NIS2 e DORA em WordPress: o que um site tem de cumprir em 2026
Dois atos da UE definem em 2026 o que é exigido do lado da cibersegurança a um site WordPress que conduz uma atividade regulada na União: a Diretiva NIS2 (2022/2555) e o Regulamento DORA (2022/2554). Não são intercambiáveis. A NIS2 é uma diretiva com âmbito setorial alargado, transposta para o direito nacional. A DORA é um regulamento setorial (finanças) com aplicação direta. Ambos se aplicam a WordPress se e somente se a entidade que opera o site estiver no âmbito.
O artigo liga-se ao pillar de serviços headless WordPress, onde a camada técnica é descrita, e ao pillar sobre WCAG, BFSG e EAA, porque a conformidade de acessibilidade e a de cibersegurança aterram cada vez mais no mesmo pedido de aquisição.
TL;DR
- Prazo de transposição da NIS2: 2024-10-17. DORA aplica-se desde 2025-01-17.
- NIS2: 18 setores, divididos entre entidades essenciais e importantes.
- DORA: setor financeiro mais fornecedores críticos de TIC.
- Exigências: gestão de risco documentada, comunicação de incidentes (24/72/30), auditorias.
- O WordPress em si não está no âmbito; está a entidade que opera o site, se for regulada.
Três coisas a saber desde já
Primeiro, a NIS2 e a DORA aplicam-se à entidade, não à tecnologia. O WordPress não é “compliant” nem “non-compliant” enquanto CMS. Compliant ou não é a entidade que opera o site. Se um hospital, um banco, um fornecedor de cloud ou um operador de e-commerce acima do limiar estiver no âmbito, o seu site WordPress entra no âmbito como parte da infraestrutura da entidade.
Segundo, a transposição nacional da NIS2 está atrasada em vários Estados-Membros. O prazo de 2024-10-17 expirou, mas vários países encontravam-se em diferentes fases do processo legislativo após essa data. O estado da transposição varia entre os Estados-Membros; verifique a base de dados jurídica nacional relevante antes da auditoria final. Para o estado português, consulte o Diário da República; para o estado polaco, o projeto de alteração à lei sobre o sistema nacional de cibersegurança está publicamente disponível e o seu estado atual deve ser verificado em ISAP antes de qualquer auditoria final. O estado em 2026-04 exige análise jurídica separada; este artigo não substitui aconselhamento jurídico.
Terceiro, a DORA aplica-se diretamente. O regulamento não exige transposição. Se uma entidade financeira ou um fornecedor crítico de TIC operar um site WordPress, as obrigações da DORA aplicam-se desde 2025-01-17 independentemente do estado legislativo nacional.
NIS2: âmbito subjetivo
A Diretiva NIS2 lista 18 setores. Os casos mais comuns em que o WordPress entra no âmbito:
Entidades essenciais (essential entities):
- Energia (eletricidade, gás, petróleo, calor, hidrogénio).
- Transportes (aéreo, ferroviário, aquático, rodoviário).
- Banca.
- Infraestruturas dos mercados financeiros.
- Saúde (hospitais, laboratórios de referência, fabricantes de medicamentos, dispositivos médicos).
- Água potável e águas residuais.
- Infraestrutura digital (fornecedores de DNS, registos de domínio, fornecedores de cloud computing, prestadores de serviços de centro de dados, redes de distribuição de conteúdos, prestadores de serviços de confiança, fornecedores de redes públicas de comunicações eletrónicas).
- Gestão de serviços TIC (B2B).
- Administração pública (condições definidas no art. 2).
- Espaço.
Entidades importantes (important entities):
- Serviços postais e de correio expresso.
- Gestão de resíduos.
- Fabrico, transformação e distribuição de químicos.
- Fabrico, transformação e distribuição de alimentos.
- Fabrico nos setores: médico, informático e eletrónico, de máquinas, automóvel.
- Prestadores de serviços digitais (mercados em linha, motores de pesquisa, plataformas sociais).
- Organismos de investigação.
Limiar de base: empresa média (50+ trabalhadores ou volume de negócios anual ou balanço superior a 10 milhões EUR). Microempresas e pequenas empresas estão geralmente fora do âmbito, com exceções (por exemplo prestadores de serviços de confiança, registos de TLD, alguns fornecedores de DNS).
A entidade essencial tem obrigações mais estritas. A entidade importante tem os mesmos requisitos técnicos mas com supervisão menos intensiva.
DORA: âmbito subjetivo
A DORA aplica-se a cerca de 20 tipos de entidade financeira:
- Instituições de crédito.
- Instituições de pagamento.
- Instituições de moeda eletrónica.
- Empresas de investimento.
- Prestadores de serviços de criptoativos.
- Centrais de valores mobiliários.
- Contrapartes centrais.
- Plataformas de negociação (bolsas).
- Repositórios de transações.
- Empresas de seguros e resseguros.
- Mediadores de seguros e resseguros.
- Instituições de realização de planos de pensões profissionais.
- Agências de notação de risco.
- Auditores que auditam contas de entidades abrangidas pela DORA.
- Administradores de índices de referência críticos.
- Fundos de investimento (OICVM, AIFM).
- Prestadores de serviços de financiamento colaborativo.
- Repositórios de titularização.
Mais os fornecedores críticos de TIC terceiros (Critical ICT Third-Party Providers, CTPP) designados pela supervisão europeia. É o mecanismo pelo qual a DORA puxa parceiros de negócio para o seu âmbito, sem que estes se registem como entidade financeira.
