Resumo rápido
O que é a NIS2
A NIS2 (Network and Information Security, segunda versão) é a diretiva europeia que fixa um nível comum e mais exigente de cibersegurança em toda a União Europeia. Substituiu a primeira Diretiva NIS (2016), que se aplicava a poucos operadores. A NIS2 alarga o âmbito a muito mais setores e organizações, impõe medidas mínimas de gestão do risco, obriga a notificar incidentes em prazos curtos e dá às autoridades poderes reais de fiscalização e sanção.
Como é uma diretiva, cada Estado-Membro teve de a transpor para a lei nacional. Em Portugal, essa transposição foi feita pelo Decreto-Lei n.º 125/2025, publicado a 4 de dezembro de 2025, que cria o novo Regime Jurídico da Cibersegurança, e foi concretizada pelo Regulamento n.º 756/2026 do CNCS, que define a plataforma, o quadro de referência e as medidas mínimas.
Duas ideias mudam a forma de pensar a cibersegurança numa organização abrangida: a responsabilidade passa para a gestão de topo (a administração aprova e supervisiona as medidas e responde por elas), e a cadeia de fornecimento passa a contar (é preciso gerir o risco dos fornecedores e prestadores de serviços).
Calendário e prazos
Da diretiva europeia à aplicação em Portugal, estas são as datas que importam:
- 16 jan. 2023Entrada em vigor da Diretiva NIS2. Começa o período de transposição pelos Estados-Membros.
- 17 out. 2024Fim do prazo de transposição. A diretiva original (NIS1) é revogada a 18 de outubro de 2024. Portugal ainda não tinha concluído a transposição nesta data.
- 4 dez. 2025Publicado o Decreto-Lei n.º 125/2025 (Regime Jurídico da Cibersegurança).
- 20 jan. 2026A Comissão Europeia propõe alterações específicas à NIS2 para simplificar a conformidade. A proposta segue o processo legislativo europeu; convém acompanhá-la.
- 3 abr. 2026Decreto-Lei n.º 125/2025 entra em vigor (120 dias após a publicação).
- 22–23 jun. 2026Regulamento n.º 756/2026 publicado e plataforma MyCiber em funcionamento. Arranca o registo e a autoidentificação das entidades.
- 15 set. 2026Fim do prazo de registo na MyCiber (60 dias úteis após o arranque da plataforma).
- +20 dias úteisResponsável de segurança e ponto de contacto permanente. Prazo contado desde a notificação de qualificação da entidade pelo CNCS.
- Até 24 mesesPeríodo transitório para as medidas mínimas de cibersegurança definidas no Regulamento. Confirme com o CNCS a data exata aplicável à sua entidade.
- 17 out. 2027Primeira revisão da diretiva pela Comissão Europeia.
Estimativa do CNCS: cerca de 6 000 entidades abrangidas em Portugal, contra cerca de 450 no regime anterior.
Empresas abrangidas
1. O critério de dimensão
Aplica-se, em regra, a organizações médias e grandes que operem nos setores abaixo, ou seja, com pelo menos 50 trabalhadores ou com volume de negócios anual e balanço anual superiores a 10 milhões de euros. Há exceções: certas entidades são abrangidas independentemente da dimensão, como os prestadores de serviços DNS, os registos de nomes de domínio de topo, os prestadores de serviços de confiança e os fornecedores de redes ou serviços de comunicações eletrónicas públicas, bem como entidades que sejam o único prestador de um serviço essencial num país.
2. Os setores
| Setores de importância crítica (Anexo I) | Outros setores críticos (Anexo II) |
|---|---|
| Energia (eletricidade, petróleo, gás, hidrogénio, aquecimento urbano) | Serviços postais e de estafeta |
| Transportes (aéreo, ferroviário, marítimo, rodoviário) | Gestão de resíduos |
| Setor bancário | Produtos químicos (fabrico, produção e distribuição) |
| Infraestruturas do mercado financeiro | Alimentação (produção, transformação e distribuição) |
| Saúde (incluindo fabrico de produtos farmacêuticos) | Indústria transformadora (dispositivos médicos, eletrónica, máquinas, veículos, outro equipamento de transporte) |
| Água potável e águas residuais | Prestadores digitais (mercados em linha, motores de pesquisa, redes sociais) |
| Infraestrutura digital (IXP, DNS, TLD, nuvem, centros de dados, redes e serviços de comunicações) | Investigação |
| Gestão de serviços TIC entre empresas (serviços geridos, serviços de segurança geridos) | |
| Administração pública e espaço |
3. Entidades essenciais e entidades importantes
Entidades essenciais
Em regra, as grandes entidades dos setores do Anexo I, os prestadores qualificados de serviços de confiança, os registos de domínios de topo e os prestadores de DNS. Têm supervisão ex ante e ex post: podem ser auditadas e inspecionadas mesmo sem incidente.
