A NIS2 em Portugal deixou de ser uma diretiva europeia distante e passou a ser lei nacional: o Decreto-Lei n.º 125/2025, de 4 de dezembro, aprovou o Regime Jurídico da Cibersegurança e entrou em vigor 120 dias depois, em abril de 2026. Se a sua empresa opera em setores como a indústria transformadora, a energia, a saúde, os transportes, a água, a alimentar, os resíduos, os serviços digitais ou os serviços postais, há duas hipóteses: ou está diretamente abrangida, ou vai ser puxada pelas obrigações dos seus clientes que estão.

A leitura que mais ouvimos em reuniões com gestores de PME é esta: “nós somos uma PME, a NIS2 não se aplica”. É meia verdade – e a metade que falta é cara. Este artigo mostra:

• Como saber, em concreto, se a sua empresa está abrangida;
• Que prazos correm;
• Quanto custa falhar;
• E o que fazer nos próximos meses.

O que muda com o novo Regime Jurídico da Cibersegurança

O Decreto-Lei n.º 125/2025 transpõe a Diretiva (UE) 2022/2555 – conhecida por NIS2 – e substitui o antigo Regime Jurídico de Segurança do Ciberespaço. A autoridade nacional é o Centro Nacional de Cibersegurança (CNCS).

Três mudanças que esta transposição provoca:

• Primeira, o universo de empresas abrangidas alargou muito para lá das infraestruturas críticas clássicas;
  
  
• Segunda, a cibersegurança deixou de ser assunto do departamento de IT e passou a ter responsabilidade pessoal dos órgãos de gestão;
  
  
• Terceira, as coimas passaram a ter ordem de grandeza de RGPD, com tetos em milhões de euros ou em percentagem do volume de negócios mundial.

A sua empresa está abrangida pela NIS2 em Portugal?

O novo regime cria quatro grupos:

• Entidades essenciais;
• Entidades importantes;
• Entidades públicas relevantes ;
• E um conjunto de casos que entram independentemente da dimensão!

Para uma empresa privada, o que decide é o cruzamento de dois eixos: o setor (anexos I e II do diploma) e a dimensão.

A dimensão segue a definição europeia de PME: menos de 250 pessoas e volume de negócios anual até 50 milhões de euros ou balanço total até 43 milhões. Quem excede estes limiares deixa de ser PME para efeitos do regime.

Entidade essencial

Setor crítico do anexo I (energia, transportes, saúde, água, infraestruturas digitais, banca, gestão de TIC, espaço) acima dos limiares de PME

O que tem de fazerQualificação, registo, gestão de risco, notificação de incidentes e relatório anual. Supervisão antes e depois de incidentes, com auditorias regulares.

Entidade importante

Setor do anexo I não qualificado como essencial, ou setores do anexo II (indústria transformadora, alimentar, química, resíduos, postais, serviços digitais, investigação)

O que tem de fazerAs mesmas obrigações de base. Supervisão apenas depois de um incidente, com auditorias específicas.

Fora do âmbito direto

Micro ou pequena empresa fora dos casos especiais

O que tem de fazerNada perante o CNCS. Mas continua a responder às exigências contratuais dos clientes que estão abrangidos.

Seja qual for a dimensão

Comunicações eletrónicas, serviços de confiança, registo de domínios ou DNS. Também o único prestador de um serviço essencial e o ensino superior

O que tem de fazerCumprir o regime mesmo sendo microempresa.

Repare no segundo grupo, porque é o que apanha mais empresas portuguesas de surpresa. A indústria transformadora do anexo II inclui a produção de equipamentos médicos, informáticos e elétricos, de máquinas, de automóveis e de outro equipamento de transporte. São fábricas que nunca se viram a si próprias como infraestrutura crítica e que passam a ter obrigações de notificação ao Estado.

“Somos PME, isto não nos aplica”: porque é que o raciocínio falha

Falha por duas vias distintas e convém separá-las.

A primeira são as contas.

