Formação NIS2 obrigatória: o que a lei exige (e à administração também)
Com o Decreto-Lei n.º 125/2025, a formação em cibersegurança passou a ser obrigação legal — e inclui os órgãos de gestão. Saiba o que a lei exige e como cumprir de forma demonstrável.
A entrada em vigor do Decreto-Lei n.º 125/2025 mudou uma coisa que muitas empresas ainda não perceberam: a formação em cibersegurança deixou de ser uma boa prática opcional e passou a ser uma obrigação legal. E, ao contrário do que se pensa, essa obrigação não se dirige apenas à equipa de informática — abrange toda a organização, incluindo os órgãos de gestão.
Este artigo explica, em linguagem clara, o que a lei exige em matéria de formação, a quem se aplica, e como uma empresa pode cumprir esta obrigação de forma demonstrável.
O que muda com o Decreto-Lei n.º 125/2025
O Decreto-Lei n.º 125/2025 transpõe para Portugal a Diretiva (UE) 2022/2555, conhecida como NIS2. Foi publicado a 4 de dezembro de 2025 e entrou em vigor a 3 de abril de 2026, 120 dias depois. Mais tarde, o Regulamento n.º 756/2026 veio operacionalizar a plataforma eletrónica do CNCS, a autoidentificação das entidades e o Quadro Nacional de Referência para a Cibersegurança.
Para muitas organizações, a maior novidade é o alcance. A NIS2 alarga o número de setores e de empresas abrangidos e trata a cibersegurança como uma matéria de gestão empresarial supervisionada, e não apenas como um assunto técnico. Entre as medidas exigidas está, de forma expressa, a capacitação das pessoas.
A formação passou a ser uma obrigação — para toda a organização
O ponto que apanha muitos gestores de surpresa é este: a obrigação de formação inclui os membros dos órgãos de gestão. A lei parte de um princípio simples — quem aprova decisões e orçamentos de cibersegurança e supervisiona a sua execução tem de compreender o risco que está a gerir.
Na prática, isto significa duas frentes de formação distintas:
Por um lado, a formação de sensibilização de todos os colaboradores, para que reconheçam tentativas de phishing, protejam credenciais e saibam reportar um incidente. É a camada que nenhum software instala: a esmagadora maioria dos incidentes começa numa ação humana.
Por outro lado, a formação dos órgãos de gestão e das funções-chave — administração, responsáveis de TI, risco, compras e continuidade — sobre obrigações, decisões esperadas, notificação de incidentes e responsabilidade. Não basta que a empresa dê formação; tem de conseguir demonstrar que a deu e que ela foi eficaz.
Porque é que o incumprimento é caro
A NIS2 não trata a formação como uma formalidade porque as consequências do incumprimento são sérias. Para as entidades classificadas como essenciais, as coimas podem chegar aos 10 milhões de euros ou 2% do volume de negócios anual mundial, consoante o valor mais elevado. Para as entidades importantes, os limites podem atingir os 7 milhões de euros ou 1,4%.
Mas o argumento mais forte para agir não é o medo da coima. É a continuidade do negócio: um ataque bem-sucedido pode parar sistemas, interromper vendas, expor dados de clientes e obrigar a notificações às autoridades em prazos apertados — 24 horas para a notificação inicial de um incidente significativo. Uma equipa treinada é a diferença entre conter um incidente na primeira hora e descobri-lo tarde de mais.
Formação não é o mesmo que certificação
Convém esclarecer um mal-entendido comum. Concluir uma formação NIS2 demonstra capacitação e pode integrar o dossiê de evidências da organização, mas não certifica, por si só, a conformidade da empresa com a NIS2. A conformidade resulta da aplicação efetiva, documentada e supervisionada de todas as medidas aplicáveis — a formação é uma delas, não o todo.
Ainda assim, é uma das medidas mais fáceis de implementar e das que mais reduzem risco a curto prazo. E é uma das que a supervisão vai querer ver evidenciada: plano de formação, conteúdos, participantes, resultados e melhoria.
Como cumprir a obrigação de formação de forma demonstrável
Para transformar esta obrigação numa evidência sólida, uma organização deve conseguir mostrar quatro coisas: um plano de formação por função e risco; conteúdos alinhados com o regime português; registo de quem participou e concluiu; e uma medição de eficácia — não apenas presenças, mas mudança de comportamento.
Foi para responder exatamente a esta necessidade que criámos a formação NIS2 para Empresas da CyberScan: um curso executivo online, em português, que cobre o enquadramento legal do Decreto-Lei n.º 125/2025, as obrigações dos órgãos de gestão, a gestão de risco, a notificação de incidentes e um plano de ação de 90 dias. Cada módulo tem vídeo narrado e um quiz, e cada participante recebe um certificado de conclusão com validação pública — pronto a integrar o dossiê de evidências da empresa. Pode conhecer o curso e os planos na secção de formação do nosso site.
Não sabe se a sua empresa está abrangida?
Antes de qualquer formação, o primeiro passo é perceber se a NIS2 se aplica à sua organização e em que categoria. Preparámos um verificador de aplicabilidade NIS2 gratuito, disponível na página NIS2 do nosso site, que, em poucas perguntas, indica se a empresa está abrangida, quais as obrigações e os prazos que já estão a correr.
A NIS2 não vai desaparecer, e as pesquisas por conformidade aumentam à medida que as auditorias se aproximam. As empresas que tratam a formação como um passo concreto de conformidade — e não como uma caixa a assinalar — são as que vão conseguir demonstrar diligência quando for preciso.
Este conteúdo é informativo e não constitui parecer jurídico. Valide sempre a edição vigente da legislação e da regulamentação aplicável à sua organização.