NIS2 · Portugal
NIS2 / DL 125/2025
Regime jurídico da cibersegurança: gestão de risco, notificação de incidentes e segurança da cadeia de abastecimento para entidades essenciais, importantes e públicas relevantes.
Plataforma de conformidade com a NIS2 e o DL 125/2025A Infraestrutura Inteligente de Governação, Risco e Conformidade
A AnkoraOne organiza o que a lei da cibersegurança exige às entidades: registo e qualificação, medidas do nível de conformidade, riscos, fornecedores, incidentes e evidência para auditoria. Segue a NIS2, o Decreto-Lei n.º 125/2025, o Regulamento n.º 756/2026, a ISO/IEC 27001 e o RGPD.
1Painel executivo: maturidade, risco e prioridades
1 / 8
Onde está a sua entidade?
Escolha a situação da entidade. Cada opção abre o guia ou a ferramenta do passo seguinte.
1
Não sei se a lei se aplica
Três perguntas sobre o setor e a dimensão da entidade dão uma primeira indicação.
Fazer o teste → 2Abrangida, mas ainda sem registo
O prazo terminou a 15 de setembro, mas a obrigação mantém-se. Veja como fazer o registo na MyCiber.
Registar a entidade → 3Recebi o projeto de qualificação
Tem 10 dias úteis para se pronunciar. Calcule a data-limite e veja o que verificar.
Calcular o prazo → 4Já sei o meu nível
Consulte as medidas mínimas do nível e confirme o que as ferramentas que já usa cobrem.
Ver as medidas →Demonstração interativa. Escolha uma organização e abra os painéis no menu lateral.Dados de demonstração
Módulos e normas da plataforma. Organizações, avaliações, riscos e incidentes ilustrativos.
A NIS2 em linguagem simples
Para quem ainda não acompanhou o tema: o que é, a quem se aplica e o que a entidade tem de fazer.
1
O que é
A NIS2 é uma diretiva europeia de cibersegurança. Em Portugal foi transposta pelo Decreto-Lei n.º 125/2025, em vigor desde 3 de abril de 2026. O Regulamento n.º 756/2026 do CNCS diz como se cumprem as obrigações.
2
A quem se aplica
A empresas médias e grandes de setores como a energia, os transportes, a saúde, a água, as infraestruturas digitais, a indústria e os serviços digitais, a entidades da Administração Pública e a instituições de ensino superior. Alguns prestadores estão abrangidos seja qual for a dimensão, como as comunicações eletrónicas e os serviços de DNS.
3
O que tem de fazer
- Registar a entidade na MyCiber, a plataforma do CNCS.
- Receber a qualificação, que fixa o nível de conformidade.
- Designar o responsável de cibersegurança e o ponto de contacto.
- Aplicar as medidas do nível e notificar os incidentes significativos, a primeira notificação até 24 horas.
Termos que vai encontrar
CNCS
Centro Nacional de Cibersegurança, a autoridade nacional de cibersegurança. Recebe o registo e qualifica as entidades.
MyCiber
Plataforma eletrónica do CNCS onde se faz o registo (autoidentificação) e as comunicações obrigatórias.
Qualificação
Decisão do CNCS que classifica a entidade como essencial, importante ou pública relevante e fixa o nível de conformidade.
Nível de conformidade
Básico, substancial ou elevado. Define o número de medidas mínimas: 43, 102 ou 153.
QNRCS
Quadro Nacional de Referência para a Cibersegurança: 107 controlos em seis objetivos, de Gerir a Recuperar.
Incidente significativo
Incidente com impacto relevante nos serviços da entidade. Tem de ser notificado ao CNCS. O CNCS vai publicar critérios mais detalhados.
Ler o guia completo: a NIS2 em Portugal, em linguagem simples →
Prazos e datas
As datas do regime jurídico da cibersegurança desde a entrada em vigor do Regulamento. Cada data abre o guia respetivo.
Hoje
- 23 jun. 2026Regulamento n.º 756/2026 em vigorEtapas do regime
- 15 set. 2026Fim do prazo de registo. A obrigação mantém-seRegistar agora
- 31 jan. 2027Lista de ativos: versão inicial das entidades qualificadas em 2026Lista de ativos
- 3 abr. 2027Fim do prazo para pedir dispensa de coimasPerguntas frequentes
- Jun. 2028Medidas de cibersegurança e relatório anual produzem efeitosMedidas por nível
Ver a cronologia legal completa, com a base legal de cada data
A lista de ativos vence a 31 de janeiro do ano seguinte à notificação ou seis meses depois, o que ocorrer primeiro.
Ferramentas gratuitas
Cinco ferramentas de acesso livre, sem registo, feitas a partir dos anexos do Regulamento n.º 756/2026 e do QNRCS.
Novo
Autoavaliação rápida
Seis perguntas: perfil de maturidade em radar e o que tratar primeiro.
Avaliar →MFACópias de segurançaEDRSIEM
As suas ferramentas e a NIS2
Que pontos do art. 21.º da NIS2 ficam cobertos e onde há lacunas.