O limiar europeu de PME é generoso: 250 pessoas e 50 milhões de euros de faturação. Uma empresa industrial com 180 colaboradores e 60 milhões de faturação já não é PME para efeitos do regime, mesmo que toda a gente lá dentro lhe chame PME. Vale a pena ir buscar os números do último exercício antes de decidir que está de fora.

A segunda é comercial e apanha toda a gente.

O regime obriga as entidades abrangidas a gerir o risco da sua cadeia de abastecimento, ou seja, a garantir que os fornecedores não lhes trazem risco acrescido. Na prática, a empresa que está obrigada vai transferir a exigência por contrato para quem lhe presta serviços. Se fornece uma fábrica, um hospital, um operador de energia ou uma empresa de logística, conte com questionários de segurança, cláusulas novas e pedidos de prova.

Vemos isto a acontecer antes da fiscalização: a pressão chega primeiro do cliente, não do regulador. Quem não conseguir responder ao questionário perde a renovação, e ninguém escreve numa ata que o motivo foi a segurança informática.

Que prazos tem mesmo de cumprir?

Há dois blocos de prazos que se confundem com frequência: os de entrada no sistema e os de reação a um incidente.

Na qualificação, a entidade comunica ao CNCS que existe e em que categoria se enquadra:

• Empresas que iniciem atividade têm 30 dias;
  
  
• As que já estavam em funcionamento quando o regime entrou em vigor contam 60 dias a partir da disponibilização da plataforma eletrónica do CNCS e não da data da lei.

Este detalhe é a diferença entre estar em falta e não estar. As qualificações são revistas pelo menos de dois em dois anos. Mas há mais.

Na notificação de incidentes significativos, o relógio é bem mais apertado:

• 24 horas após a deteção, notificação inicial ao CNCS com informação preliminar sobre o impacto e as medidas já tomadas;
  
  
• 72 horas após a verificação do incidente, atualização das informações, quando o impacto significativo ainda se mantém;
  
  
• 24 horas após verificar que o impacto significativo terminou, notificação de fim de impacto;
  
  
• 30 dias úteis a contar dessa notificação de fim, relatório final com causas, impactos, ações corretivas e medidas preventivas.

Vinte e quatro horas é pouco tempo para uma empresa que descobre um ataque de ransomware às três da manhã de sábado. Se não houver quem notifique, com que contacto e com que texto, o prazo passa enquanto a equipa tenta perceber o que aconteceu. Este é o ponto onde a preparação vale mais do que qualquer ferramenta.

E há ainda outra janela temporal que se está a fechar, a ter em conta

Durante 12 meses a contar da entrada em vigor, ou seja, até abril de 2027, as entidades podem pedir dispensa de coimas desde que demonstrem estar em processo de adaptação. Em setembro de 2026 sobram cerca de sete meses – e “estar em processo de adaptação” exige documentos, não intenções.

Quanto custa não cumprir?

As contraordenações estão escalonadas por gravidade e por categoria da entidade. Falhar as medidas de cibersegurança ou o dever de notificar um incidente conta como muito grave.

Muito grave

ex.: não notificar um incidente

Entidades essenciaisAté 10 milhões de euros ou 2% do volume de negócios anual mundial, o que for mais elevado

Entidades importantesAté 7 milhões de euros ou 1,4% do volume de negócios anual mundial, o que for mais elevado

Grave

ex.: não fazer o registo na plataforma

Entidades essenciaisAté 5 milhões de euros ou 1% do volume de negócios anual mundial

Entidades importantesAté 3,5 milhões de euros ou 0,7% do volume de negócios anual mundial

Leve

falhas menores de conformidade

Ambas as categoriasAté 45 mil euros para pessoa coletiva, valor uniforme independentemente da categoria

Praticadas por pessoa singular, as coimas muito graves vão até 200 mil euros e as graves até 125 mil. A negligência também é punida nas infrações muito graves e graves, com os limites reduzidos a metade. Não é preciso má-fé para pagar.

