A Diretiva NIS2 deixou de ser apenas uma referência europeia distante. Em Portugal, o novo Regime Jurídico da Cibersegurança foi aprovado pelo Decreto-Lei n.º 125/2025, de 4 de dezembro, que transpõe a Diretiva (UE) 2022/2555 para a ordem jurídica interna. O diploma entrou em vigor 120 dias após a sua publicação, ou seja, a 3 de abril de 2026.
Na prática, isto significa que muitas organizações públicas e privadas passam a estar perante um quadro mais exigente de governação, gestão de risco, reporte de incidentes e responsabilização da gestão de topo. A cibersegurança deixa de ser vista apenas como uma matéria técnica do departamento de IT e passa a ser uma obrigação estratégica de continuidade, conformidade e resiliência operacional.
O que é a Diretiva NIS2?
A Diretiva NIS2 é a atualização do quadro europeu de cibersegurança criado pela primeira diretiva NIS. O seu objetivo é garantir um nível comum mais elevado de cibersegurança em toda a União Europeia, através de regras mais claras para setores críticos, entidades relevantes e organizações cuja atividade tem impacto económico ou social significativo.
Em Portugal, a transposição foi feita através do Decreto-Lei n.º 125/2025, que aprova o novo Regime Jurídico da Cibersegurança. O diploma aplica-se, entre outras, a entidades essenciais, entidades importantes e entidades públicas relevantes.
O Centro Nacional de Cibersegurança (CNCS) destaca que o novo regime alarga o âmbito de aplicação a setores como gestão de serviços de tecnologias da informação e comunicação, águas residuais, espaço, indústria transformadora, serviços postais e de estafeta, gestão de resíduos, produtos químicos, produtos alimentares, serviços digitais e investigação.
Porque é que a NIS2 é relevante agora?
A entrada em vigor do regime acontece num contexto em que os riscos digitais estão a crescer em frequência e sofisticação. Segundo informação divulgada pelo portal Digital.gov.pt, com base na 6.ª edição do Relatório de Cibersegurança do CNCS, 2024 foi marcado por um aumento significativo dos incidentes de cibersegurança em Portugal, incluindo ransomware, ataques DDoS, falhas críticas de serviço e fugas de credenciais. O mesmo relatório indica que 90% das entidades inquiridas percecionavam um risco acrescido de sofrer um incidente em 2025.
Estes números ajudam a explicar a lógica da NIS2: a cibersegurança deixou de ser uma questão de prevenção isolada. Passou a ser uma exigência de resiliência, capacidade de resposta e responsabilidade organizacional.
Principais obrigações das empresas abrangidas pela NIS2
O novo regime português exige que as entidades abrangidas adoptem medidas técnicas, operacionais e organizativas adequadas para gerir os riscos que afectam a segurança das redes e dos sistemas de informação. O objetivo é impedir ou minimizar o impacto dos incidentes nos destinatários dos serviços e noutros serviços dependentes.
Na prática, as empresas devem preparar-se para rever políticas, processos e mecanismos internos relacionados com:
- gestão de riscos de cibersegurança;
- segurança das redes e dos sistemas de informação;
- prevenção, deteção e resposta a incidentes;
- continuidade de negócio e recuperação;
- segurança da cadeia de fornecimento;
- formação e sensibilização interna;
- governação e responsabilização da gestão.
Um ponto relevante é que nem todas as obrigações produzem efeitos da mesma forma ou no mesmo momento. O Decreto-Lei prevê que algumas medidas específicas, incluindo as associadas aos artigos 27.º a 30.º, ao artigo 33.º e a determinadas contraordenações, produzam efeitos 24 meses após a publicação da regulamentação complementar aplicável.
Isto não deve ser interpretado como margem para inação. Pelo contrário, o período de transição deve ser usado para mapear riscos, definir responsáveis, rever procedimentos e criar evidências documentais de conformidade.
Responsabilidade direta da gestão de topo
Uma das alterações mais relevantes da NIS2 é a responsabilização dos órgãos de gestão, direção e administração.
O Decreto-Lei n.º 125/2025 estabelece que estes órgãos aprovam as medidas de gestão dos riscos de cibersegurança e supervisionam a sua aplicação. O diploma também prevê que os titulares dos órgãos de gestão, direção e administração podem responder por ação ou omissão, com dolo ou culpa grave, pelas infrações previstas no regime.
Este ponto altera a forma como as empresas devem tratar a cibersegurança internamente. A gestão de topo não pode limitar-se a delegar o tema para equipas técnicas. É necessário demonstrar envolvimento, supervisão e tomada de decisão informada.
