Conformidade e Governação

NIS2 em Portugal: o que exige o Decreto-Lei n.º 125/2025

Portugal transpôs a NIS2 com o Decreto-Lei n.º 125/2025, em vigor desde 3 de abril de 2026. Quem está abrangido, registo no CNCS, prazos de notificação e coimas.

Portugal transpôs a Diretiva NIS2, a Diretiva (UE) 2022/2555, através do Decreto-Lei n.º 125/2025, de 4 de dezembro, que aprova o novo Regime Jurídico da Cibersegurança. Entrou em vigor a 3 de abril de 2026 e substituiu a Lei n.º 46/2018 e o Decreto-Lei n.º 65/2021. Segundo o Centro Nacional de Cibersegurança (CNCS), a autoridade nacional de cibersegurança, o regime abrange 17 setores e a Administração Pública. Este guia explica o que dizem o decreto-lei e o CNCS, e as obrigações da NIS2 que se aplicam em toda a UE.

O que é a NIS2?

A NIS2 é a diretiva da UE relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União. Os Estados-Membros tinham de adotar e publicar as suas regras nacionais até 17 de outubro de 2024 e aplicá-las a partir de 18 de outubro de 2024, data em que a primeira Diretiva SRI foi revogada. A NIS2 aplica-se às entidades de média e grande dimensão dos setores enumerados nos seus anexos e a algumas entidades independentemente da sua dimensão.

1.Setores de elevada criticidade (anexo I): energia, transportes, setor bancário, infraestruturas do mercado financeiro, saúde, água potável, águas residuais, infraestruturas digitais, gestão de serviços TIC (entre empresas), administração pública e espaço.

2.Outros setores críticos (anexo II): serviços postais e de estafeta, gestão de resíduos, produtos químicos, produtos alimentares, indústria transformadora, prestadores de serviços digitais e investigação.

3.Independentemente da dimensão: por exemplo, os prestadores qualificados de serviços de confiança, os registos de nomes de domínio de topo e os prestadores de serviços de DNS são entidades essenciais.

4.As entidades essenciais são sobretudo entidades de grande dimensão do anexo I; as restantes entidades abrangidas são entidades importantes. Ambas têm de adotar medidas de gestão dos riscos de cibersegurança (artigo 21.º) e notificar incidentes significativos (artigo 23.º).

5.Os órgãos de gestão aprovam e supervisionam as medidas de gestão dos riscos, podem ser responsabilizados por infrações e têm de frequentar formação (artigo 20.º).

Como Portugal transpôs a NIS2

O Decreto-Lei n.º 125/2025 foi publicado no Diário da República a 4 de dezembro de 2025. Aprova, em anexo, o Regime Jurídico da Cibersegurança e entrou em vigor 120 dias após a publicação, a 3 de abril de 2026. Revogou o Regime Jurídico da Segurança do Ciberespaço, aprovado pela Lei n.º 46/2018, de 13 de agosto, e a respetiva regulamentação, o Decreto-Lei n.º 65/2021, de 30 de julho. Para além das entidades essenciais e importantes, o regime português abrange as entidades públicas relevantes e exclui as entidades públicas nos domínios da segurança nacional, da segurança pública, da defesa e dos serviços de informações, incluindo as entidades com responsabilidades de investigação criminal.

Quem supervisiona: o CNCS e as autoridades setoriais

O artigo 15.º do regime define o quadro institucional da segurança do ciberespaço.

1.O CNCS é a autoridade nacional de cibersegurança, o ponto de contacto único para a cooperação europeia e internacional, a autoridade nacional de certificação da cibersegurança e integra a equipa nacional de resposta a incidentes, o CERT.PT.

2.A ANACOM é a autoridade setorial para as comunicações eletrónicas e os serviços postais, e o Gabinete Nacional de Segurança (GNS) para os serviços de confiança.

3.O Banco de Portugal, a Comissão do Mercado de Valores Mobiliários (CMVM) e a Autoridade de Supervisão de Seguros e Fundos de Pensões (ASF) são autoridades nacionais especiais de cibersegurança em matéria de resiliência operacional digital do setor financeiro, a área abrangida pelo DORA.

