NIS2 en Portugal: el régimen en vigor desde abril y el reglamento de junio

El Decreto-Ley n.º 125/2025, de 4 de diciembre, transpone la directiva NIS2 y crea el nuevo Régimen Jurídico de la Ciberseguridad portugués. Entró en vigor 120 días después de su publicación, el 3 de abril de 2026. La autoridad nacional es el Centro Nacional de Ciberseguridad (CNCS), junto a las autoridades de cada sector.

El reglamento del 22 de junio

El Reglamento n.º 756/2026, del CNCS, se publicó el 22 de junio y entró en vigor al día siguiente. Define:

• la plataforma electrónica donde las entidades se identifican y son clasificadas;
• el Marco Nacional de Referencia para la Ciberseguridad y una matriz de riesgo;
• tres niveles de conformidad, básico, sustancial y elevado, cada uno con medidas mínimas;
• las normas de notificación de incidentes, el informe anual, el responsable de ciberseguridad y el punto de contacto permanente.

Qué queda para más adelante

El artículo 10 del decreto-ley aplaza varias obligaciones, entre ellas las de los artículos 28 a 30 y 33, hasta 24 meses después de la publicación de la reglamentación. Contando desde junio de 2026, el plazo llega a mediados de 2028. La clasificación por el CNCS y la preparación de las medidas llevan tiempo, y los clientes afectados ya están pidiendo garantías a sus proveedores.

Multas

En las infracciones muy graves, las entidades esenciales se exponen a multas de hasta 10 millones de euros o el 2% del volumen de negocios anual mundial, y las entidades importantes de hasta 7 millones de euros o el 1,4%. Se aplica el importe más alto.

¿Y los proveedores?

No existe una certificación NIS2 para proveedores. Las entidades afectadas tienen que gestionar el riesgo de la cadena de suministro y lo hacen por contrato: cuestionarios de seguridad, cláusulas nuevas y peticiones de evidencias. Quien suministra sistemas o servicios a una entidad afectada debe tener respuestas preparadas sobre accesos, copias, incidentes y actualizaciones.

En los sistemas que operamos, reunimos esas evidencias en la operación diaria: autenticación multifactor, copias probadas, registros de accesos y de incidentes. Si ha recibido un cuestionario NIS2 de un cliente, o quiere saber si su empresa está afectada, hable con nosotros.