Verificar →Pontuação 0–1200
102
medidas mínimas no nível substancialSimulador de nível
Da pontuação da matriz ao nível e às medidas mínimas.
Simular →Calculadora de prazos
Dias úteis com feriados nacionais, incluindo Páscoa e Corpo de Deus.
Calcular →GV.PO-1
ID.AM-1
PR.AA-5
DE.CM-1
Explorador de medidas
Controlos do QNRCS com as medidas por nível e o Anexo IV.
Explorar →107controlos do QNRCS153medidas no nível elevado40medidas do Anexo IV
Novo na área Conhecimento
Conteúdos acrescentados ou revistos. Cada texto indica o artigo e se está verificado ou por confirmar.
Incidentes: notificar e comunicar
Conteúdo de cada notificação, taxonomia do CNCS e comunicação aos clientes (art. 48.º).
Diagnóstico por NIF e CAE
Enquadramento NIS2 orientado para o setor de atividade, com o artigo de cada conclusão.
Cronologia legal
Datas e prazos da NIS2 e do DL 125/2025, com o artigo e a fonte oficial.
Painéis da plataforma
A administração acompanha a maturidade e o risco. As equipas técnicas acompanham tarefas, prazos e evidência. Selecione um painel para o abrir na demonstração.
Ciclo de governação
O trabalho na plataforma segue sete fases, do diagnóstico inicial à reavaliação periódica.
Fase 01
Ver
Estado do risco e da conformidade por organização, norma e domínio.
Na plataforma: Painel executivo
Módulos
Os módulos são ativados de acordo com o plano contratado. Cada ação fica registada com autor, data e hora.
Jornada de Conformidade
Todos os planosLista de verificação, passo a passo, do RJC (DL 125/2025 e Regulamento n.º 756/2026), da autoidentificação na plataforma do CNCS à decisão de qualificação, à designação do responsável e do ponto de contacto e às medidas do nível atribuído.
Avaliações e Plano de Ação
Todos os planosAvaliações de maturidade de 0 a 5 com evidência anexa, recomendações convertidas em tarefas e acompanhamento dos pontos de ação.
Documentos e Evidências
Todos os planosDocumentos de segurança e legais com versões, aprovação e atestação de leitura pelos colaboradores.
Conhecimento e Orientação
Todos os planosGuia por norma com artigos de orientação, planos de formação, convocatórias e relatórios de participação.
Gestão de Risco
Todos os planosRegisto de riscos com matriz de probabilidade e impacto, histórico de evolução e tarefas de mitigação.
Relatórios e Preparação de Auditoria
Todos os planosMétricas de conformidade, relatórios por email e pacotes de auditoria assentes num trilho de registos encadeado.
Gestão de Incidentes
Pro e EnterpriseIncidentes e vulnerabilidades, com as notificações à autoridade (inicial, fim do impacto significativo e relatório final) acompanhadas desde a verificação do incidente.
Gestão de Fornecedores
Pro e EnterpriseFornecedores por nível de criticidade, cláusulas contratuais registadas, questionários de segurança e reavaliações.
Privacidade
EnterpriseRegisto de atividades de tratamento e gestão dos pedidos dos titulares, alinhados com o RGPD e a Lei 58/2019.
Normas de cibersegurança correlacionadas
A plataforma relaciona os requisitos equivalentes entre normas. A evidência de um controlo implementado para a ISO/IEC 27001 fica associada aos requisitos correspondentes da NIS2, do QNRCS e do NIST CSF. A equivalência formal para efeitos do Regulamento depende da matriz que o CNCS vai publicar (art. 27.º, n.º 7).
| Controlo | ISO 27001 | NIS2 | QNRCS | NIST CSF | CIS v8.1 |
|---|---|---|---|---|---|
| Autenticação e MFA | A.8.5 | Art. 21.º, n.º 2, j) | PR.GA-3 | PR.AA-03 | CIS 6 |
| Gestão de incidentes | A.5.24–5.26 | Art. 21.º, n.º 2, b), e 23.º | RS.GI-1 | RS.MA-01 | CIS 17 |
| Cadeia de abastecimento | A.5.19–5.21 | Art. 21.º, n.º 2, d) | GR.CA-7 | GV.SC-07 | CIS 15 |
| Continuidade e cópias | A.5.30, A.8.13 | Art. 21.º, n.º 2, c) | PR.SD-5 | PR.DS-11 | CIS 11 |
| Formação e sensibilização | A.6.3 | Art. 21.º, n.º 2, g) | PR.FC-1, PR.FC-2 | PR.AT-01, PR.AT-02 | CIS 14 |
| Criptografia | A.8.24 | Art. 21.º, n.º 2, h) | PR.SD-1, PR.SD-2 | PR.DS-01, PR.DS-02 | CIS 3 |
QNRCS · Portugal
QNRCS
Quadro Nacional de Referência para a Cibersegurança, do CNCS. A 2.ª versão (Regulamento n.º 756/2026, Anexo I) tem 107 controlos em 6 objetivos (Gerir, Identificar, Proteger, Detetar, Responder e Recuperar) e liga-se às medidas mínimas por nível do Anexo III.