4.O Secretário-Geral do Sistema de Segurança Interna é a autoridade nacional de gestão de crises e incidentes de cibersegurança em grande escala.

Registo no CNCS

As entidades abrangidas identificam-se na plataforma eletrónica do CNCS no prazo de 30 dias após o início da sua atividade ou, caso já se encontrassem em atividade quando o regime entrou em vigor, no prazo de 60 dias após a disponibilização da plataforma, e mantêm essa informação atualizada (artigo 8.º). O registo inclui o nome da entidade, o número de identificação fiscal, o endereço e os contactos, incluindo endereços de correio eletrónico, gamas de endereços IP e números de telefone, o setor e o subsetor e os Estados-Membros em que presta serviços (artigo 35.º). O Regulamento n.º 756/2026 do CNCS, publicado a 22 de junho de 2026, define as regras da plataforma, o procedimento de qualificação, as notificações de incidentes e o Quadro Nacional de Referência para a Cibersegurança (QNRCS).

O que têm de fazer as entidades essenciais e importantes

O regime converte as obrigações da NIS2 em deveres concretos para as entidades essenciais e importantes.

1.Os órgãos de gestão, direção e administração aprovam as medidas de gestão dos riscos de cibersegurança, supervisionam a sua aplicação e asseguram a realização regular de ações de formação em cibersegurança. Os seus titulares podem responder por ação ou omissão, com dolo ou culpa grave (artigo 25.º).

2.Designar um responsável de cibersegurança que seja titular dos órgãos de gestão, direção ou administração ou que lhes responda diretamente, e comunicar a designação à autoridade de cibersegurança competente no prazo de 20 dias úteis (artigo 31.º).

3.Assegurar um ponto de contacto permanente, disponível 24 horas por dia durante os períodos de ativação que a autoridade de cibersegurança competente inicia e termina (artigo 32.º).

4.Adotar medidas de cibersegurança que abranjam o tratamento de incidentes, a continuidade das atividades e a gestão de crises, a segurança da cadeia de abastecimento, a segurança na aquisição e no desenvolvimento, a avaliação da eficácia, a ciber-higiene e a formação, a criptografia, a segurança dos recursos humanos, o controlo do acesso e a gestão de ativos, e a autenticação multifator (artigo 27.º).

5.Analisar e gerir o risco residual e manter um relatório anual com estatísticas trimestrais de incidentes. As entidades essenciais enviam-no à autoridade de cibersegurança competente, em regra até ao último dia útil de janeiro do ano seguinte; as entidades importantes enviam-no quando o CNCS o solicitar (artigos 29.º e 30.º).

6.Calendário: nos termos do artigo 10.º, n.º 2, do decreto-lei, os deveres relativos às medidas de cibersegurança, à cadeia de abastecimento, ao risco residual e ao relatório anual produzem efeitos 24 meses após a publicação da regulamentação. O CNCS publicou o Regulamento n.º 756/2026 a 22 de junho de 2026.

Prazos de notificação de incidentes em Portugal

As entidades essenciais, importantes e públicas relevantes notificam todos os incidentes significativos à autoridade de cibersegurança competente através da plataforma eletrónica do CNCS (artigo 40.º). Para determinar se um incidente é significativo, consideram o número de utilizadores afetados, o número total de utilizadores do serviço, a duração, o nível de gravidade da perturbação e o impacto nas atividades económicas e sociais.

1.Notificação inicial: sem demora injustificada e até 24 horas após concluir que existe, ou pode vir a existir, um incidente significativo (artigo 42.º).

2.Atualização: quando necessário, até 72 horas, com uma avaliação inicial da gravidade e do impacto e, se disponíveis, os indicadores de exposição a riscos.

3.Fim do impacto significativo: até 24 horas após o fim do impacto (artigo 43.º). Se o incidente for resolvido nas duas horas após a sua deteção, esta é a única notificação exigida.

