Notificação de incidentes ao CNCS: prazos e como reportar

Quando um incidente de cibersegurança acontece, começa uma contagem decrescente. Com a entrada em vigor do Decreto-Lei n.º 125/2025, notificar as autoridades deixou de ser uma cortesia e passou a ser uma obrigação legal, com prazos apertados e etapas bem definidas. Saber exatamente o que reportar, a quem e em quanto tempo é hoje parte essencial de estar preparado.

Este artigo explica, de forma prática, quando uma empresa é obrigada a notificar um incidente, quais os prazos que a NIS2 impõe e como fazer o reporte sem entrar em pânico no pior momento possível.

O que é um incidente significativo

Nem todos os incidentes têm de ser notificados — só os que são considerados significativos. De forma geral, um incidente é significativo quando causa, ou é capaz de causar, uma perturbação operacional grave dos serviços ou prejuízos financeiros relevantes para a entidade, ou quando afeta outras pessoas ou organizações provocando danos materiais ou imateriais consideráveis.

Na prática, isto abrange situações como a indisponibilidade de um serviço essencial, o acesso não autorizado a sistemas críticos, um ataque de ransomware que cifra dados ou uma fuga de informação com impacto em clientes. A avaliação depende sempre do contexto, mas a regra de ouro é simples: na dúvida sobre a gravidade, trate o incidente como notificável e documente a sua decisão.

Quem tem de notificar e a quem

A obrigação recai sobre as entidades abrangidas pela NIS2, classificadas como essenciais ou importantes. Em Portugal, o ponto de contacto para o reporte é o Centro Nacional de Cibersegurança, através da sua plataforma eletrónica.

Com o Regulamento n.º 756/2026, essa plataforma — associada ao portal myciber.gov.pt — passou a operacionalizar tanto a autoidentificação das entidades como a comunicação de incidentes. É aí que o reporte é submetido e acompanhado.

Se ainda não tem a certeza se a sua empresa está abrangida, esse é o primeiro esclarecimento a obter, porque define se estas obrigações se aplicam a si e em que termos.

Os prazos que contam

Esta é a parte que apanha muitas organizações desprevenidas. A NIS2 não pede um único relatório — define uma sequência de comunicações com prazos distintos:

• ▰Alerta precoce: até 24 horas depois de a entidade ter conhecimento do incidente significativo. É uma primeira comunicação, ainda sem análise completa, a indicar que algo ocorreu.
• ▰Notificação do incidente: até 72 horas, com uma avaliação inicial mais detalhada — gravidade, impacto e, se conhecidos, indicadores de comprometimento.
• ▰Relatório final: no prazo de um mês após a notificação, com a descrição completa do incidente, as causas, as medidas aplicadas e o impacto real.

Pelo meio, a autoridade pode ainda solicitar relatórios intercalares de progresso. O importante a reter é que o relógio começa a contar a partir do momento em que a empresa toma conhecimento do incidente — não a partir do momento em que decide que é grave.

Como reportar na prática

O reporte é feito através da plataforma do CNCS. Para o fazer com rapidez sob pressão, convém ter à mão, desde já, alguns elementos: os dados de identificação e registo da entidade na plataforma, a descrição do serviço afetado, uma cronologia do que aconteceu e as medidas já tomadas.

Nas primeiras horas raramente se sabe tudo, e não é suposto saber. O alerta precoce serve exatamente para comunicar cedo, mesmo com informação incompleta; os detalhes vão sendo acrescentados nas etapas seguintes. Comunicar cedo e ir atualizando é sempre melhor do que esperar por ter a imagem completa e falhar o prazo.

Preparar-se antes de precisar

A pior altura para descobrir como se notifica um incidente é durante o incidente. As empresas que lidam bem com estas situações são as que prepararam o processo com antecedência: sabem quem decide, quem comunica, onde estão os contactos e que informação reunir.

Vale a pena ter um procedimento simples escrito e testado, com três elementos definidos: quem, dentro da organização, decide que um incidente é significativo; quem é responsável por submeter o reporte na plataforma; e que informação mínima é preciso reunir para as 24 e as 72 horas. Um pequeno exercício de simulação, uma vez por ano, revela as falhas do processo enquanto ainda há tempo para as corrigir.

Transformar a obrigação em capacidade

Cumprir os prazos de notificação não é apenas evitar sanções — é uma demonstração concreta de que a empresa gere a sua cibersegurança de forma responsável e que sabe reagir. Perante a supervisão, uma organização que notifica bem e a tempo demonstra diligência; uma que falha os prazos ou reporta mal levanta dúvidas sobre tudo o resto.

É precisamente esta preparação que trabalhamos na formação NIS2 para Empresas da CyberScan: um curso executivo online, em português, que percorre as obrigações do Decreto-Lei n.º 125/2025, incluindo a notificação de incidentes, os prazos e o papel dos órgãos de gestão, com um plano de ação prático. É a forma mais direta de dar à sua equipa a base para responder com confiança quando a contagem decrescente começar.

Este conteúdo é informativo e não constitui parecer jurídico. Confirme sempre os prazos, os critérios e os procedimentos na edição vigente da legislação e nas instruções do CNCS aplicáveis à sua organização.