LEGAL
NIS2 em Portugal: novas regras de cibersegurança para as empresas
Com a entrada em vigor do novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025), inspirado na Diretiva Europeia NIS2, muitas empresas passam a ter novas responsabilidades na proteção dos seus sistemas e dados. A cibersegurança deixa de ser apenas uma preocupação do departamento de informática, tornando-se um tema estratégico de gestão e risco empresarial.
Neste artigo explicamos, de forma simples, o que muda e o que os gestores devem confirmar.
Artigo publicado em 12/08/2026
1) Mas primeiro...o que é a NIS2?
A NIS2 é uma diretiva da União Europeia cujo objetivo é reforçar a cibersegurança das organizações que prestam serviços essenciais ou desempenham um papel importante na economia.
Em Portugal, esta diretiva foi transposta através do Decreto-Lei n.º 125/2025, que estabelece as novas regras aplicáveis às entidades abrangidas. O objetivo é simples: reduzir o risco de ciberataques, aumentar a resiliência das organizações e garantir uma resposta mais rápida quando ocorre um incidente de segurança.
2) Decreto-Lei VS Regulamento: qual é a diferença?
É normal existir alguma confusão, uma vez que foram publicados dois diplomas diferentes.
O Decreto-Lei n.º 125/2025 entrou em vigor a 3 de abril de 2026 e define as regras gerais:
- Obrigações;
- Sanções;
- Entidades abrangidas;
- Deveres das organizações.
Posteriormente, foi publicado a 22 de junho de 2026, o Regulamento do Regime Jurídico da Cibersegurança que explica como essas obrigações devem ser cumpridas na prática. Neste regulamento encontramos, por exemplo:
- Como funciona a plataforma MyCiber;
- Procedimentos de reporte;
- Níveis de conformidade;
- Quadro Nacional de Referência para a Cibersegurança (QNRCS);
- Medidas mínimas de cibersegurança;
- Modelos de comunicação às autoridades.
3) Que empresas estão incluídas?
A NIS2 aplica-se, sobretudo, a organizações que operam em setores considerados críticos, como por exemplo saúde, energia, água, transportes, banca, infraestruturas digitais, administração pública ou telecomunicações.
As entidades podem ser classificadas como:
- Entidades Essenciais: contam com, pelo menos, 250 funcionários ou receitas superiores a 50 milhões de euros, dentro de certos setores de atividade;
- Entidades Importantes: têm entre 50 e 249 funcionários ou receitas superiores a 10 milhões de euros, dentro de certos setores de atividade.
Existem ainda situações específicas em que empresas de menor dimensão podem ficar sujeitas ao regime, dependendo da natureza da atividade em que operam. É o caso, por exemplo, de organizações que sejam o único fornecedor de um serviço essencial dentro de um Estado-Membro, prestadores de serviços de comunicações eletrónicas ou entidades ligadas à gestão de nomes de domínio.
A MyCiber disponibiliza um simulador oficial para verificar, de forma rápida, se a sua entidade está sujeita ao regime de cibersegurança.
Deve ter em conta que, mesmo fora do âmbito direto, clientes e parceiros que estejam abrangidos podem passar a exigir conformidade equivalente como condição contratual.
4) O que muda na prática?
As empresas abrangidas pela NIS2 passam a ter novas responsabilidades relacionadas com a gestão da cibersegurança, entre elas destacam-se:
Gestão do risco
As organizações devem identificar os riscos associados aos seus sistemas de informação e implementar medidas adequadas para os reduzir. A gestão do risco passa a ser um processo contínuo, integrado na estratégia da empresa.
Gestão de fornecedores
As empresas passam também a ter de avaliar os riscos associados aos seus fornecedores e prestadores de serviços.
Medidas de cibersegurança
O novo regime exige a adoção de medidas técnicas, organizacionais e operacionais para proteger os sistemas e a informação, por exemplo: controlo de acessos, backups, gestão de vulnerabilidades, planos de recuperação e resposta a incidentes.