4.Relatório final: no prazo de 30 dias úteis a contar da notificação do fim de impacto significativo. Se o incidente ainda estiver em curso quando o relatório final for devido, a autoridade pode pedir relatórios intercalares semanais (artigo 44.º).

5.A própria diretiva prevê um alerta rápido no prazo de 24 horas, uma notificação de incidente no prazo de 72 horas e um relatório final no prazo de um mês (artigo 23.º da NIS2).

Coimas da NIS2 em Portugal

As contraordenações muito graves incluem não adotar as medidas de cibersegurança, não designar um responsável de cibersegurança, não assegurar um ponto de contacto permanente ou não notificar incidentes. No caso de pessoas coletivas, são punidas com coimas de 2000 € a 10 milhões de euros ou 2% do volume de negócios anual a nível mundial, consoante o montante que for mais elevado, para as entidades essenciais, e de 1250 € a 7 milhões de euros ou 1,4% do volume de negócios anual a nível mundial para as entidades importantes (artigo 61.º). A diretiva exige coimas máximas de, pelo menos, esses montantes (artigo 34.º da NIS2), e o CNCS descreve o regime sancionatório português como significativamente agravado em relação ao anterior.

Onde ajudam os registos de eventos, as investigações e os registos de incidentes

O QNRCS, no Regulamento n.º 756/2026, inclui uma medida relativa aos logs de sistemas: devem ser recolhidos, guardados, protegidos e revistos regularmente, com o período de armazenamento definido pela análise de risco, e a evidência esperada é a prova técnica dessa recolha, armazenamento e revisão. O Vigilbase OS ajuda-o a produzir evidências para esta medida e para as notificações de incidentes.

1.Logs: o Vigilbase OS liga as ferramentas de segurança que já paga e mantém os respetivos logs e eventos auditáveis e pesquisáveis num só lugar. A retenção predefinida é definida por conjunto de dados, normalmente entre 30 e 90 dias, pelo que deve confirmá-la face ao período definido na sua análise de risco.

2.Registos de incidentes: cada investigação regista as evidências, as ações tomadas e a verificação. A sua equipa pode utilizar esse registo na notificação inicial, na notificação do fim de impacto significativo e no relatório final.

3.Autoridade: escolhe se as ações ficam desativadas, são propostas para aprovação ou são executadas quando são de baixo risco e reversíveis.

4.Proteção no edge: o Managed Cloudflare opera a WAF e a proteção DDoS dos seus websites e APIs dentro de um âmbito acordado, com controlo de alterações.

Responsabilidade e nota jurídica

A Vigilbase não torna nenhuma entidade conforme com o Regime Jurídico da Cibersegurança, não faz o registo da sua entidade no CNCS e não substitui o seu responsável de cibersegurança. Este guia resume o Decreto-Lei n.º 125/2025, o Regulamento n.º 756/2026 do CNCS e a informação do CNCS tal como disponíveis em outubro de 2026. Não constitui aconselhamento jurídico: prevalecem os textos publicados no Diário da República, e são os seus assessores jurídicos que decidem como o regime se aplica à sua entidade.

Principais conclusões

✓Portugal transpôs a NIS2 com o Decreto-Lei n.º 125/2025, em vigor desde 3 de abril de 2026.

✓O CNCS é a autoridade nacional de cibersegurança; o Banco de Portugal, a CMVM e a ASF tratam da resiliência operacional digital do setor financeiro.

✓As entidades abrangidas registam-se na plataforma do CNCS e designam um responsável de cibersegurança e um ponto de contacto permanente.

✓Os incidentes significativos exigem uma notificação inicial até 24 horas, uma notificação do fim de impacto até 24 horas após o fim do impacto e um relatório final no prazo de 30 dias úteis.

✓Os deveres relativos às medidas de cibersegurança, ao risco residual e ao relatório anual produzem efeitos 24 meses após o regulamento do CNCS de 22 de junho de 2026.

✓As coimas para as entidades essenciais chegam a 10 milhões de euros ou 2% do volume de negócios anual a nível mundial, consoante o montante que for mais elevado.

