Decreto-Lei n.º 125/2025 · Em vigor desde 3 de abril de 2026
NIS2 em Portugal: a lei já está em vigor. A sua empresa está preparada?
O novo Regime Jurídico da Segurança do Ciberespaço obriga milhares de empresas portuguesas a registar-se no CNCS, a designar um responsável de segurança e a notificar incidentes em 24 horas. As coimas chegam a 10 milhões de euros. A CyberScan trata de todo o processo, do diagnóstico à monitorização contínua.
Prazo de registo a decorrer. O registo das entidades abrangidas faz-se na plataforma MyCiber do CNCS, com um prazo de 60 dias úteis a contar de 23 de junho de 2026. Quem ainda não se qualificou está fora de prazo ou muito perto disso.
Linha do tempo
- 4 dez 2025
Publicação do Decreto-Lei n.º 125/2025
- 3 abr 2026
Entrada em vigor do Regime Jurídico da Segurança do Ciberespaço
- jun–set 2026
Qualificação e registo das entidades na plataforma MyCiber do CNCS
- abr 2027
Fim do período de adaptação: as coimas passam a ser aplicadas em pleno
- 2028
Prazo final para ter todas as medidas técnicas e organizativas implementadas
O que é o NIS2
A NIS2 é a Diretiva (UE) 2022/2555, a segunda diretiva europeia sobre segurança das redes e sistemas de informação. Substitui a NIS de 2016 e alarga drasticamente o número de empresas abrangidas, de algumas centenas de operadores críticos para milhares de organizações em 18 setores da economia.
Em Portugal foi transposta pelo Decreto-Lei n.º 125/2025, de 4 de dezembro, que aprova o Regime Jurídico da Segurança do Ciberespaço (RJC) e entrou em vigor a 3 de abril de 2026. A autoridade nacional é o CNCS — Centro Nacional de Cibersegurança —, com reguladores setoriais como a ANACOM, o Banco de Portugal e a CMVM a supervisionar os respetivos setores.
A diferença face ao passado é que a cibersegurança deixou de ser uma boa prática recomendada e passou a ser uma obrigação legal com prazos, registo obrigatório, fiscalização, coimas e responsabilidade pessoal dos gestores.
A sua empresa está abrangida?
A lei classifica as organizações em entidades essenciais, entidades importantes e entidades públicas relevantes. A classificação depende de dois critérios: o setor e a dimensão.
Entidades essenciais
Setores de alta criticidade
Energia, transportes, banca e infraestruturas do mercado financeiro, saúde, água potável e águas residuais, infraestruturas digitais, gestão de serviços TIC, administração pública e espaço.
Entidades importantes
Outros setores críticos
Serviços postais e de correio, gestão de resíduos, fabrico e distribuição de produtos químicos, produção e distribuição de alimentos, indústria transformadora (incluindo dispositivos médicos, eletrónica, máquinas, veículos), prestadores de serviços digitais (mercados em linha, motores de pesquisa, redes sociais) e organizações de investigação.
Critério de dimensão
Regra geral, ficam abrangidas as médias empresas (50 ou mais trabalhadores, ou volume de negócios anual superior a 10 milhões de euros) e as grandes empresas (250 ou mais trabalhadores, ou volume de negócios superior a 50 milhões de euros). Há, porém, entidades abrangidas independentemente da dimensão, como prestadores de redes e serviços de comunicações eletrónicas, prestadores de serviços de confiança, registos de nomes de domínio e várias entidades da administração pública.
O efeito cadeia de fornecimento
Mesmo que a sua empresa não esteja diretamente abrangida, se for fornecedora de uma entidade essencial ou importante vai passar a receber questionários de segurança, exigências contratuais e auditorias dos seus clientes. Na prática, o NIS2 desce toda a cadeia.
O que a lei obriga
Qualificar-se e registar-se no CNCS
Identificar se está abrangida, determinar a categoria e o nível de garantia, e registar-se na plataforma MyCiber.
Designar responsável de segurança e ponto de contacto
Um responsável de segurança das redes e sistemas de informação e um ponto de contacto permanente, disponível 24 horas por dia.
Análise de risco e política de segurança
Metodologia formal de gestão de risco e políticas de segurança da informação documentadas e aprovadas pela gestão.
Gestão e notificação de incidentes
Processo de deteção, resposta e notificação ao CNCS dentro dos prazos legais.
