Cronologia legal
Da Diretiva NIS2 às obrigações anuais das entidades. Cada data e cada prazo indica quem tem de agir, o artigo, a fonte oficial e se já foi confirmado no texto publicado.
Datas marcadas aplicam-se a todos ao mesmo tempo. Os prazos contam a partir de um acontecimento da entidade: o início de atividade, a notificação da qualificação ou um incidente. Os prazos marcados «por confirmar» aguardam leitura do texto oficial.
Base legal do site, versão 1.1, verificada a 14 de outubro de 2026Datas marcadas
Da mais antiga para a mais recente. As alterações a estas datas ficam registadas em alterações legais.
2022
Publicação da Diretiva (UE) 2022/2555 (NIS2) no Jornal Oficial da União Europeia, L 333.
2023
A Diretiva NIS2 entra em vigor.
2024
Termina o prazo para os Estados-Membros transporem a NIS2.
A NIS2 substitui a Diretiva NIS1, que fica revogada.
2025
Publicação do Decreto-Lei n.º 125/2025, que aprova o regime jurídico da cibersegurança e transpõe a NIS2.
2026
A Comissão Europeia propõe alterações pontuais à NIS2. É uma proposta: não altera as obrigações em vigor.
O Decreto-Lei n.º 125/2025 entra em vigor, 120 dias após a publicação.
Publicação do Regulamento n.º 756/2026 do CNCS, com a plataforma, o QNRCS e as medidas mínimas.
O Regulamento n.º 756/2026 entra em vigor, no dia seguinte à publicação.
Fim do prazo de autoidentificação das entidades já em atividade: 60 dias após a disponibilização da plataforma. A obrigação mantém-se para quem não se registou.
2027
Versão inicial da lista de ativos das entidades notificadas da qualificação em 2026, ou seis meses após a notificação, se vencer antes.
Reg. art. 32.º, n.º 3, a)VerificadoEntidades qualificadas em 2026Diário da RepúblicaAtivos, incidentes e relatórioTermina o período de 12 meses em que as entidades em adaptação podem pedir dispensa de coimas.
Texto do artigo a confirmar no Diário da República.
2028
As medidas de cibersegurança e o relatório anual produzem efeitos: 24 meses após a publicação da regulamentação.
Regra verificada. O dia exato pressupõe que toda a regulamentação referida no artigo consta do Regulamento n.º 756/2026.
DL art. 10.º, n.º 2Por confirmarEntidades essenciais e importantesDiário da RepúblicaMedidas de cibersegurança
Registo na MyCiber
Guia da etapa: Guia da autoidentificação.
| Quando | O que acontece | Quem | Base legal | Estado |
|---|---|---|---|---|
| 15 set. 2026 | Fim do prazo de autoidentificação das entidades já em atividade: 60 dias após a disponibilização da plataforma. A obrigação mantém-se para quem não se registou. | Entidades em atividade | DL art. 8.º, n.º 1Diário da República | Verificado |
| 30 dias após o início de atividade | Autoidentificação das entidades que iniciam atividade depois da entrada em vigor. | Novas entidades | DL art. 8.º, n.º 1Diário da República | Verificado |
Qualificação e nível
Guia da etapa: Guia da qualificação.
| Quando | O que acontece | Quem | Base legal | Estado |
|---|---|---|---|---|
| Até 30 dias após a qualificação | O CNCS notifica a entidade da qualificação. | CNCS | RJC art. 8.º, n.º 5Diário da República | Verificado |
| 10 dias úteis após a notificação do projeto | Audiência prévia: a entidade pronuncia-se sobre o projeto de qualificação, na plataforma. | Entidade | Reg. art. 9.º, n.º 2Diário da República | Verificado |
| 3.º dia após o envio | Sem consulta na plataforma, a notificação eletrónica considera-se feita neste dia. | Entidade | Reg. art. 19.º, n.º 4Diário da República | Verificado |
| Prazos dos arts. 31.º e 32.º do DL | Comunicação do responsável de cibersegurança e do ponto de contacto permanente, contados, nos casos aí previstos, da notificação da qualificação.Número de dias a confirmar no texto do DL. | Entidade | DL arts. 31.º e 32.º; Reg. arts. 14.º e 15.ºDiário da República | Por confirmar |
| 90 dias | Fora do âmbito, o registo provisório extingue-se. | CNCS | Reg. art. 9.º, n.º 7Diário da República | Verificado |
Medidas de cibersegurança
Guia da etapa: Explorador de medidas.