Fontes

Soluções relacionadas

Serviços Vigilbase relacionados com este guia

Perguntas frequentes

Portugal já transpôs a NIS2?

Sim. O Decreto-Lei n.º 125/2025, de 4 de dezembro, transpôs a Diretiva NIS2 e aprovou o Regime Jurídico da Cibersegurança, que entrou em vigor a 3 de abril de 2026. O CNCS é a autoridade nacional de cibersegurança.O regime substituiu a Lei n.º 46/2018 e o Decreto-Lei n.º 65/2021. O CNCS publicou a regulamentação, o Regulamento n.º 756/2026, a 22 de junho de 2026.Orientações regionais de serviço e integração Discuta o seu âmbito com a Vigilbase

Quem tem de cumprir a NIS2 em Portugal?

As entidades essenciais, importantes e públicas relevantes. Segundo o CNCS, o regime abrange 17 setores e a Administração Pública. A maioria das entidades fica abrangida pelo tipo e pela dimensão, a partir de média empresa, enquanto algumas, como os prestadores de serviços de DNS e os prestadores qualificados de serviços de confiança, ficam abrangidas independentemente da dimensão.As entidades identificam-se na plataforma eletrónica do CNCS e o CNCS procede depois à sua qualificação. Os seus assessores jurídicos devem confirmar a sua classificação.Orientações regionais de serviço e integração Privacidade e tratamento de dados

Como nos registamos no CNCS?

Identifique a sua entidade na plataforma eletrónica do CNCS no prazo de 30 dias após o início da atividade ou, se já se encontrava em atividade quando o regime entrou em vigor, no prazo de 60 dias após a disponibilização da plataforma. Mantenha a informação atualizada e comunique as alterações no prazo de 30 dias úteis.O registo inclui o nome, o número de identificação fiscal, os contactos, as gamas de endereços IP, o setor e os Estados-Membros em que presta serviços. O Regulamento n.º 756/2026 do CNCS define as regras da plataforma.Discuta o seu âmbito com a Vigilbase Privacidade e tratamento de dados

Quais são os prazos de notificação de incidentes da NIS2 em Portugal?

Envie uma notificação inicial até 24 horas após concluir que existe um incidente significativo, uma atualização até 72 horas, quando necessário, uma notificação até 24 horas após o fim do impacto significativo e um relatório final no prazo de 30 dias úteis a contar dessa notificação.Se o incidente for resolvido nas duas horas após a sua deteção, só é exigida a notificação do fim de impacto significativo. As notificações são submetidas na plataforma eletrónica do CNCS.Responsabilidades nas operações de segurança O que faz um SIEM

Quais são as coimas da NIS2 em Portugal?

Nas contraordenações muito graves praticadas por pessoas coletivas, as entidades essenciais incorrem em coimas de 2000 € a 10 milhões de euros ou 2% do volume de negócios anual a nível mundial, consoante o montante que for mais elevado, e as entidades importantes em coimas de 1250 € a 7 milhões de euros ou 1,4% do volume de negócios anual a nível mundial.Os titulares dos órgãos de gestão podem também responder por ação ou omissão, com dolo ou culpa grave.Privacidade e tratamento de dados Documentação de segurança no Centro de Confiança

Como se relaciona a NIS2 com o DORA para os bancos em Portugal?

Para as entidades financeiras, o DORA é o ato setorial da UE, e as disposições da NIS2 não se aplicam quando os requisitos do DORA forem pelo menos equivalentes. O Decreto-Lei n.º 125/2025 designa o Banco de Portugal, a CMVM e a ASF como autoridades nacionais especiais de cibersegurança para a resiliência operacional digital do setor financeiro.Escolha um pacote para serviços financeiros Cobertura e compromissos de resposta a incidentes

Tópicos Relacionados

Noções básicas de segurança

Pronto para melhorar a sua segurança?

A nossa equipa pode ajudá-lo a implementar as medidas de segurança discutidas neste guia. Obtenha orientação especializada adaptada à sua organização.

Começar agora Continuar a aprender