Um WordPress operado por um banco, segurador ou fundo de investimento entra no âmbito da DORA como parte dos sistemas de TIC da entidade.
O que tem de ser feito em concreto: o núcleo comum
A NIS2 e a DORA partilham um núcleo convergente de exigências técnicas e organizacionais. Implementação em WordPress:
Gestão do risco cibernético. Registo de risco documentado, procedimento para avaliação e aceitação do risco, políticas de segurança aprovadas pelo órgão de gestão. São documentos, não apenas configuração do servidor.
Controlo de acesso e autenticação. Autenticação multifator (MFA) obrigatória para administradores WordPress. Palavras-passe fortes obrigatórias. Expiração de sessão obrigatória. Todas as contas de administrador devem ser nominais, não partilhadas.
Gestão de incidentes. Procedimento para deteção, classificação e comunicação de incidentes. Um incidente significativo na NIS2 é um com impacto significativo na prestação do serviço. Comunicação ao CSIRT ou autoridade competente em 24 horas após a deteção (alerta inicial), 72 horas com avaliação inicial, um mês com relatório final.
Segurança da cadeia de fornecimento. Um plugin WordPress, alojamento, CDN, fornecedor de email transacional, fornecedor de SMS, fornecedor de IA. Cada um faz parte da cadeia. É necessário um registo, avaliações de risco e cláusulas contratuais.
Continuidade do negócio e recuperação após desastre. Backup, plano de continuidade, recuperação após desastre, testados regularmente, não apenas executados.
Formação do pessoal. Exigida a nível do órgão de gestão e da organização em geral. Uma “apresentação interna” não basta; é necessário um plano de formação documentado.
Segurança dos processos de desenvolvimento e manutenção. Políticas de desenvolvimento de software, testes e gestão de vulnerabilidades. O core do WordPress é atualizado; os plugins também o devem ser, com um processo de testes em staging antes da produção.
Criptografia. Uma política de criptografia, incluindo TLS, cifragem de dados em repouso, assinaturas digitais. O WordPress não cifra a base de dados por defeito; a solução é cifragem ao nível do sistema de ficheiros ou da base de dados.
Específico da DORA: gestão de terceiros TIC
A DORA tem uma secção no capítulo V dedicada à gestão de terceiros TIC. Exige:
- Um registo de todos os contratos com fornecedores TIC.
- Classificação dos contratos (críticos, não críticos).
- Cláusulas contratuais obrigatórias em contratos com fornecedores de funções críticas.
- Procedimento de cessação com plano de migração.
- Testes de penetração orientados por ameaças (TLPT) pelo menos uma vez de 3 em 3 anos para entidades selecionadas.
Para o operador WordPress isto significa que o fornecedor de alojamento e os plugins críticos (security plugin, backup plugin, payment gateway plugin) entram no registo TIC.
Específico da NIS2: sanções e supervisão
A Diretiva NIS2 estabelece sanções administrativas que as transposições nacionais traduzem em montantes concretos. Os limites superiores na própria diretiva:
- Entidade essencial: até 10 milhões EUR ou 2 por cento do volume de negócios anual a nível mundial, consoante o que for mais elevado.
- Entidade importante: até 7 milhões EUR ou 1,4 por cento do volume de negócios anual a nível mundial, consoante o que for mais elevado.
As transposições nacionais podem introduzir limites próprios; a verificar na versão em vigor da lei na jurisdição relevante.
Sanções complementares: suspensão temporária da certificação, proibições temporárias do exercício de funções de direção para a pessoa responsável. Esta é a alteração mais marcante da NIS2: o órgão de gestão tem responsabilidade pessoal pela gestão do risco cibernético.
Mapa prático de implementação em WordPress
Quatro categorias de trabalho, uma auditoria:
Camada 1, infraestrutura. Alojamento conforme. Backup off-site. TLS 1.3. WAF. Monitorização 24/7 ou contrato com SOC. Política de atualização do core, themes, plugins.
Camada 2, aplicação. MFA para administradores. Palavras-passe fortes. Registo de todas as ações administrativas num fluxo separado. Anti-CSRF. Anti-XSS ao nível dos templates. Validação de input. Limite de tentativas de login.
Camada 3, organização. Políticas de segurança. Registo de risco. Plano de IR. Plano de BCDR. Registo de fornecedores TIC. Procedimento de comunicação de incidentes ao CSIRT/regulador. Formação.
Camada 4, documentação e auditoria. Documentação de processos. Registos de auditoria. Auditoria externa ou interna periódica. Retenção em conformidade com o RGPD.
O WordPress como CMS cobre cerca de 30 por cento dos requisitos técnicos “out of the box”, após hardening e plugins cerca de 60 por cento. Os restantes 40 por cento são organização, documentação e procedimentos.
Para a frente
Consequências práticas para a escolha da equipa que opera WordPress: uma agência que opera o site para uma entidade abrangida pela NIS2 ou pela DORA entra ela própria na cadeia de fornecimento. A nossa página de carreiras menciona jurisdição da UE e compliance como standard, porque é um filtro de aquisição em 2026.
Onde este artigo se encaixa
O artigo liga-se ao pillar de serviços headless WordPress (camada técnica), ao pillar sobre WCAG/BFSG/EAA (compliance de acessibilidade no mesmo scoreboard de aquisição), à página de carreiras WPPoland (sinal de jurisdição UE) e ao artigo sobre nearshore Polónia (jurisdição UE como valor para o comprador ocidental).