Entidades importantes
As restantes entidades médias do Anexo I e as entidades médias e grandes do Anexo II. A supervisão é apenas ex post, isto é, depois de indícios de incumprimento. As obrigações de segurança e notificação são as mesmas.
Em Portugal, o regime inclui ainda as entidades públicas relevantes (Grupos A e B, consoante a dimensão), que têm um regime sancionatório próprio e mais baixo.
4. E se não estiver diretamente abrangido?
Mesmo uma empresa fora do âmbito pode sentir a NIS2 pela cadeia de fornecimento: as entidades abrangidas têm de avaliar e controlar o risco dos seus fornecedores, e passam esses requisitos para os contratos. Se presta serviços TIC, de nuvem, de segurança ou de desenvolvimento a clientes europeus, é provável que lhe peçam evidências de segurança, cláusulas de notificação de incidentes e auditorias.
Requisitos e medidas
Governação (Artigo 20.º)
Os órgãos de gestão têm de aprovar as medidas de gestão do risco de cibersegurança, supervisionar a sua aplicação e responder por violações. Têm também de frequentar formação em cibersegurança e promover formação regular dos trabalhadores. Em Portugal, estas responsabilidades não podem ser delegadas fora do órgão de gestão, e os seus membros podem ser sancionados.
As dez medidas mínimas (Artigo 21.º)
As medidas têm de ser proporcionais ao risco, à dimensão e ao impacto da organização, e seguir uma abordagem que cubra todos os perigos. A diretiva exige, no mínimo:
- Análise de risco e políticas de segurança dos sistemas de informação.
- Gestão de incidentes: deteção, resposta e recuperação.
- Continuidade de negócio: cópias de segurança, recuperação de desastres e gestão de crises.
- Segurança da cadeia de fornecimento, incluindo a relação com cada fornecedor e prestador direto.
- Segurança na aquisição, desenvolvimento e manutenção de sistemas, com tratamento e divulgação de vulnerabilidades.
- Avaliação da eficácia das medidas de gestão do risco.
- Ciber-higiene básica e formação em cibersegurança.
- Criptografia e, quando adequado, cifragem.
- Segurança dos recursos humanos, controlo de acessos e gestão de ativos.
- Autenticação multifator ou contínua, comunicações seguras de voz, vídeo e texto e comunicações de emergência seguras.
Obrigações práticas em Portugal
- Registo e autoidentificação na MyCiber, com os dados da entidade, sempre atualizados.
- Responsável de segurança, ao nível da gestão e não subcontratável, e ponto de contacto permanente (que pode ser externo), designados após a notificação de qualificação.
- Análise de risco aplicada ao quadro de referência do CNCS, repetida pelo menos uma vez por ano ou quando o CNCS avisar de novas ameaças.
- Medidas mínimas do Regulamento n.º 756/2026, com níveis de conformidade, dentro do período transitório.
- Notificação de incidentes através da plataforma, nos prazos da diretiva.
- Revisão dos contratos com fornecedores e prestadores críticos.
Notificação de incidentes
Um incidente é significativo se causar perturbação operacional grave ou prejuízo financeiro para a entidade, ou se afetar outras pessoas causando danos materiais ou imateriais consideráveis. Nesse caso, a notificação segue três etapas:
Os prazos contam desde que a entidade toma conhecimento do incidente. Se o incidente continuar ao fim de um mês, entrega-se um relatório de progresso e o relatório final no mês seguinte ao tratamento. Em Portugal, a notificação faz-se pela plataforma do CNCS.