Continuidade de negócio
Cópias de segurança, recuperação em caso de desastre e gestão de crises.
Segurança da cadeia de fornecimento
Avaliar e controlar o risco de fornecedores e prestadores de serviços diretos.
Higiene informática e formação
Práticas básicas de segurança e formação obrigatória e periódica, incluindo para os membros dos órgãos de gestão.
Criptografia e controlo de acessos
Uso de cifra, autenticação multifator, gestão de acessos e comunicações seguras.
Inventário de ativos
Levantamento e manutenção do inventário dos ativos relevantes, a submeter dentro do prazo definido.
O regime prevê três níveis de garantia — básico, substancial e elevado — com um número crescente de medidas obrigatórias consoante a criticidade e a dimensão da entidade. O nível aplicável determina o esforço exigido.
Notificar um incidente: o relógio dos três tempos
24 horas
Alerta precoce
A partir do momento em que tem conhecimento de um incidente com impacto significativo, tem 24 horas para dar o primeiro alerta ao CNCS.
72 horas
Notificação
Avaliação inicial do incidente: gravidade, impacto e indicadores de compromisso.
1 mês
Relatório final
Descrição detalhada, causa, medidas de mitigação aplicadas e impacto transfronteiriço, se existir.
Sem um processo montado e testado, 24 horas passam antes de perceber sequer o que aconteceu.
Coimas e responsabilidade dos gestores
Entidades essenciais
10 milhões de euros
Até 10 milhões de euros ou 2% do volume de negócios anual mundial, consoante o valor mais elevado.
Entidades importantes
7 milhões de euros
Até 7 milhões de euros ou 1,4% do volume de negócios anual mundial, consoante o valor mais elevado.
Não é só a empresa
Além da coima, as autoridades podem impor ordens vinculativas, auditorias obrigatórias e a suspensão temporária de funções de gestão. Os membros dos órgãos de gestão podem ser responsabilizados pessoalmente pelo incumprimento, e a formação em cibersegurança da gestão é obrigatória por lei.
Até abril de 2027 decorre um período de adaptação em que as coimas não são aplicadas em pleno. Isso não suspende as obrigações — o registo, a designação do responsável e a notificação de incidentes já se aplicam hoje.
Como a CyberScan trata do NIS2
Fase 1
Diagnóstico e gap analysis
Verificamos se a sua empresa está abrangida, em que categoria e com que nível de garantia. Comparamos a situação atual com o que a lei exige e entregamos um relatório com o que falta, ordenado por prioridade e esforço.
Entregáveis: parecer de aplicabilidade, matriz de conformidade, plano de ação priorizado.
Fase 2
Implementação e documentação
Construímos o que falta: políticas de segurança, análise de risco, plano de continuidade e recuperação, gestão de vulnerabilidades, autenticação multifator, controlo de acessos e avaliação de fornecedores.
Entregáveis: pacote documental completo, políticas aprovadas, medidas técnicas implementadas.
Fase 3
Registo no CNCS e resposta a incidentes
Tratamos da qualificação e do registo na plataforma MyCiber, e montamos o processo de notificação de incidentes com os prazos de 24 horas, 72 horas e 30 dias — incluindo os modelos e a linha de decisão de quem faz o quê.
Entregáveis: registo submetido, procedimento de notificação, simulacro de incidente.
Fase 4
Monitorização contínua e formação
Monitorização permanente de ameaças, vigilância da dark web e de fugas de dados associadas ao seu domínio, gestão contínua de vulnerabilidades e a formação obrigatória para colaboradores e para os órgãos de gestão.
Entregáveis: monitorização 24/7, relatórios periódicos, formação certificada.
Cada empresa tem um ponto de partida diferente. O diagnóstico é gratuito e diz-lhe exatamente onde está.
Pedir diagnósticoPerguntas frequentes
Diagnóstico NIS2 gratuito
Diga-nos o setor e a dimensão da sua empresa. Em menos de 24 horas dizemos-lhe se está abrangida, em que categoria, e o que tem de fazer a seguir.
Falar pelo WhatsAppEsta página tem fins informativos e não constitui aconselhamento jurídico. Para o texto integral consulte o Decreto-Lei n.º 125/2025, de 4 de dezembro, e a informação oficial do CNCS em cncs.gov.pt. Os prazos operacionais são definidos por regulamento do CNCS e podem ser atualizados.