A minha empresa tem menos de 50 trabalhadores. Estou livre?

Provavelmente sim, mas não necessariamente. Há entidades abrangidas independentemente da dimensão, como prestadores de comunicações eletrónicas, serviços de confiança e registos de nomes de domínio. E se for fornecedor de uma entidade abrangida, vai sentir as exigências por via contratual.

Qual é a diferença entre entidade essencial e importante?

O setor e a dimensão. As essenciais estão em setores de alta criticidade e são supervisionadas de forma proativa, com coimas até 10 milhões de euros. As importantes são supervisionadas sobretudo à posteriori, na sequência de indícios de incumprimento, com coimas até 7 milhões.

O que é a plataforma MyCiber?

É a plataforma eletrónica do CNCS onde as entidades se qualificam, se registam e mantêm a informação atualizada. O registo é obrigatório e tem prazo.

Já estamos certificados ISO 27001. Chega?

Ajuda muito e cobre boa parte das medidas de gestão de risco, mas não substitui as obrigações formais do regime: qualificação, registo no CNCS, designação do responsável e do ponto de contacto, e o processo de notificação de incidentes nos prazos legais.

O que conta como incidente com impacto significativo?

Em traços gerais, um incidente que cause ou possa causar perturbação operacional grave, perdas financeiras relevantes, ou danos materiais ou morais significativos a terceiros. A avaliação faz-se caso a caso e é por isso que vale a pena ter o critério definido antes de acontecer.

Quanto tempo demora a ficar conforme?

O diagnóstico faz-se em dias. A implementação depende do ponto de partida e do nível de garantia aplicável — tipicamente entre alguns meses e um ano. A lei prevê prazos faseados até 2028 para as medidas técnicas e organizativas.

As coimas já estão a ser aplicadas?

Até abril de 2027 decorre um período de adaptação em que não são aplicadas em pleno. As obrigações, essas, já estão em vigor desde 3 de abril de 2026.

A CyberScan trata de tudo ou só de parte?

Trata do processo completo, do diagnóstico à monitorização contínua. Também trabalhamos em conjunto com a equipa de TI interna ou com o fornecedor de TI existente, quando é o que faz mais sentido.

Decreto-Lei n.º 125/2025 · Em vigor desde 3 de abril de 2026

NIS2 em Portugal: a lei já está em vigor. A sua empresa está preparada?

O novo Regime Jurídico da Segurança do Ciberespaço obriga milhares de empresas portuguesas a registar-se no CNCS, a designar um responsável de segurança e a notificar incidentes em 24 horas. As coimas chegam a 10 milhões de euros. A CyberScan trata de todo o processo, do diagnóstico à monitorização contínua.

Ver se a minha empresa está abrangida — 1 minuto Diagnóstico NIS2 gratuito Falar pelo WhatsApp

Prazo de registo a decorrer. O registo das entidades abrangidas faz-se na plataforma MyCiber do CNCS, com um prazo de 60 dias úteis a contar de 23 de junho de 2026. Quem ainda não se qualificou está fora de prazo ou muito perto disso.

Verificador de aplicabilidade NIS2

Seis perguntas, um minuto. Fica a saber se está abrangido, com que classificação e que medidas lhe faltam.

Question 1 of 6

What sector does your company operate in?

High-criticality sectors

Other critical sectors

Other

The result is shown immediately, with no email required. This is an automatic preliminary indication, generated solely from the answers given. It does not constitute legal advice. The final classification depends on a specific analysis of the company's activity, the services provided and the criteria set by the CNCS.

Formação

Formação NIS2 para Empresas

Curso executivo de 8 horas, com 12 módulos em vídeo narrado, quizzes por módulo e certificado com validação pública.

