegurança), foi pioneiro ao estabelecer normas que exigem a adoção de medidas técnicas e organizacionais destinadas a impedir o acesso indevido a informações (digitais). Parte-se da premissa de que os direitos conferidos ao titular dos dados pessoais têm pouca efetividade na ausência de uma proteção técnica e organizacional adequada desses dados.

Nesse contexto, o artigo 5, n.º 1, alínea f), do GDPR estabelece que os dados pessoais devem ser tratados de forma a garantir a sua segurança, incluindo a proteção contra o tratamento não autorizado ou ilícito e contra a perda, destruição ou dano acidental, mediante a adoção de medidas técnicas ou organizativas adequadas (“integridade e confidencialidade”).

Por sua vez, o artigo 32, n.º 1, do GDPR determina que o responsável pelo tratamento e o subcontratante devem aplicar medidas técnicas e organizativas adequadas para assegurar um nível de segurança apropriado ao risco, tendo em consideração o estado da técnica, os custos de implementação, bem como a natureza, o âmbito, o contexto e as finalidades do tratamento, além dos riscos de probabilidade e gravidade variável para os direitos e liberdades das pessoas singulares.

Observa-se que o artigo 21 da NIS2, mencionado anteriormente, utiliza - ainda que em um contexto mais amplo - critérios semelhantes aos do GDPR, ao exigir a adoção de “medidas técnicas, operacionais e organizativas adequadas e proporcionadas”.

Data Act (DA)

O novo DA entrou em vigor em 11 de janeiro de 2024 e é aplicável desde 12 de setembro de 2025. O objetivo do DA é regular o acesso e a utilização de dados de forma justa e facilitar o compartilhamento de dados entre empresas e usuários. Assim, o DA visa a promover a inovação e a concorrência na economia de dados. A fim de alcançar esse objetivo, o regulamento impõe aos fabricantes de dispositivos conectados (dispositivos da Internet of Things, como automóveis, frigoríficos e máquinas industriais inteligentes, entre outros) a obrigação de disponibilizar os dados gerados automaticamente por esses dispositivos aos respectivos utilizadores. Assim, um utilizador de um automóvel conectado, por exemplo, tem direito ao acesso a todos os dados gerados automaticamente pelo veículo, como tempo de utilização, velocidade média e desgaste de peças, entre outros.

Embora o DA não tenha a cibersegurança como objetivo principal, ele menciona a segurança dos dados, pois, o legislador reconheceu que a partilha obrigatória de dados pode gerar riscos adicionais de acesso indevido por terceiros. Por esse motivo, o artigo 11 do DA prevê a obrigação de implementação de medidas técnicas e organizacionais destinadas a prevenir esse tipo de acesso não autorizado. Ademais, o artigo 32, n.º 1 do DA determina que prestadores de serviços de computação em nuvem devem adotar todas as medidas técnicas, organizacionais e jurídicas adequadas, incluindo medidas contratuais, para impedir que entidades governamentais de países terceiros acessem ou transfirem dados não pessoais detidos na União Europeia, sempre que tal acesso ou transferência seja suscetível a conflitar com o direito da União Europeia ou com o direito nacional do Estado-Membro aplicável

Proteção de Segredos Comerciais

Trade Secret Directive (TSD)

Ao tratar da cibersegurança, é importante considerar também a legislação relativa aos segredos comerciais. Em muitos casos, estes constituem os ativos mais valiosos de uma empresa, sendo, por conseguinte, essenciais para as suas operações e para a sua capacidade de inovação.

A TSD de 2016 protege os segredos comerciais e confere aos seus titulares direitos em caso de acesso ou utilização indevida por terceiros, de forma semelhante à proteção conferida aos titulares de marcas ou patentes. No entanto, essa proteção jurídica pressupõe que o titular do segredo comercial adote medidas adequadas de proteção (artigo 2, n.º 1 da TSD), o que inclui a implementação de medidas adequadas de cibersegurança.

Resumo

O novo Direito Europeu de Cibersegurança introduz múltiplas obrigações em matéria de compliance digital. No entanto, tais normas devem ser compreendidas pelas empresas no contexto mais amplo da segurança da informação. Um nível adequado de proteção é de elevado interesse para as empreses de todos os portes, uma vez que permite salvaguardar informações técnicas e comerciais valiosas contra acessos de terceiros, contribuindo assim para a manutenção da vantagem competitiva e para a proteção da inovação.

▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔

Notas

¹ Allianz Commercial, Allianz Risk Barometer 2026, Annual Report, January 2026. Disponível em: https://commercial.allianz.com/news-and-insights/reports/allianz-risk-barometer.html. Acesso a todas as fontes eletrônicas em 02 de agosto 2026.

² Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho de 14 de dezembro de 2022 relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União. Disponível em: http://data.europa.eu/eli/dir/2022/2555/oj.

³ Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho de 14 de dezembro de 2022 relativo à resiliência operacional digital do setor financeiro. Disponível em: http://data.europa.eu/eli/reg/2022/2554/oj.

⁴ Regulamento (UE) 2024/2847 do Parlamento Europeu e do Conselho, de 23 de outubro de 2024, relativo aos requisitos horizontais de cibersegurança dos produtos com elementos digitais. Disponível em: http://data.europa.eu/eli/reg/2024/2847/oj.

⁵ Regulamento (UE) 2019/881 do Parlamento Europeu e do Conselho, de 17 de abril de 2019, relativo à ENISA (Agência da União Europeia para a Cibersegurança) e à certificação da cibersegurança das tecnologias da informação e comunicação. Disponível em: http://data.europa.eu/eli/reg/2019/881/oj.

⁶ Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados. Disponível em: http://data.europa.eu/eli/reg/2016/679/oj.

⁷ Regulamento (UE) 2023/2854 do Parlamento Europeu e do Conselho, de 13 de dezembro de 2023, relativo a regras harmonizadas sobre o acesso equitativo aos dados e a sua utilização. Disponível em: http://data.europa.eu/eli/reg/2023/2854/oj.

⁸ Diretiva (UE) 2016/943 do Parlamento Europeu e do Conselho, de 8 de junho de 2016, relativa à proteção de know-how e de informações comerciais confidenciais (segredos comerciais) contra a sua aquisição, utilização e divulgação ilegais. Disponível em: http://data.europa.eu/eli/dir/2016/943/oj.

⁹ Wischmeyer, Informationssicherheitsrecht, Ius Publicum 317, p. 104.

¹⁰ Kronenberg, NIS2 und die Neuvermessung sicherheitsrechtlicher Verantwortung im europäischen Regulierungsgefüge, Recht Digital, 2026, 128, 133.

¹¹ Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen (BSIG), versão em alemão disponível em: https://www.gesetze-im-internet.de/bsig_2025/BJNR12D0B0025.html.

▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔▔

Autor:

David Emmerich