Na prática, isto exige que administradores e gestores tenham acesso a indicadores claros, relatórios periódicos, planos de mitigação, evidências de formação e mecanismos internos para identificação e comunicação de riscos.
Notificação obrigatória de incidentes
A NIS2 também reforça as obrigações de reporte de incidentes. Em Portugal, as entidades essenciais, importantes e públicas relevantes devem submeter notificações quando exista um incidente sujeito a comunicação obrigatória.
O regime prevê uma notificação inicial sem demora injustificada e até 24 horas após a verificação de que existe, ou pode vir a existir, um incidente significativo. Quando necessário, deve ser enviada uma atualização até 72 horas após essa verificação. O relatório final deve ser apresentado no prazo de 30 dias úteis a contar da notificação do fim do impacto significativo do incidente.
Este ponto é crítico porque obriga as organizações a terem processos previamente definidos. Não basta reagir quando o incidente acontece. É preciso saber quem decide, quem comunica, que informação deve ser recolhida, que autoridades devem ser notificadas e como preservar evidências.
Coimas e sanções: qual é o risco do incumprimento?
O incumprimento pode ter impacto financeiro relevante. Para contraordenações muito graves, o Decreto-Lei prevê, no caso de entidades essenciais, coimas de € 2.000 a € 10.000.000 ou 2% do volume de negócios anual mundial, consoante o montante mais elevado, quando praticadas por pessoa coletiva. Para entidades importantes, as coimas podem ir de € 1.250 a € 7.000.000 ou até um montante máximo não inferior a 1,4% do volume de negócios anual mundial, consoante o montante mais elevado.
Além das coimas, o regime prevê sanções acessórias, incluindo a possibilidade de interdição temporária dos titulares dos órgãos de gestão, direção e administração do exercício das respetivas funções.
Ou seja, a NIS2 não trata apenas de multas à organização. O novo quadro também aumenta a pressão sobre a responsabilidade individual dos decisores.
Como as empresas devem preparar-se?
O primeiro passo é perceber se a organização está abrangida pelo novo regime e em que categoria se enquadra: entidade essencial, entidade importante ou entidade pública relevante. A partir daí, é necessário construir um plano de adequação proporcional ao risco, à dimensão e à criticidade da atividade.
Algumas medidas práticas incluem:
- mapear os sistemas, ativos críticos e dependências digitais;
- rever políticas internas de cibersegurança e continuidade de negócio;
- definir responsáveis formais e fluxos de decisão;
- criar procedimentos de resposta e notificação de incidentes;
- formar colaboradores e lideranças sobre riscos digitais;
- avaliar fornecedores e riscos da cadeia de abastecimento;
- documentar evidências de conformidade;
- integrar cibersegurança, proteção de dados, compliance e gestão de riscos.
O CNCS também indica que as entidades abrangidas terão dever de identificação e inscrição em plataforma eletrónica, no prazo de 30 dias após o início da atividade ou, para entidades já em atividade aquando da entrada em vigor do regime, no prazo de 60 dias após a disponibilização da plataforma pelo CNCS.
A NIS2 também é um tema de cultura organizacional
Embora a Diretiva NIS2 tenha uma forte dimensão técnica, a sua aplicação depende da maturidade da organização. Falhas de cibersegurança raramente são apenas falhas tecnológicas. Muitas vezes envolvem processos pouco claros, ausência de formação, reporte tardio de incidentes, falta de canais internos adequados e baixa integração entre áreas.
Por isso, a conformidade com a NIS2 deve ser vista como parte de uma cultura de integridade, segurança e responsabilidade. Empresas que incentivam a comunicação de riscos, protegem quem reporta problemas e tratam incidentes com transparência tendem a responder melhor a crises digitais.
Neste contexto, canais seguros, mecanismos de reporte e processos bem definidos de tratamento de alertas podem apoiar uma atuação mais rápida, estruturada e documentada perante incidentes, vulnerabilidades ou falhas relevantes.
Conclusão
A Diretiva NIS2 representa uma mudança estrutural na forma como as empresas em Portugal devem encarar a cibersegurança. A partir de 3 de abril de 2026, o novo Regime Jurídico da Cibersegurança reforça obrigações, amplia responsabilidades e exige uma abordagem mais madura à gestão de riscos digitais.
Para as empresas abrangidas, o desafio não é apenas cumprir uma nova obrigação legal. É demonstrar capacidade de prevenção, resposta, governação e resiliência. A cibersegurança passa a estar no centro da gestão de risco corporativo e deve ser tratada como uma prioridade da administração.