A obrigação de formação dos órgãos de gestão prevista na NIS2 torna este curso um passo concreto de conformidade.

desde 149 €

Ver o curso

Linha do tempo

4 dez 2025
Publicação do Decreto-Lei n.º 125/2025
3 abr 2026
Entrada em vigor do Regime Jurídico da Segurança do Ciberespaço
jun–set 2026
Qualificação e registo das entidades na plataforma MyCiber do CNCS
abr 2027
Fim do período de adaptação: as coimas passam a ser aplicadas em pleno
2028
Prazo final para ter todas as medidas técnicas e organizativas implementadas

O que é o NIS2

A NIS2 é a Diretiva (UE) 2022/2555, a segunda diretiva europeia sobre segurança das redes e sistemas de informação. Substitui a NIS de 2016 e alarga drasticamente o número de empresas abrangidas, de algumas centenas de operadores críticos para milhares de organizações em 18 setores da economia.

Em Portugal foi transposta pelo Decreto-Lei n.º 125/2025, de 4 de dezembro, que aprova o Regime Jurídico da Segurança do Ciberespaço (RJC) e entrou em vigor a 3 de abril de 2026. A autoridade nacional é o CNCS — Centro Nacional de Cibersegurança —, com reguladores setoriais como a ANACOM, o Banco de Portugal e a CMVM a supervisionar os respetivos setores.

A diferença face ao passado é que a cibersegurança deixou de ser uma boa prática recomendada e passou a ser uma obrigação legal com prazos, registo obrigatório, fiscalização, coimas e responsabilidade pessoal dos gestores.

A sua empresa está abrangida?

A lei classifica as organizações em entidades essenciais, entidades importantes e entidades públicas relevantes. A classificação depende de dois critérios: o setor e a dimensão.

Entidades essenciais

Setores de alta criticidade

Energia, transportes, banca e infraestruturas do mercado financeiro, saúde, água potável e águas residuais, infraestruturas digitais, gestão de serviços TIC, administração pública e espaço.

Entidades importantes

Outros setores críticos

Serviços postais e de correio, gestão de resíduos, fabrico e distribuição de produtos químicos, produção e distribuição de alimentos, indústria transformadora (incluindo dispositivos médicos, eletrónica, máquinas, veículos), prestadores de serviços digitais (mercados em linha, motores de pesquisa, redes sociais) e organizações de investigação.

Critério de dimensão

Regra geral, ficam abrangidas as médias empresas (50 ou mais trabalhadores, ou volume de negócios anual superior a 10 milhões de euros) e as grandes empresas (250 ou mais trabalhadores, ou volume de negócios superior a 50 milhões de euros). Há, porém, entidades abrangidas independentemente da dimensão, como prestadores de redes e serviços de comunicações eletrónicas, prestadores de serviços de confiança, registos de nomes de domínio e várias entidades da administração pública.

O efeito cadeia de fornecimento

Mesmo que a sua empresa não esteja diretamente abrangida, se for fornecedora de uma entidade essencial ou importante vai passar a receber questionários de segurança, exigências contratuais e auditorias dos seus clientes. Na prática, o NIS2 desce toda a cadeia.

O que a lei obriga

Qualificar-se e registar-se no CNCS

Identificar se está abrangida, determinar a categoria e o nível de garantia, e registar-se na plataforma MyCiber.

Designar responsável de segurança e ponto de contacto

Um responsável de segurança das redes e sistemas de informação e um ponto de contacto permanente, disponível 24 horas por dia.

Análise de risco e política de segurança

Metodologia formal de gestão de risco e políticas de segurança da informação documentadas e aprovadas pela gestão.

Gestão e notificação de incidentes

Processo de deteção, resposta e notificação ao CNCS dentro dos prazos legais.

Continuidade de negócio

Cópias de segurança, recuperação em caso de desastre e gestão de crises.

Segurança da cadeia de fornecimento

Avaliar e controlar o risco de fornecedores e prestadores de serviços diretos.

Higiene informática e formação

Práticas básicas de segurança e formação obrigatória e periódica, incluindo para os membros dos órgãos de gestão.

Criptografia e controlo de acessos

Uso de cifra, autenticação multifator, gestão de acessos e comunicações seguras.