RGPD · Portugal
RGPD / Lei 58/2019
Proteção de dados pessoais: princípios, bases de licitude, direitos dos titulares, registo de atividades de tratamento e responsabilidade.
ENISA
ENISA · NIS2 Art. 21.º
Orientação técnica da ENISA que traduz as dez medidas do artigo 21.º da NIS2 em requisitos verificáveis, incluindo competências e comunicações de emergência.
ISO27001
ISO/IEC 27001:2022
Sistema de gestão da segurança da informação: contexto, liderança, avaliação e tratamento do risco, Anexo A e melhoria contínua.
NIST CSF
NIST CSF 2.0
Gestão do risco de cibersegurança por funções (Governar, Identificar, Proteger, Detetar, Responder, Recuperar), com perfis e níveis.
CIS V8
CIS Controls v8.1
18 controlos e 153 salvaguardas, organizados em três grupos de implementação, do inventário de ativos à gestão de registos.
Arquitetura
A informação entra pelas equipas, é tratada na plataforma e sai como evidência para quem a pede: autoridades, auditores, administração e fornecedores.
Registos e evidência das equipasInformação entregue
Deslize para ver o diagrama completo.
Que medidas correspondem ao seu nível?
Indique a pontuação da matriz de risco que consta da decisão de qualificação, ou uma estimativa, e veja o nível, o número de medidas mínimas e a sua distribuição pelos objetivos do QNRCS.
Básico 0–99Substancial 100–199Elevado 200–1200
Exemplos:
A pontuação é calculada pelo CNCS com a matriz do Anexo II do Regulamento n.º 756/2026. Este simulador não calcula nem substitui o nível notificado na decisão de qualificação.
102medidas
Nível de conformidade
Substancial
Pontuação de 100 a 199. Aplicam-se 102 medidas: as 43 do nível básico e mais 59.
Exemplos de medidas acrescentadas no nível substancial
A plataforma aplicada ao seu setor
Cada setor tem os seus serviços críticos, fornecedores e exigências. Escolha o seu para ver por onde começar.
Saúde
Hospitais, clínicas e laboratórios. Sistemas clínicos, equipamentos médicos ligados à rede e dados de saúde exigem continuidade e controlo de acessos.
Ver o setorEnergia
Produção, distribuição e comercialização. Sistemas de controlo industrial e fornecedores de manutenção incluídos na análise de risco.
Ver o setorAdministração local
Entidades públicas relevantes, por grupo: 18 medidas do Anexo IV no Grupo B e mais 22 no Grupo A.
Ver o setorTransportes
Operadores rodoviários, ferroviários, marítimos e aéreos. Bilhética, sinalização e gestão de frota como serviços críticos.
Ver o setorInfraestruturas digitais
Centros de dados, nuvem, DNS e registos de domínios. Vários destes prestadores preenchem campos adicionais na autoidentificação.
Ver o setorIndústria transformadora
Produção ligada à rede e cadeia de fornecedores extensa. Avaliação anual do risco da cadeia de abastecimento.
Ver o setorPlanos
Os planos diferem no número de utilizadores, de normas e de módulos incluídos. Todos incluem o trilho de auditoria e o isolamento de dados por organização.
Standard
Para organizações que iniciam o seu programa de conformidade.
5utilizadores
1norma
6 módulos incluídos
- Jornada de Conformidade (NIS2 e RJC)
- Avaliações e plano de ação
- Gestão de risco
- Documentos e evidências
- Conhecimento e orientação
- Relatórios e preparação de auditoria
Pro
Para equipas que gerem incidentes, fornecedores e duas normas.
20utilizadores
2normas
8 módulos incluídos
- Tudo o que inclui o Standard
- Gestão de incidentes e vulnerabilidades
- Gestão de fornecedores e cadeia de abastecimento
- Duas normas com controlos correlacionados
Enterprise
Para grupos empresariais, entidades essenciais e organizações com várias entidades.
À medidautilizadores
À medidanormas
9 módulos incluídos
- Tudo o que inclui o Pro
- Privacidade: registo de tratamentos e pedidos de titulares
- Estrutura multientidade: grupo, divisões e subsidiárias
- Configuração e acompanhamento por um consultor
Valores sob cotação, de acordo com a dimensão e o setor da organização.
Fale connosco
Peça uma demonstração, uma cotação ou envie uma pergunta sobre a NIS2, o DL 125/2025 ou a ISO/IEC 27001. Respondemos para o email que indicar.
Prefere escrever diretamente?
daniel.carvalho@ankoraone.com
- Envie o pedido
Pergunta, demonstração, cotação ou contacto Enterprise.
- Conversa inicial
Confirmamos o enquadramento da entidade, o setor e as normas aplicáveis.
- Demonstração ou proposta
Apresentamos a plataforma com o cenário da sua organização ou enviamos a proposta.