Plataforma MyCiber
É a plataforma eletrónica disponibilizada pelo Centro Nacional de Cibersegurança (CNCS) em que passam a ser efetuadas as comunicações obrigatórias como:
- Registo das entidades;
- Comunicação do responsável de segurança;
- Reporte de incidentes;
- Envio de documentação obrigatória;
- Comunicação anual prevista na legislação.
Obrigação de notificação de incidentes
Se acontecer um incidente relevante de cibersegurança, este deve ser comunicado ao Centro Nacional de Cibersegurança (CNCS), através da plataforma MyCiber, , seguindo este cronograma:
- Até 24 horas: enviar um alerta inicial, indicando se o incidente é grave e a possível origem;
- Até 72 horas: atualizar a informação e apresentar uma primeira avaliação do impacto;
- Até 1 mês: enviar um relatório final com as causas do incidente e as medidas corretivas aplicadas.
5) A sua empresa está preparada?
| Prazo | Obrigação | Artigo |
|---|---|---|
| 20 dias úteis após qualificação | Nomear o responsável de cibersegurança | Artigo 31º |
| 20 dias úteis após qualificação | Designar um ponto de contacto permanente | Artigo 32º |
| 15 setembro 2026 | Verificar junto do CNCS se a empresa está abrangida pelo Regime Jurídico da Cibersegurança | Artigo 8º |
| 15 setembro 2026 | Registar a empresa na plataforma MyCiber | Artigo 35º |
| 23 junho 2028 | Cumprir medidas de cibersegurança, gestão da cadeia de abastecimento, risco residual e relatório anual | Artigos 27º a 30º |
| Preparação | Rever as medidas de cibersegurança atualmente implementadas | |
| Preparação | Confirmar a existência de uma metodologia formal de gestão do risco | |
| Preparação | Avaliar os riscos associados a fornecedores e prestadores de serviços | |
| Preparação | Definir procedimentos internos para notificação de incidentes |
6) O que acontece em caso de incumprimento?
As empresas podem ser alvo de medidas por parte das autoridades competentes, entre as principais consequências estão:
- Obrigação de corrigir situações de incumprimento;
- Implementação de medidas resultantes de auditorias de segurança;
- Coima desde 2.000€ até 10.000.000€ ou 2% do volume de negócios anual a nível mundial, para entidades essenciais;
- Coima desde 1.250€ até 7.000.000€ ou 1,4% do volume de negócios anual a nível mundial, para entidades importantes.
Antecipe riscos
A NIS2 representa uma mudança significativa na forma como as empresas devem encarar a cibersegurança. Não é apenas uma obrigação legal, trata-se de reduzir riscos, proteger informação crítica e reforçar a confiança de clientes e parceiros.
Tem dúvidas sobre este novo regime?
Veja também
Reembolso do IRS 2026: quando chega?
O prazo legal para a Autoridade Tributária pagar o reembolso vai até 31 de agosto, mas o valor e a data exata dependem de vários fatores.
Decreto-Lei 97/2026: o que muda no IVA, IMT e IRS para habitação
IVA a 6% na construção, IMT agravado para não residentes e rendas com menos imposto. Saiba o que muda na habitação com o Decreto-Lei 97/2026.
Horário de funcionamento das Farmácias: o que mudou?
Novas regras para farmácias em Portugal: o que muda nos horários de funcionamento e no atendimento fora de horas?
Salários vão deixar de ser segredo em Portugal
A partir de 7 de junho, a transparência salarial passa a ser uma obrigação legal nos países da UE, no âmbito da transposição da Diretiva Europeia (UE) 2023/970.
Planeamento de férias nas empresas
Regras, boas práticas e ferramentas digitais que permitem aos colaboradores marcar férias e acompanhar as ausências da equipa.
OE 2026: o que muda no IRS, IRC e IMT?
Conheça as novidades que vão impactar contribuintes e empresas este ano!