NIS2 em Portugal: o regime em vigor desde abril e o regulamento de junho

O Decreto-Lei n.º 125/2025, de 4 de dezembro, transpõe a diretiva NIS2 e cria o novo Regime Jurídico da Cibersegurança. Entrou em vigor 120 dias depois da publicação, a 3 de abril de 2026. A autoridade nacional é o Centro Nacional de Cibersegurança (CNCS), ao lado das autoridades de cada setor.

O regulamento de 22 de junho

O Regulamento n.º 756/2026, do CNCS, foi publicado a 22 de junho e entrou em vigor no dia seguinte. Define:

• a plataforma eletrónica onde as entidades se identificam e são qualificadas;
• o Quadro Nacional de Referência para a Cibersegurança e uma matriz de risco;
• três níveis de conformidade, básico, substancial e elevado, cada um com medidas mínimas;
• as regras de notificação de incidentes, o relatório anual, o responsável de cibersegurança e o ponto de contacto permanente.

O que fica para mais tarde

O artigo 10.º do decreto-lei adia várias obrigações, entre elas as dos artigos 28.º a 30.º e 33.º, para 24 meses depois da publicação da regulamentação. Contando a partir de junho de 2026, o prazo chega a meados de 2028. A qualificação pelo CNCS e a preparação das medidas levam tempo, e os clientes abrangidos já estão a pedir garantias aos seus fornecedores.

Coimas

Nas contraordenações muito graves, as entidades essenciais arriscam coimas até 10 milhões de euros ou 2% do volume de negócios anual a nível mundial, e as entidades importantes até 7 milhões de euros ou 1,4%. Aplica-se o valor mais alto.

E os fornecedores?

Não existe uma certificação NIS2 para fornecedores. As entidades abrangidas têm de gerir o risco da cadeia de fornecimento e fazem-no por contrato: questionários de segurança, cláusulas novas e pedidos de evidências. Quem fornece sistemas ou serviços a uma entidade abrangida deve ter respostas prontas sobre acessos, cópias, incidentes e atualizações.

Nos sistemas que operamos, juntamos essas evidências na operação diária: autenticação multifator, cópias testadas, registos de acessos e de incidentes. Se recebeu um questionário NIS2 de um cliente, ou quer saber se a sua empresa está abrangida, fale connosco.