A NIS2 em Portugal, em linguagem simples
O que é, a quem se aplica e o que a entidade tem de fazer, por ordem. Para quem está a começar e para quem tem de explicar o tema à administração.
A NIS2 é a diretiva europeia de cibersegurança. Em Portugal aplica-se através do Decreto-Lei n.º 125/2025, em vigor desde 3 de abril de 2026. As entidades abrangidas têm de se registar na MyCiber, a plataforma do CNCS, e aplicar as medidas do nível que lhes for atribuído.
DL 125/2025, arts. 8.º e 11.º · Regulamento n.º 756/2026O que é a NIS2
Três textos, cada um com um papel.
| Facto | Fonte | Estado |
|---|---|---|
| A Diretiva (UE) 2022/2555 (NIS2) fixa regras comuns de cibersegurança para a União Europeia. | Diretiva NIS2 | Verificado |
| O Decreto-Lei n.º 125/2025 transpõe a NIS2 e aprova o regime jurídico da cibersegurança. Entrou em vigor a 3 de abril de 2026. | DL 125/2025, art. 11.º | Verificado |
| O Regulamento n.º 756/2026 do CNCS define os procedimentos: plataforma MyCiber, qualificação, níveis de conformidade, medidas mínimas e notificação de incidentes. Está em vigor desde 23 de junho de 2026. | Reg. art. 34.º | Verificado |
A lei aplica-se à minha entidade?
Três perguntas, sem registo das respostas. O resultado é uma indicação e não substitui a autoidentificação.
A quem se aplica
| Facto | Fonte | Estado |
|---|---|---|
| Empresas médias e grandes dos setores dos Anexos I e II. São médias, em regra, a partir de 50 pessoas, ou com volume de negócios e balanço anuais acima de 10 milhões de euros. | DL 125/2025 · Recomendação 2003/361/CE | Subsetores a confirmar |
| Prestadores de serviços de DNS, registos de nomes de domínio de topo e prestadores qualificados de serviços de confiança, seja qual for a dimensão. São entidades essenciais. | DL 125/2025, art. 6.º | Verificado |
| Entidades da Administração Pública, em dois grupos: Grupo A, com 250 ou mais trabalhadores, e Grupo B, com 75 a 249. | DL 125/2025, art. 7.º | Verificado |
| As empresas fora destes setores não estão abrangidas diretamente, mas os clientes abrangidos podem exigir-lhes medidas de segurança no contrato (segurança da cadeia de abastecimento). | NIS2, art. 21.º, n.º 2, d) | Texto a reconfirmar |
Setores
| Anexo I (setores de criticidade elevada) | Anexo II (outros setores críticos) |
|---|---|
| Energia | Serviços postais e de estafeta |
| Transportes | Gestão de resíduos |
| Setor bancário e infraestruturas do mercado financeiro | Produtos químicos |
| Saúde | Produtos alimentares |
| Água potável e águas residuais | Indústria transformadora (dispositivos médicos, eletrónica, equipamento elétrico, máquinas, veículos) |
| Infraestruturas digitais e gestão de serviços TIC | Prestadores de serviços digitais (mercados em linha, motores de pesquisa, redes sociais) |
| Administração Pública e espaço | Investigação |
Setores dos Anexos I e II da Diretiva NIS2. A lista de subsetores e tipos de entidade dos anexos do DL 125/2025 está a ser confirmada no texto publicado.
Como a entidade é classificada
Depois do registo, o CNCS envia um projeto de qualificação. A entidade tem 10 dias úteis para se pronunciar. A decisão final indica a categoria (essencial, importante ou pública relevante) e o nível de conformidade, calculado com a matriz de risco do Anexo II do Regulamento.
Regulamento n.º 756/2026, art. 9.º e Anexo II.
Regulamento n.º 756/2026, Anexos II e III. As medidas são cumulativas (art. 30.º, n.º 2).
