NIS2 em Portugal: quem está abrangido e o que exige o novo regime de cibersegurança

O que é a NIS2 e como foi transposta em Portugal

A NIS2, formalmente a Diretiva (UE) 2022/2555, é a legislação europeia que define um nível comum elevado de cibersegurança em toda a União. Substitui a primeira Diretiva NIS, alarga significativamente o número de setores e de organizações abrangidas e torna as obrigações mais exigentes, sobretudo no que toca à gestão de riscos, à notificação de incidentes e à responsabilidade da gestão de topo.

Em Portugal, a transposição foi feita pelo Decreto-Lei n.º 125/2025, publicado em Diário da República a 4 de dezembro de 2025, que aprova o novo Regime Jurídico da Cibersegurança. O diploma prevê a entrada em vigor 120 dias após a publicação, ou seja, em abril de 2026. Parte das obrigações é concretizada por regulamentação do Centro Nacional de Cibersegurança (CNCS), que é a autoridade nacional de cibersegurança e a principal entidade de supervisão neste regime.

Como vários prazos de aplicação dependem dessa regulamentação e da plataforma de registo disponibilizada pelo CNCS, a recomendação prática é simples: consulte o CNCS para prazos concretos aplicáveis à sua organização e não se baseie apenas em resumos de terceiros.

Quem está abrangido: entidades essenciais, importantes e públicas relevantes

O regime classifica as organizações abrangidas em três grandes categorias: entidades essenciais, entidades importantes e entidades públicas relevantes. A classificação depende sobretudo do setor de atividade, da dimensão da organização e da natureza dos serviços prestados. Em regra, a NIS2 aplica-se a médias e grandes empresas que operam em setores considerados críticos ou altamente críticos, mas há situações em que organizações mais pequenas também ficam abrangidas, por exemplo quando são o único prestador de um serviço essencial ou quando uma perturbação do seu serviço teria impacto significativo.

Entre os setores tipicamente abrangidos pela Diretiva contam-se, por exemplo:

• energia, transportes, banca e infraestruturas do mercado financeiro;
• saúde, água potável e águas residuais;
• infraestruturas digitais, como fornecedores de serviços de computação em nuvem, centros de dados e prestadores de serviços de confiança;
• gestão de serviços de TIC entre empresas, incluindo prestadores de serviços geridos e de serviços de segurança geridos;
• administração pública e espaço;
• serviços postais, gestão de resíduos, indústria química, produção e distribuição de alimentos, fabrico de determinados produtos e prestadores de serviços digitais, como mercados em linha e motores de pesquisa.

As principais obrigações do novo regime

Embora o detalhe varie consoante a categoria da entidade, as obrigações seguem a lógica da própria Diretiva. Em termos práticos, uma organização abrangida deve preparar-se para:

• registar-se junto do CNCS e manter os seus dados atualizados, nos termos e prazos definidos pela autoridade;
• adotar medidas técnicas, operacionais e organizativas de gestão de riscos de cibersegurança, proporcionais ao risco e à dimensão da organização;
• garantir que os órgãos de gestão aprovam essas medidas, supervisionam a sua aplicação e recebem formação adequada;
• notificar incidentes significativos ao CNCS dentro de prazos curtos;
• gerir a segurança da cadeia de abastecimento, incluindo a relação com fornecedores e prestadores de serviços;
• designar os pontos de contacto e responsáveis internos exigidos pelo regime e pela regulamentação do CNCS.

Responsabilidade da gestão de topo

Uma das mudanças mais relevantes da NIS2 é que a cibersegurança deixa de ser apenas um tema do departamento de informática. Os órgãos de gestão, como o conselho de administração ou a gerência, passam a ter um papel explícito: aprovar as medidas de gestão de riscos, acompanhar a sua implementação e poder ser responsabilizados por falhas no cumprimento.

