Implementação NIS2 em 90 dias: o plano prático para empresas

Com o Decreto-Lei n.º 125/2025 já em vigor, muitas empresas fazem a mesma pergunta: por onde começar? A NIS2 traz dezenas de obrigações e, vista de uma só vez, parece um projeto interminável. Mas não tem de ser. Um plano de 90 dias bem estruturado permite sair da estaca zero, reduzir o risco mais urgente e chegar a um ponto onde a conformidade é gerida, e não improvisada.

Este artigo apresenta um roteiro prático de três fases — dias 0 a 30, 31 a 60 e 61 a 90 — que qualquer organização pode adaptar à sua realidade. O objetivo não é ter uma pasta cheia de documentos, mas uma empresa mais resiliente e capaz de demonstrar diligência.

Antes de começar: perceber se está abrangido

O primeiro passo não custa nada e evita trabalho desnecessário: confirmar se a NIS2 se aplica à sua organização e em que categoria — entidade essencial ou importante. O enquadramento resulta do setor de atividade e da dimensão da empresa, e determina a intensidade das obrigações e da supervisão.

Em Portugal, esta verificação e a autoidentificação das entidades passam pela plataforma eletrónica do Centro Nacional de Cibersegurança. Perceber cedo o seu enquadramento define a ambição do plano e os prazos que já estão a correr.

Dias 0 a 30: estabelecer controlo e visibilidade

O objetivo do primeiro mês é simples: deixar de estar às escuras. Antes de comprar tecnologia ou escrever políticas, é preciso saber o que se tem, quem é responsável e o que fazer quando algo corre mal.

As prioridades desta fase são três:

• ▰Âmbito e governação: validar a qualificação da empresa, nomear um responsável pela cibersegurança e um ponto de contacto, e aprovar uma cadência de reuniões de acompanhamento com a gestão.
• ▰Serviços e riscos: mapear os serviços críticos e as suas dependências, e selecionar os cenários de risco mais prováveis e de maior impacto.
• ▰Incidentes: definir um processo básico de deteção, triagem e escalada, com contactos claros, e realizar um primeiro exercício de simulação.

Um princípio útil para todo o plano: cada ação deve ter um verbo, um resultado verificável, um responsável, uma data e uma evidência. "Melhorar a segurança" não é uma ação. "Ativar a autenticação multifator em todas as contas de administração e apresentar relatório de cobertura" é uma ação verificável.

Dias 31 a 60: reduzir a exposição prioritária

Com visibilidade estabelecida, o segundo mês é para fechar as portas mais expostas — aquelas que um atacante exploraria primeiro. Nem tudo se resolve neste período, mas o risco mais agudo deve ficar controlado.

O foco recai sobre:

• ▰Identidade e vulnerabilidades: reforçar o controlo de acessos, ativar a autenticação multifator, rever contas privilegiadas e corrigir as falhas mais críticas e exploráveis.
• ▰Cópias de segurança e continuidade: testar de facto a recuperação de um serviço a partir de backups, e não assumir que funciona só porque existe.
• ▰Fornecedores críticos: identificar os terceiros de quem a empresa depende, pedir evidência das suas práticas de segurança e negociar a correção das lacunas mais graves.

É importante separar as ações rápidas das mudanças estruturais. Algumas lacunas corrigem-se em dias; a segmentação de redes, a substituição de sistemas antigos ou a renegociação de contratos podem exigir meses. O plano de 90 dias serve para criar controlo e patrocínio da gestão para esse trabalho de longo prazo — não para o concluir todo.

Dias 61 a 90: provar eficácia e institucionalizar

O terceiro mês transforma o esforço num processo permanente. Aqui prova-se que as medidas funcionam e garante-se que o trabalho continua depois do projeto inicial.

As prioridades finais são:

• ▰Métricas e evidência: criar um painel simples com os indicadores essenciais e um índice que ligue cada requisito à respetiva prova, pronto a apresentar numa auditoria.
• ▰Formação por função: capacitar a administração, as equipas técnicas, as operações e as compras — cada grupo sobre aquilo que lhe compete. A obrigação de formação da NIS2 inclui, de forma expressa, os órgãos de gestão.
• ▰Revisão de gestão: reunir a administração para avaliar o progresso, os riscos residuais aceites de forma consciente, os recursos necessários e o ciclo seguinte.

No final destes 90 dias, a cibersegurança deixou de ser um conjunto de tarefas soltas e passou a ser um ciclo de gestão: identificar, proteger, detetar, responder e recuperar, repetidamente, apoiado em decisões e evidências.

O que não se resolve em 90 dias — e não faz mal

Convém ser realista. Um plano de 90 dias não torna uma empresa perfeitamente conforme, nem elimina todo o risco. A NIS2 é um regime de melhoria contínua, e a supervisão não espera perfeição — espera medidas adequadas e proporcionais, decisões documentadas e capacidade de reagir a lacunas.

O que estes três meses entregam é o mais difícil de conseguir: sair da paralisia, ganhar controlo sobre o essencial e criar o ritmo de gestão que sustenta tudo o resto. As empresas que falham não são, na maioria, as que fizeram pouco — são as que nunca começaram de forma organizada.

Como acelerar a implementação

Executar este plano é mais rápido quando as pessoas certas percebem o que a lei exige e como decidir. Foi com esse objetivo que criámos a formação NIS2 para Empresas da CyberScan: um curso executivo online, em português, que percorre exatamente este roteiro — enquadramento do Decreto-Lei n.º 125/2025, obrigações dos órgãos de gestão, gestão de risco, notificação de incidentes e um plano de ação de 90 dias, com quizzes e certificado de conclusão. É a forma mais direta de dar à equipa a base necessária para implementar com confiança.

Se ainda não confirmou o enquadramento da sua empresa, comece por aí, com o verificador de aplicabilidade NIS2 disponível no nosso site. A partir daí, os 90 dias começam a contar a seu favor.

Este conteúdo é informativo e não constitui parecer jurídico. Valide sempre a edição vigente da legislação e da regulamentação aplicável à sua organização.