A NIS2 parou à porta do supermercado

Na madrugada de 2 de novembro, sete lojas Intermarché em Portugal viram as suas câmaras frigoríficas fugir ao controlo. Não foi avaria. Foi a segunda vaga de um ataque informático aos sistemas de refrigeração que, numa só noite, atingiu cadeias como Delhaize, Carrefour, Colruyt, ICA, Coop ou SuperValu em cerca de uma dúzia de países europeus, três semanas depois de centenas de supermercados franceses terem sofrido o mesmo entre 11 e 12 de outubro, com perdas que o presidente executivo do Intermarché estimou em dezenas de milhões de euros. O Grupo Mosqueteiros apressou-se a garantir que "a cadeia de abastecimento não foi afetada". Lida por um jurista, a frase é uma confissão involuntária: o armazém, que a lei protege, ficou intacto; a loja, que a lei ignora, ficou a aquecer.

O problema tem morada certa. A Diretiva (UE) 2022/2555, a NIS2, inclui no Anexo II o setor da produção, transformação e distribuição de alimentos, mas apenas quanto às empresas do setor alimentar que se dediquem à distribuição por grosso e à produção e transformação industriais. O retalho ficou de fora, e não por interpretação criativa: a autoridade finlandesa de segurança alimentar, que supervisiona a NIS2 nesse setor, escreve sem rodeios que o comércio a retalho não integra o âmbito de aplicação. Portugal transpôs a diretiva pelo Decreto-Lei n.º 125/2025, de 4 de dezembro, que produz efeitos desde abril de 2026, e densificou-a no Regulamento n.º 756/2026, de 22 de junho. Resultado prático: dentro do mesmo grupo empresarial, a central de distribuição é entidade importante, com deveres de gestão de risco, notificação de incidentes e responsabilidade pessoal dos gestores, enquanto o hipermercado ao lado, onde o consumidor efetivamente compra a comida, é juridicamente invisível.

Esta exclusão não caiu do céu. A proposta da Comissão abrangia a distribuição alimentar em sentido amplo, precisamente para evitar ruturas de abastecimento em caso de ciberataque. Em novembro de 2021, a EuroCommerce, a Independent Retail Europe, a SMEunited, a HOTREC e a Serving Europe pediram às instituições europeias que isentassem as médias empresas de distribuição alimentar, sustentando que um ataque não afetaria a produção e que o consumidor teria sempre alternativas locais. O legislador europeu comprou o argumento e mediu a criticidade pela quota de mercado de cada operador isolado. Foi um erro de método. No ciberespaço, o risco sistémico não nasce da dimensão de uma loja, nasce da dependência comum: milhares de lojas de insígnias concorrentes usam os mesmos controladores, os mesmos integradores e os mesmos prestadores de telemanutenção. Quem compromete um fornecedor não ataca um supermercado, ataca o frio de um continente numa só noite.

Os factos técnicos confirmam-no. O alerta CERTFR-2026-ALE-012 da agência francesa identificou compromissos em série de controladores remotos de refrigeração das famílias Danfoss AK-SM e AK-SC e Copeland/Dixell XWEB. Na Bélgica, a empresa que gere os sistemas da Delhaize confirmou que os atacantes passaram os evaporadores para modo de descongelação; na Estónia, as temperaturas foram levadas a 50 graus. A Danfoss alegou que os equipamentos visados corriam software desatualizado, um grupo italiano admitiu que os seus estavam ligados a velhas redes 4G e, em Portugal, o próprio comunicado aponta para um prestador externo responsável pela gestão do frio. Ora, segurança da cadeia de abastecimento, gestão de vulnerabilidades, gestão de ativos, controlo de acessos e autenticação multifator são, quase palavra por palavra, as medidas que o artigo 21.º, n.º 2, da NIS2 impõe às entidades abrangidas, nas alíneas d), e), i) e j). A lei tinha a resposta certa. Simplesmente não a dirigiu a quem precisava dela.

Convém ser rigoroso, porque é isso que se exige a um jurista. Não foi a NIS2 que pirateou os frigoríficos, e até hoje ninguém reivindicou os ataques. Mas o direito existe para alterar comportamentos, e a ausência de dever jurídico produz exatamente o comportamento que vimos: a refrigeração tratada como manutenção e não como segurança, entregue ao departamento de instalações, fora do perímetro do responsável de cibersegurança. Pior ainda é o vazio de notificação. Uma entidade abrangida tem de enviar um alerta precoce no prazo de 24 horas após tomar conhecimento de um incidente significativo, nos termos do artigo 23.º. Uma loja não tem dever nenhum. Entre 12 de outubro e 2 de novembro passaram três semanas, o modo de atuação era público e a segunda vaga atingiu o mesmo tipo de equipamento. Um regime que obrigasse o retalho a gerir o risco e a reportar teria, no mínimo, convertido o aviso francês num dever de agir em toda a União. A omissão normativa não criou os atacantes, mas preparou-lhes o terreno.

Dir-se-á que a malha não é assim tão larga. É verdade que um grupo retalhista pode entrar na NIS2 por outras portas, através do seu braço grossista, de serviços digitais prestados a terceiros ou do fornecimento de energia, e que alguns dos atingidos estariam, por essa via, dentro do perímetro. Mas a qualificação recai sobre a entidade jurídica e a atividade relevante, não sobre a loja enquanto tal, e é na loja que estão as arcas. Dir-se-á também que os fabricantes estão cobertos pelo Regulamento de Ciber-Resiliência. Estão, mas as suas obrigações principais só se aplicam a partir de dezembro de 2027 e não alcançam os milhares de controladores antigos já instalados. Temos, assim, um duplo buraco: o equipamento legado escapa ao regulamento dos produtos e o operador que o explora escapa à diretiva das entidades. A Diretiva relativa à resiliência das entidades críticas, aprovada no mesmo dia que a NIS2, repete a mesma lógica grossista. O frio do supermercado ficou órfão de três regimes de uma só vez.

A contradição chega a ser embaraçosa. A mesma União que, logo após a segunda vaga, qualificou os ataques como uma tentativa deliberada de perturbar o abastecimento alimentar europeu é a que decidiu, por lei, que o ponto final desse abastecimento não é crítico. E não há desculpa de impotência nacional: a NIS2 é uma diretiva de harmonização mínima e o seu artigo 5.º permite aos Estados-Membros adotar ou manter disposições que assegurem um nível de cibersegurança mais elevado. O legislador português pode, e deve, aprovar uma alteração cirúrgica ao Decreto-Lei n.º 125/2025 que inclua o retalho alimentar de média e grande dimensão, pelo menos quanto à gestão de risco dos sistemas de tecnologia operacional que asseguram a cadeia de frio e quanto ao dever de notificação ao Centro Nacional de Cibersegurança. Em Bruxelas, a revisão da diretiva, que a Comissão tem de apresentar até 17 de outubro de 2027 nos termos do artigo 40.º, não pode deixar o Anexo II como está.

Durante anos discutimos a cibersegurança como assunto de bancos, hospitais e centrais elétricas. Os ataques de outubro e novembro lembraram que a segurança alimentar de um cidadão acaba numa prateleira refrigerada a quatro graus, não num cais de carga. Uma lei que protege o camião e esquece a arca frigorífica não é uma lei de resiliência, é uma lei de conveniência, desenhada à medida de quem fez pressão para não ser incomodado. Os atacantes encontraram a fresta que o Anexo II deixou aberta. Está na hora de o legislador a fechar.

Desde o início que ando a dizer e escrever que esta lei tem tantos buracos como um queijo suíço.