Na prática, isto significa que a administração deve conhecer os principais riscos da organização, receber informação periódica sobre o estado da segurança e tomar decisões documentadas sobre prioridades e investimento. A formação dos membros dos órgãos de gestão também faz parte das expectativas da Diretiva, para que consigam avaliar riscos e práticas de cibersegurança com conhecimento de causa.

Notificação de incidentes: 24 horas contam

Quando ocorre um incidente significativo, isto é, um incidente que cause ou possa causar perturbação grave dos serviços ou prejuízos consideráveis, a entidade deve comunicá-lo ao CNCS por fases. O primeiro passo é um alerta rápido, a enviar no prazo de 24 horas a contar do momento em que a organização tomou conhecimento do incidente.

Seguem-se comunicações mais completas: a Diretiva prevê uma notificação do incidente no prazo de 72 horas, com uma avaliação inicial da gravidade e do impacto, e um relatório final no prazo de um mês. Os formatos, canais e detalhes concretos em Portugal são definidos pelo regime e pelo CNCS.

Cumprir estes prazos exige preparação prévia. Sem um processo de gestão de incidentes definido, com critérios claros para classificar a gravidade, responsáveis designados e contactos atualizados, é muito difícil reagir em 24 horas no meio de uma crise.

Cadeia de abastecimento: a NIS2 também chega aos fornecedores

Mesmo que a sua empresa não seja classificada como entidade essencial ou importante, a NIS2 pode afetá-la indiretamente. As entidades abrangidas têm de gerir os riscos de cibersegurança associados aos seus fornecedores e prestadores de serviços. Por isso, é cada vez mais comum que clientes abrangidos exijam aos fornecedores questionários de segurança, cláusulas contratuais específicas, evidência de controlos implementados ou a notificação rápida de incidentes.

Para fornecedores de serviços de TIC, software, alojamento ou manutenção, estar preparado para responder a estes pedidos pode ser um fator decisivo na manutenção ou conquista de contratos.

Como a ISO/IEC 27001 ajuda a cumprir a NIS2

A NIS2 não obriga a obter uma certificação ISO/IEC 27001, e ter essa certificação não significa, por si só, cumprir o regime português. Ainda assim, a norma é uma base muito útil, porque muitas das exigências da Diretiva correspondem a práticas que um sistema de gestão de segurança da informação já organiza de forma estruturada. Quem já tem a norma implementada parte com vantagem; quem ainda não a tem pode usá-la como mapa de trabalho.

Alguns exemplos de sobreposição:

• avaliação e tratamento de riscos de segurança da informação, documentados e revistos periodicamente, que servem de base às medidas de gestão de riscos exigidas pela NIS2;
• envolvimento e responsabilidade da gestão de topo na política de segurança;
• gestão de incidentes, continuidade de negócio e cópias de segurança;
• segurança nas relações com fornecedores;
• controlo de acessos, criptografia, gestão de vulnerabilidades e sensibilização dos colaboradores;
• auditorias internas e melhoria contínua, que ajudam a demonstrar conformidade perante o supervisor.

Por onde começar

O primeiro passo é confirmar se a sua organização está abrangida e em que categoria, com base no setor, na dimensão e nos serviços prestados, e verificar junto do CNCS as obrigações de registo e os prazos aplicáveis. Em caso de dúvida sobre o enquadramento jurídico, é sensato obter aconselhamento jurídico especializado.

Em paralelo, vale a pena fazer um diagnóstico honesto do ponto de partida: que controlos já existem, o que está documentado, se há um processo de resposta a incidentes testado e como são geridos os fornecedores. Uma forma rápida de o fazer é a autoavaliação gratuita da BALTUM, baseada na ISO/IEC 27001. Em 10 a 15 minutos obtém uma pontuação de prontidão, um relatório de lacunas e recomendações geradas por IA para priorizar o trabalho. Não substitui uma auditoria nem aconselhamento jurídico, mas dá-lhe uma visão clara de onde está e do que falta fazer.

Este artigo é informativo e não constitui aconselhamento jurídico. O baltum.ai é um software independente, não um organismo de certificação.