| Quando | O que acontece | Quem | Base legal | Estado |
|---|---|---|---|---|
| 22 jun. 2028 | As medidas de cibersegurança e o relatório anual produzem efeitos: 24 meses após a publicação da regulamentação.Regra verificada. O dia exato pressupõe que toda a regulamentação referida no artigo consta do Regulamento n.º 756/2026. | Entidades essenciais e importantes | DL art. 10.º, n.º 2Diário da República | Por confirmar |
| Pelo menos uma vez por ano | Análise de riscos, repetida também após alerta do CNCS. | Entidade | Reg. art. 31.º, n.º 2, a)Diário da República | Verificado |
| 72 horas · 10 dias úteis | Certificação usada como presunção de cumprimento: revogação comunicada em 72 horas; suspensão, renovação ou alteração de âmbito em 10 dias úteis. | Entidade certificada | Reg. art. 27.º, n.º 6Diário da República | Verificado |
Ativos, incidentes e relatório
Guia da etapa: Guia da lista de ativos.
| Quando | O que acontece | Quem | Base legal | Estado |
|---|---|---|---|---|
| 31 jan. 2027 | Versão inicial da lista de ativos das entidades notificadas da qualificação em 2026, ou seis meses após a notificação, se vencer antes. | Entidades qualificadas em 2026 | Reg. art. 32.º, n.º 3, a)Diário da República | Verificado |
| 3 abr. 2027 | Termina o período de 12 meses em que as entidades em adaptação podem pedir dispensa de coimas.Texto do artigo a confirmar no Diário da República. | Entidades em adaptação | DL art. 65.ºDiário da República | Por confirmar |
| 31 jan. do ano seguinte à notificação, ou 6 meses | Comunicação da versão inicial da lista de ativos acessíveis publicamente, o que vencer primeiro. | Entidade qualificada | Reg. art. 32.º, n.º 3, a)Diário da República | Verificado |
| Anualmente, com o relatório anual | Atualização da lista de ativos das entidades essenciais. | Entidades essenciais | Reg. art. 32.º, n.º 3, b)Diário da República | Verificado |
| Último dia útil de janeiro do ano seguinte | Atualização da lista de ativos das entidades importantes e públicas relevantes. | Entidades importantes e públicas relevantes | Reg. art. 32.º, n.º 3, c)Diário da República | Verificado |
| Anualmente · a pedido | Relatório anual: as entidades essenciais enviam-no todos os anos, nos prazos do art. 30.º do DL; as importantes, quando o CNCS o pedir. Modelos obrigatórios do CNCS. | Entidades essenciais e importantes | Reg. art. 13.ºDiário da República | Verificado |
| 24 horas | Notificação inicial de incidente significativo ao CNCS.Prazo a confirmar no texto do DL. | Entidades essenciais e importantes | Reg. art. 20.º; DL art. 42.ºDiário da República | Por confirmar |
| Depois da notificação inicial | Comunicação do fim do impacto significativo e relatório final ou intercalar.As fases estão verificadas; os prazos de cada fase estão no DL e estão a ser confirmados. | Entidades essenciais e importantes | Reg. art. 20.º; DL arts. 43.º e 44.ºDiário da República | Verificado |
Fontes oficiais
Em caso de divergência, prevalece o texto publicado no Diário da República e no Jornal Oficial da União Europeia.
Conteúdo informativo. Não constitui aconselhamento jurídico. A AnkoraOne não está associada ao Centro Nacional de Cibersegurança nem à plataforma MyCiber. Em caso de divergência, prevalece o texto publicado em Diário da República.
Fontes: Regulamento n.º 756/2026 · CNCS, regulamento do regime jurídico · Diretiva (UE) 2022/2555 · Decreto-Lei n.º 125/2025