NIS2 em Portugal: guia prático para PMEs

A NIS2 aplica-se em Portugal desde 3 de abril de 2026, por força do Decreto-Lei n.º 125/2025, e abrange em regra as médias e grandes empresas de dezenas de setores, a partir de 50 trabalhadores ou 10 milhões de euros de faturação anual. O alcance surpreende. Uma PME mais pequena pode ficar fora da letra da lei e, ainda assim, ter de provar práticas de segurança aos clientes que são abrangidos. Este guia explica o que a lei exige, quem apanha e por onde se começa.

Os números a reter

• Em vigor desde 3 de abril de 2026.
• Abrange, em regra, empresas a partir de 50 trabalhadores ou 10 milhões de euros de faturação anual nos setores listados.
• Registo na plataforma MyCiber do CNCS: para as entidades já em atividade, o prazo terminou a 15 de setembro de 2026; quem começa atividade tem 30 dias a contar do início.
• Responsável de cibersegurança e ponto de contacto permanente comunicados em 20 dias úteis, contados da notificação da qualificação pelo CNCS.
• Três níveis de medidas: 39 no Básico, 75 no Substancial e 91 no Elevado.
• Coimas até 10 milhões de euros ou 2 % do volume de negócios mundial para entidades essenciais; até 7 milhões ou 1,4 % para as importantes.

O que é a NIS2?

A NIS2 (Network and Information Security 2) é a diretiva europeia de cibersegurança que substituiu a NIS1 de 2016. A primeira versão aplicava-se sobretudo a operadores de infraestruturas críticas, como energia, banca e telecomunicações. A NIS2 vai mais longe. Passa a cobrir grande parte da economia, incluindo médias empresas de dezenas de setores.

A lógica é simples: o ransomware ataca fábricas, clínicas, transportadoras e câmaras municipais, e uma cadeia é tão forte quanto o seu elo mais fraco. A diretiva quer subir o nível mínimo de segurança de toda a economia europeia.

Como foi a NIS2 transposta para a lei portuguesa?

Pelo Decreto-Lei n.º 125/2025, de 4 de dezembro, que criou o novo regime jurídico da cibersegurança e produz efeitos desde 3 de abril de 2026. Durante meses existiu só no papel. O Regulamento n.º 756/2026, publicado a 22 de junho de 2026 (em vigor desde o dia seguinte), veio definir as regras de funcionamento da plataforma MyCiber, os procedimentos de registo e qualificação das entidades, as obrigações de notificação de incidentes, bem como as regras de gestão de risco e de ativos.

A supervisão cabe ao Centro Nacional de Cibersegurança (CNCS), que é o ponto central de registo, comunicação e fiscalização. O registo faz-se na MyCiber. A MyCiber é a plataforma eletrónica do CNCS onde as entidades se registam e notificam incidentes. As medidas exigidas seguem o Quadro Nacional de Referência para a Cibersegurança (QNRCS), um referencial português com listas concretas de medidas verificáveis.

Que prazos de registo existem?

O artigo 8.º do regime jurídico da cibersegurança diz que as entidades já em atividade se identificam na plataforma do CNCS no prazo de 60 dias a contar da disponibilização dessa plataforma; as que iniciam atividade têm 30 dias a contar do início. A plataforma ficou disponível a 23 de junho de 2026 e o CNCS contou os 60 dias em dias úteis, segundo a regra do Código do Procedimento Administrativo: o prazo terminou a 15 de setembro de 2026. A obrigação mantém-se para quem ficou de fora. A falta de registo é contraordenação grave, mas, salvo dolo, o CNCS tem de advertir a entidade antes de abrir processo.

O responsável de cibersegurança e o ponto de contacto permanente comunicam-se à autoridade em 20 dias úteis, nos termos dos artigos 31.º e 32.º. Para as entidades que já estavam em atividade, o Regulamento n.º 756/2026 conta esses 20 dias úteis a partir da notificação da qualificação pelo CNCS. O ponto de contacto permanente não tem de ser um informático. Tem de ser alguém identificável, com nome, que responda quando o regulador ou um cliente perguntar.

O regime anterior abrangia cerca de 450 entidades em Portugal e estima-se que o novo abranja perto de seis mil. Muitas ainda não sabem. Registar não é cumprir: depois do registo há um período de adaptação para implementar as medidas, e é aí que está o trabalho a sério.

A minha empresa é abrangida pela NIS2?

A resposta tem três camadas: o setor, a dimensão e a cadeia de fornecimento.

Que setores estão abrangidos?