Supervisão e coimas
A diretiva fixa tetos mínimos para as coimas, que cada país transpõe. Os valores máximos europeus são:
| Tipo de entidade | Teto da coima (o valor mais alto) |
|---|---|
| Entidades essenciais | 10 000 000 € ou 2% do volume de negócios anual mundial |
| Entidades importantes | 7 000 000 € ou 1,4% do volume de negócios anual mundial |
Em Portugal (Decreto-Lei n.º 125/2025)
| Gravidade | Entidades essenciais | Entidades importantes |
|---|---|---|
| Muito graves (por exemplo, não cumprir as medidas de segurança ou os deveres de notificação) | até 10 M€ ou 2% | até 7 M€ ou 1,4% |
| Graves (por exemplo, falhas de qualificação ou registo) | até 5 M€ ou 1% | até 3,5 M€ ou 0,7% |
| Leves | até 45 000 € para entidades | |
Valores máximos. Aplica-se o montante mais elevado entre o valor fixo e a percentagem. As entidades públicas relevantes têm limites próprios mais baixos. Confirme os valores no diploma.
- Responsabilidade pessoal. Os membros do órgão de gestão podem ser sancionados, em casos de dolo ou negligência grave, e há coimas individuais próprias.
- Sanções acessórias. Além das coimas, as autoridades podem ordenar medidas corretivas e, nas entidades essenciais, suspender temporariamente funções de direção.
- Supervisão. O CNCS é a autoridade nacional; autoridades setoriais, como a ANACOM e as do setor financeiro, colaboram na fiscalização.
Como o fazemos
Ajudamos a sua organização a passar do “será que estamos abrangidos?” a um plano concreto e executável, em seis passos.
- Enquadramento. Verificamos se a organização é entidade essencial, importante ou está apenas na cadeia de fornecimento, e se o registo na MyCiber está feito.
- Análise de lacunas (gap analysis). Comparamos a situação atual com as dez medidas do Artigo 21.º e com o quadro de referência do CNCS.
- Plano de implementação. Priorizamos por risco e impacto, com responsáveis, prazos e orçamento.
- Políticas, processos e controlos. Redigimos e implementamos políticas, gestão de incidentes, continuidade e gestão de fornecedores.
- Formação e simulação. Formação para a administração e para as equipas, e exercícios de notificação de incidentes nos prazos de 24 h e 72 h.
- Verificação contínua. Testes técnicos, revisão anual da análise de risco e acompanhamento das alterações legais.
Perguntas frequentes
A minha PME está abrangida?
Depende do setor e da dimensão. Em regra, só entidades médias ou grandes dos setores dos Anexos I e II, mas há exceções por tipo de serviço. Pequenas e microempresas podem ser abrangidas se prestarem, por exemplo, comunicações eletrónicas, serviços de confiança ou registo de domínios. Fazemos esse enquadramento no diagnóstico inicial.
Sou fornecedor de uma empresa abrangida. Tenho de cumprir?
Não diretamente, mas os seus clientes são obrigados a gerir o risco da cadeia de fornecimento. Na prática, vão pedir-lhe evidências de segurança, cláusulas contratuais e, por vezes, auditorias. Estar preparado ajuda a manter e ganhar contratos.
O prazo de registo já passou. E agora?
Em Portugal, o prazo de registo na MyCiber terminou a 15 de setembro de 2026. Registe-se de imediato: o incumprimento do dever de registo é uma infração por si só, e o registo é o que desencadeia os restantes prazos, como o do responsável de segurança e o das medidas mínimas.
A norma ISO/IEC 27001 chega para cumprir a NIS2?
Ajuda muito, porque cobre grande parte da gestão do risco, mas não substitui a conformidade. A NIS2 tem requisitos próprios, como a notificação de incidentes em 24 h e 72 h, a responsabilidade da gestão e as medidas e o registo definidos em Portugal pelo CNCS.
A NIS2 aplica-se a empresas fora da União Europeia?
Aplica-se a entidades estabelecidas na UE e, para certos serviços digitais e infraestruturas, também a quem os oferece na UE sem estabelecimento aí (com representante designado). Para outras empresas fora da UE, o efeito é sobretudo contratual, através dos requisitos dos clientes europeus.
Qual a diferença entre a NIS2 e a DORA?
A DORA é um regulamento específico do setor financeiro, aplicável diretamente desde 17 de janeiro de 2025. As entidades financeiras abrangidas aplicam a DORA no que respeita à gestão do risco TIC e à notificação de incidentes. A NIS2 cobre os restantes setores críticos. Veja a página da DORA.
Fontes e nota legal
- Diretiva (UE) 2022/2555 (NIS2), EUR-Lex
- Comissão Europeia, Política NIS2
- Comissão Europeia, Perguntas frequentes sobre a NIS2
- CNCS, Regime Jurídico da Cibersegurança
- Regulamento n.º 756/2026, Diário da República