O que a entidade tem de fazer, por ordem
- Registar a entidade na MyCiber. O prazo geral de 60 dias úteis terminou a 15 de setembro de 2026; a obrigação mantém-se. As novas entidades têm 30 dias após o início de atividade. Guia da autoidentificação
- Responder ao projeto de qualificação em 10 dias úteis, se discordar. Calcular o prazo
- Designar o responsável de cibersegurança e o ponto de contacto permanente e comunicá-los ao CNCS, nos prazos dos arts. 31.º e 32.º do DL 125/2025, contados da notificação da qualificação.
- Comunicar a lista de ativos acessíveis publicamente até 31 de janeiro do ano seguinte à notificação, ou seis meses depois, o que vencer primeiro. Guia da lista de ativos
- Aplicar as medidas do nível. As medidas e o relatório anual produzem efeitos 24 meses após a regulamentação. Explorador de medidas
- Notificar os incidentes significativos ao CNCS em três momentos: notificação inicial até 24 horas, fim do impacto significativo e relatório final ou intercalar.
DL 125/2025, arts. 8.º, 10.º, n.º 2, e 42.º; Regulamento n.º 756/2026, arts. 9.º, 14.º, 15.º, 20.º e 32.º. O número de dias dos arts. 31.º e 32.º do DL e os prazos intermédios dos incidentes estão a ser confirmados.
Coimas
A falta de registo é contraordenação grave. Valores máximos por tipo de entidade:
| Entidade | Contraordenação grave (inclui falta de registo) | Contraordenação muito grave |
|---|---|---|
| Essencial | até 5 M€ ou 1% do volume de negócios mundial | até 10 M€ ou 2% |
| Importante | até 3,5 M€ ou 0,7% | até 7 M€ ou 1,4% |
| Pública, Grupo A | até 2,5 M€ | até 4 M€ |
| Pública, Grupo B | até 225 mil € | até 350 mil € |
DL 125/2025, Capítulo VII. Com negligência, os limites descem para metade. Os órgãos de gestão podem ser responsabilizados por ações ou omissões com dolo ou culpa grave (art. 25.º). Valores com base em análises publicadas por escritórios de advogados; a confirmar no texto publicado em Diário da República.
Termos que vai encontrar
NIS2
Diretiva (UE) 2022/2555, com regras europeias comuns de cibersegurança para entidades de setores críticos.
RJC
Regime jurídico da cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025, que transpõe a NIS2 para Portugal.
CNCS
Centro Nacional de Cibersegurança, a autoridade nacional de cibersegurança. Recebe o registo e qualifica as entidades.
MyCiber
Plataforma eletrónica do CNCS onde se faz o registo (autoidentificação) e as comunicações obrigatórias.
Autoidentificação
Registo da entidade na MyCiber. É o primeiro ato obrigatório e gera um recibo com data e hora.
Qualificação
Decisão do CNCS que classifica a entidade e fixa o nível de conformidade. Antes da decisão, a entidade recebe um projeto e pode pronunciar-se.
Entidade essencial, importante ou pública relevante
As três categorias de entidades abrangidas. A categoria é atribuída pelo CNCS na qualificação.
Nível de conformidade
Básico, substancial ou elevado. Define o número de medidas mínimas: 43, 102 ou 153.
QNRCS
Quadro Nacional de Referência para a Cibersegurança: 107 controlos em seis objetivos, de Gerir a Recuperar.
Responsável de cibersegurança
Pessoa designada pela entidade para a cibersegurança, comunicada ao CNCS.
Ponto de contacto permanente
Contacto que o CNCS usa para comunicar com a entidade a qualquer momento.
Incidente significativo
Incidente com impacto relevante nos serviços da entidade. Tem de ser notificado ao CNCS. O CNCS vai publicar critérios mais detalhados.
Conteúdo informativo. Não constitui aconselhamento jurídico. A AnkoraOne não está associada ao Centro Nacional de Cibersegurança nem à plataforma MyCiber. Em caso de divergência, prevalece o texto publicado em Diário da República.
Fontes: Regulamento n.º 756/2026 · CNCS, regulamento do regime jurídico · Diretiva (UE) 2022/2555