Inventário de ativos

Levantamento e manutenção do inventário dos ativos relevantes, a submeter dentro do prazo definido.

O regime prevê três níveis de garantia — básico, substancial e elevado — com um número crescente de medidas obrigatórias consoante a criticidade e a dimensão da entidade. O nível aplicável determina o esforço exigido.

Notificar um incidente: o relógio dos três tempos

24 horas

Alerta precoce

A partir do momento em que tem conhecimento de um incidente com impacto significativo, tem 24 horas para dar o primeiro alerta ao CNCS.

72 horas

Notificação

Avaliação inicial do incidente: gravidade, impacto e indicadores de compromisso.

1 mês

Relatório final

Descrição detalhada, causa, medidas de mitigação aplicadas e impacto transfronteiriço, se existir.

Sem um processo montado e testado, 24 horas passam antes de perceber sequer o que aconteceu.

Coimas e responsabilidade dos gestores

Entidades essenciais

10 milhões de euros

Até 10 milhões de euros ou 2% do volume de negócios anual mundial, consoante o valor mais elevado.

Entidades importantes

7 milhões de euros

Até 7 milhões de euros ou 1,4% do volume de negócios anual mundial, consoante o valor mais elevado.

Não é só a empresa

Além da coima, as autoridades podem impor ordens vinculativas, auditorias obrigatórias e a suspensão temporária de funções de gestão. Os membros dos órgãos de gestão podem ser responsabilizados pessoalmente pelo incumprimento, e a formação em cibersegurança da gestão é obrigatória por lei.

Até abril de 2027 decorre um período de adaptação em que as coimas não são aplicadas em pleno. Isso não suspende as obrigações — o registo, a designação do responsável e a notificação de incidentes já se aplicam hoje.

Como a CyberScan trata do NIS2

Fase 1

Diagnóstico e gap analysis

Verificamos se a sua empresa está abrangida, em que categoria e com que nível de garantia. Comparamos a situação atual com o que a lei exige e entregamos um relatório com o que falta, ordenado por prioridade e esforço.

Entregáveis: parecer de aplicabilidade, matriz de conformidade, plano de ação priorizado.

Fase 2

Implementação e documentação

Construímos o que falta: políticas de segurança, análise de risco, plano de continuidade e recuperação, gestão de vulnerabilidades, autenticação multifator, controlo de acessos e avaliação de fornecedores.

Entregáveis: pacote documental completo, políticas aprovadas, medidas técnicas implementadas.

Fase 3

Registo no CNCS e resposta a incidentes

Tratamos da qualificação e do registo na plataforma MyCiber, e montamos o processo de notificação de incidentes com os prazos de 24 horas, 72 horas e 30 dias — incluindo os modelos e a linha de decisão de quem faz o quê.

Entregáveis: registo submetido, procedimento de notificação, simulacro de incidente.

Fase 4

Monitorização contínua e formação

Monitorização permanente de ameaças, vigilância da dark web e de fugas de dados associadas ao seu domínio, gestão contínua de vulnerabilidades e a formação obrigatória para colaboradores e para os órgãos de gestão.

Entregáveis: monitorização 24/7, relatórios periódicos, formação certificada.

Cada empresa tem um ponto de partida diferente. O diagnóstico é gratuito e diz-lhe exatamente onde está.

Pedir diagnóstico

Perguntas frequentes

Diagnóstico NIS2 gratuito

Diga-nos o setor e a dimensão da sua empresa. Em menos de 24 horas dizemos-lhe se está abrangida, em que categoria, e o que tem de fazer a seguir.

Falar pelo WhatsApp

Esta página tem fins informativos e não constitui aconselhamento jurídico. Para o texto integral consulte o Decreto-Lei n.º 125/2025, de 4 de dezembro, e a informação oficial do CNCS em cncs.gov.pt. Os prazos operacionais são definidos por regulamento do CNCS e podem ser atualizados.