NIS2 em Portugal: guia prático do Decreto-Lei 125/2025

Atualizado a 13 de outubro de 2026 · Equipa Ciberconforme

A NIS2 em Portugal é o Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025 e em vigor desde 3 de abril de 2026. Obriga mais de 5.000 entidades, sobretudo médias e grandes empresas de 18 setores, a registar-se no CNCS, aplicar medidas mínimas de cibersegurança e notificar incidentes graves.

O enquadramento legal

A NIS2 assenta em quatro peças. A diretiva europeia define a regra geral; o decreto-lei transforma-a em lei portuguesa; o regulamento do CNCS diz como cumprir; e a plataforma MyCiber é o canal oficial de comunicação.

Os anexos do Regulamento n.º 756/2026 são a base do trabalho de conformidade: o Anexo I é o QNRCS (Quadro Nacional de Referência para a Cibersegurança); o Anexo II é a Matriz de Risco, que atribui a cada entidade um nível de conformidade (básico, substancial ou elevado); o Anexo III lista as medidas mínimas para entidades essenciais e importantes; e o Anexo IV, as medidas para entidades públicas relevantes.

Quem está abrangido pela NIS2 em Portugal

Está abrangida, em regra, uma entidade que atue num setor listado e seja média ou grande empresa (50 ou mais trabalhadores, ou volume de negócios e balanço acima de 10 M€). Algumas entidades estão abrangidas independentemente da dimensão, como fornecedores de redes de comunicações, DNS, cloud ou serviços de confiança qualificados.

As entidades dividem-se em essenciais (em regra, grandes entidades do Anexo I, com supervisão preventiva e relatório anual), importantes (as restantes médias e grandes, com supervisão sobretudo depois de um problema) e públicas relevantes. A qualificação final é decidida pelo CNCS depois do registo na MyCiber.

Casos frequentes: empresas de táxis e colégios privados, em regra, não estão abrangidos pela NIS2. No transporte rodoviário só entram as autoridades que gerem o tráfego e os operadores de sistemas de transporte inteligentes.

O que as entidades abrangidas têm de fazer

1. Registar-se na MyCiber e autoidentificar-se, através do representante legal com Chave Móvel Digital ou Cartão de Cidadão.
2. Nomear um Responsável de Cibersegurança e um Ponto de Contacto Permanente e comunicá-los ao CNCS.
3. Notificar incidentes com impacto significativo pela MyCiber: notificação inicial (referência de 24 horas), notificação de fim do impacto e relatório final ou intercalar.
4. Comunicar e manter atualizada a lista de ativos acessíveis pela Internet.
5. Analisar periodicamente os riscos e os riscos residuais dos ativos que suportam os serviços.
6. Aplicar as medidas mínimas do seu nível de conformidade (Anexo III).
7. Garantir a segurança da cadeia de abastecimento, avaliando fornecedores e incluindo requisitos nos contratos.
8. Envolver a administração, que aprova a estratégia, supervisiona e recebe formação; as entidades essenciais entregam um relatório anual.

A certificação ISO/IEC 27001 ou a certificação de conformidade com o QNRCS (EC QNRCS) pode beneficiar de presunção de cumprimento das medidas aplicáveis.

Prazos da NIS2 em Portugal

Coimas e responsabilidade dos administradores

Em caso de negligência grave ou repetida, os membros dos órgãos de administração podem ser inibidos de exercer funções de gestão. A falta de registo na MyCiber é, por si só, uma contraordenação.

Como começar um projeto NIS2

1. Enquadramento: confirmar se a entidade está abrangida e fazer o registo na MyCiber.
2. Diagnóstico: comparar o que existe com as medidas do nível aplicável e listar as lacunas.
3. Ativos e risco: inventariar sistemas, dados e fornecedores críticos e analisar os riscos.
4. Plano de ação: transformar as lacunas em tarefas com prioridade, responsável e prazo, aprovado pela administração.
5. Implementação: políticas, controlos técnicos (como autenticação multifator e cópias de segurança testadas), contratos com fornecedores e formação.
6. Manutenção contínua: evidências, gestão de incidentes, revisão do risco e relatório anual, todos os anos.

Perguntas frequentes