Quem responde pela NIS2 em Portugal: a gerência, não o IT

É aqui que o regime muda mesmo o jogo. Os órgãos de gestão, direção e administração passam a poder ser responsabilizados por ações ou omissões, com dolo ou culpa grave, pelas infrações do regime. E estas funções não são delegáveis, exceto noutro titular dos mesmos órgãos. Não se resolve com um email para o fornecedor de informática.

Cabe à gestão aprovar e supervisionar as medidas de gestão de risco e garantir que há formação e sensibilização regulares em cibersegurança. Além do Responsável pela Cibersegurança, que propõe as medidas, gere o risco residual, assegura o relatório anual ao CNCS e coordena o ponto de contacto permanente.

Três formas de cumprir a NIS2 em Portugal

Não existe um caminho único e a escolha depende mais da dimensão da sua equipa interna do que do setor. Estas são as três formas que vemos no terreno.

Equipa interna

Faz sentido quandoJá tem um responsável de sistemas dedicado e mais de dois técnicos, com capacidade para turnos.

Onde costuma falharNa cobertura fora de horas. O prazo de 24 horas não respeita fins de semana nem férias.

Consultoria pontual

Faz sentido quandoPrecisa do enquadramento legal e de um plano, e depois executa por dentro.

Onde costuma falharEntrega um relatório e vai-se embora. As obrigações do regime são contínuas, não são um projeto com fim.

Parceiro de IT gerido

Faz sentido quandoNão tem equipa interna suficiente para monitorização contínua nem para responder em horas.

Onde costuma falharQuando o contrato não diz quem notifica o CNCS. A responsabilidade legal continua a ser da gerência, e isso não se subcontrata.

Seja qual for o caminho, há uma pergunta que separa quem está preparado de quem só acha que está: quem carrega no botão às três da manhã e com que informação? Se não souber responder com um nome, ainda não tem o processo montado.

Checklist: por onde começar nos próximos 90 dias

Este é o percurso que a Morebiz segue com clientes que estão a entrar no âmbito da NIS2 em Portugal, por ordem de urgência e não de dificuldade:

• Confirme o enquadramento com números reais: CAE, número de colaboradores e volume de negócios do último exercício fechado;
  
  
• Verifique se algum cliente seu está abrangido, porque a exigência contratual chega antes da fiscalização;
  
  
• Nomeie por escrito o Responsável pela Cibersegurança e o ponto de contacto permanente, com substituto para férias e baixas;
  
  
• Escreva o procedimento de notificação numa página: quem deteta, quem decide se é significativo, quem submete e em que prazo;
  
  
• Levante os ativos e faça o inventário de sistemas, acessos e fornecedores com ligação à sua rede;
  
  
• Teste o restauro das cópias de segurança, porque um backup que nunca foi restaurado é uma suposição;
  
  
• Reveja os contratos com fornecedores de IT e adicione as obrigações de segurança e de comunicação de incidentes;
  
  
• Agende a formação da equipa e registe a presença, já que a lei exige ações regulares e a prova é documental;
  
  
• Guarde tudo o que fizer com data, porque é isso que sustenta o pedido de dispensa de coimas até abril de 2027.

Se a sua empresa é industrial e tem linhas automáticas, o inventário tem de incluir o lado operacional. Uma auditoria OT a fábricas com SCADA encontra quase sempre equipamento com sistema operativo fora de suporte ligado à mesma rede dos computadores administrativos.

Erros comuns que encontramos

Repetem-se sempre os mesmos enganos. Estes são os que apanhamos mais vezes no terreno, e cada um sai bem mais caro do que parece à partida.

• Tratar a NIS2 como se fosse o RGPD outra vez. São regimes diferentes, com autoridades diferentes: um protege dados pessoais, o outro protege a continuidade do serviço;
  
  
• Confundir a qualificação com o registo. São procedimentos distintos e ambos têm de ser submetidos;
  
  
• Contar os 60 dias a partir da entrada em vigor da lei, quando contam a partir da disponibilização da plataforma do CNCS;
  
  
• Assumir que o fornecedor de informática notifica o CNCS. Se não estiver escrito no contrato, não acontece;
  
  
• Deixar a formação para o fim, quando é das obrigações mais baratas de cumprir e das mais fáceis de provar.

