NIS2 au Portugal : le régime en vigueur depuis avril et le règlement de juin

Le décret-loi n.º 125/2025 du 4 décembre transpose la directive NIS2 et crée le nouveau régime juridique portugais de la cybersécurité. Il est entré en vigueur 120 jours après sa publication, le 3 avril 2026. L’autorité nationale est le Centre national de cybersécurité (CNCS), aux côtés des autorités sectorielles.

Le règlement du 22 juin

Le règlement n.º 756/2026 du CNCS a été publié le 22 juin et est entré en vigueur le lendemain. Il définit :

• la plateforme électronique où les entités s’identifient et sont qualifiées ;
• le cadre national de référence pour la cybersécurité et une matrice des risques ;
• trois niveaux de conformité, élémentaire, substantiel et élevé, chacun avec des mesures minimales ;
• les règles de notification des incidents, le rapport annuel, le responsable de la cybersécurité et le point de contact permanent.

Ce qui vient plus tard

L’article 10 du décret-loi reporte plusieurs obligations, dont celles des articles 28 à 30 et 33, à 24 mois après la publication de la réglementation. À partir de juin 2026, l’échéance tombe à la mi-2028. La qualification par le CNCS et la préparation des mesures prennent du temps, et les clients concernés demandent déjà des garanties à leurs fournisseurs.

Amendes

Pour les infractions très graves, les entités essentielles encourent des amendes jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, et les entités importantes jusqu’à 7 millions d’euros ou 1,4 %. Le montant le plus élevé s’applique.

Et les fournisseurs ?

Il n’existe pas de certification NIS2 pour les fournisseurs. Les entités concernées doivent gérer le risque de la chaîne d’approvisionnement et le font par contrat : questionnaires de sécurité, nouvelles clauses et demandes de preuves. Qui fournit des systèmes ou des services à une entité concernée doit avoir des réponses prêtes sur les accès, les sauvegardes, les incidents et les mises à jour.

Sur les systèmes que nous exploitons, nous rassemblons ces preuves dans l’exploitation quotidienne : authentification multifacteur, sauvegardes testées, journaux d’accès et d’incidents. Si vous avez reçu un questionnaire NIS2 d’un client, ou voulez savoir si votre entreprise est concernée, parlez-nous-en.