Nenhum destes erros é difícil de evitar. Todos são difíceis de explicar numa inspeção depois de o incidente já ter acontecido.

Perguntas frequentes sobre a NIS2 em Portugal

Desde quando é que a NIS2 é lei em Portugal?

O Decreto-Lei n.º 125/2025 foi publicado a 4 de dezembro de 2025 e o artigo 11.º determina a entrada em vigor 120 dias depois, ou seja, em abril de 2026. A Diretiva (UE) 2022/2555 é de dezembro de 2022, que Portugal transpôs com atraso face ao prazo europeu.

A minha empresa tem 40 pessoas. Está abrangida?

Provavelmente não de forma direta, porque micro e pequenas empresas estão excluídas do âmbito. Há exceções que entram seja qual for a dimensão, como fornecedores de redes ou serviços de comunicações eletrónicas, prestadores de serviços de confiança, registos de domínios e serviços de DNS, além do ensino superior e de quem seja o único prestador de um serviço essencial. E mantém-se a via contratual, pela cadeia de abastecimento dos seus clientes.

Qual é o prazo para notificar um incidente ao CNCS?

A notificação inicial vai até 24 horas após a deteção de um incidente significativo. A atualização, quando se justifique, até 72 horas após a verificação do incidente. A notificação de fim de impacto até 24 horas depois de o impacto significativo terminar. E o relatório final até 30 dias úteis a contar dessa notificação de fim.

A gerência pode ser responsabilizada pessoalmente?

Sim. O regime prevê a responsabilização dos órgãos de gestão, direção e administração por ações ou omissões com dolo ou culpa grave, e as funções não são delegáveis fora desses órgãos. Coimas praticadas por pessoa singular chegam a 200 mil euros nas infrações muito graves.

Ainda dá para evitar coimas se começarmos agora?

Durante 12 meses a contar da entrada em vigor, até abril de 2027, as entidades podem solicitar dispensa de coimas desde que demonstrem estar em processo de adaptação ao novo quadro legal. O que conta é a prova documentada do que já foi feito, com datas.

Pontos-chave

• A NIS2 em Portugal é lei desde abril de 2026, pelo Decreto-Lei n.º 125/2025;
  
  
• O que decide o enquadramento é o setor cruzado com a dimensão, e o limiar de PME são 250 pessoas e 50 milhões de euros;
  
  
• Quem não está abrangido é apanhado pela cadeia de abastecimento dos clientes que estão;
  
  
• O relógio dos incidentes é de 24 horas, 72 horas e 30 dias úteis para o relatório final;
  
  
• A responsabilidade é da gerência e não se subcontrata, mesmo quando a execução é externa;
  
  
• A janela para pedir dispensa de coimas fecha em abril de 2027.

O passo seguinte

Cumprir a NIS2 em Portugal começa por uma resposta objetiva a uma pergunta simples: está ou não abrangido, e com que categoria. A partir daí, o trabalho é conhecido e faz-se por fases, sem parar a operação.

A Morebiz é o departamento de IT externo de empresas portuguesas que não têm equipa para monitorizar sistemas 24 horas por dia. Ajudamos a enquadrar a sua empresa no regime, a montar o procedimento de notificação e a fechar as falhas que aparecem no levantamento. Agende uma consultoria grátis e saia da conversa a saber onde está.

Ao enviar os seus dados através do formulário de contacto, autoriza a Morebiz a tratá-los para responder ao seu pedido, nos termos do Regulamento Geral sobre a Proteção de Dados. Pode retirar o consentimento a qualquer momento através de geral@morebiz.pt.

Fontes consultadas: texto do Decreto-Lei n.º 125/2025, Diretiva (UE) 2022/2555 no EUR-Lex e o guia prático da PLMJ sobre o Regime Jurídico da Cibersegurança. Este artigo é informativo e não substitui aconselhamento jurídico.