A lei aplica-se a entidades públicas ou privadas classificadas como essenciais ou importantes. A lista é longa. Inclui energia, águas, resíduos, transportes, saúde, banca, infraestruturas financeiras, infraestruturas digitais, serviços de TI, administração pública, espaço, serviços postais. Continua com produção alimentar, distribuição alimentar, fabrico (dispositivos médicos, eletrónica, maquinaria, veículos), fornecedores de serviços digitais, investigação.

Na prática, isto apanha negócios muito comuns: uma empresa de transportes ou logística, um laboratório ou clínica, uma indústria agroalimentar, uma empresa de instalação e gestão de redes informáticas, um município.

Que critérios de dimensão se aplicam?

Em regra, são abrangidas as médias e grandes empresas destes setores, a partir de 50 trabalhadores ou 10 milhões de euros de faturação anual. Há exceções com peso. Certas entidades são abrangidas independentemente da dimensão, por exemplo prestadores de serviços críticos ou entidades únicas num território.

Como funciona o efeito dominó da cadeia de fornecimento?

A NIS2 obriga as entidades abrangidas a gerir os riscos da sua cadeia de fornecimento. Se a sua PME fornece software, manutenção, componentes, logística ou serviços de TI a uma empresa abrangida, o cliente vai passar a exigir-lhe, por contrato, provas de cibersegurança. Quase toda a gente ignora isto. Mesmo que a lei não o abranja diretamente, o mercado vai abrangê-lo, e quem não conseguir demonstrar práticas mínimas de segurança arrisca-se a perder clientes para concorrentes que consigam.

Que obrigações tem uma PME na prática?

O regime português organiza as exigências em três níveis de maturidade, alinhados com o QNRCS: 39 medidas no nível Básico, 75 no Substancial e 91 no Elevado. Os números assustam. Mas as medidas do nível Básico são, na sua maioria, aquilo que qualquer empresa devia ter de qualquer forma.

1. Inventário de ativos: saber que equipamentos, sistemas e dados a empresa tem, e onde estão.
2. Cópias de segurança regulares, isoladas e testadas, segundo a regra 3-2-1 (três cópias, dois suportes, uma fora das instalações).
3. Atualizações em dia, com as correções de segurança aplicadas.
4. Autenticação multifator (MFA) nos acessos críticos, como email, sistemas de gestão e acessos remotos. A MFA é a confirmação do acesso com um segundo fator, além da palavra-passe.
5. Um responsável pela segurança, designado e com contacto permanente registado.
6. Plano de resposta a incidentes: o que fazer, quem contactar e como comunicar quando algo corre mal.
7. Formação da equipa contra phishing e engenharia social.
8. Controlo de acessos, para que cada pessoa aceda apenas ao que precisa.

Além das medidas, existe a obrigação de notificar incidentes significativos ao CNCS, na plataforma MyCiber, dentro de prazos apertados; o alerta inicial conta-se em horas, não em dias.

Que coimas e responsabilidades estão em jogo?

O Decreto-Lei n.º 125/2025 prevê, nas infrações muito graves das entidades essenciais, coimas até 10 milhões de euros ou 2 % do volume de negócios mundial, o que for mais alto; para as entidades importantes, até 7 milhões de euros ou 1,4 %. A falta de registo na MyCiber é infração grave: até 5 milhões de euros ou 1 % nas essenciais e até 3,5 milhões ou 0,7 % nas importantes.

Há um ponto mais grave. A NIS2 responsabiliza diretamente os órgãos de gestão: a administração tem o dever de aprovar as medidas de gestão de risco, supervisionar a sua aplicação e frequentar formação em cibersegurança. O incumprimento deixa de ser «um problema do informático» e passa a ser um risco pessoal do gerente.

Por onde começar? Checklist em 10 passos

Se suspeita que a sua empresa é abrangida, ou fornece quem é, este é o caminho pragmático.

1. Confirme o enquadramento: setor e dimensão no âmbito do DL 125/2025, e o mesmo para os principais clientes.
2. Faça um inventário de equipamentos, software, dados, acessos e fornecedores de TI.
3. Avalie o estado atual com uma auditoria de segurança, que identifica as lacunas face ao nível de medidas aplicável.
4. Trate primeiro do básico.
5. Designe um responsável, interno ou em regime de outsourcing.
6. Documente com políticas simples e verificáveis, que valem mais do que manuais que ninguém lê.
7. Prepare a resposta a incidentes: plano escrito, contactos, registo na MyCiber quando aplicável.
8. Forme a equipa; uma sessão prática anti-phishing por ano é o mínimo.
9. Reveja os contratos para saber o que os clientes já lhe exigem, ou vão exigir, em matéria de segurança.
10. Teste a recuperação de uma cópia de segurança e simule um incidente, porque o plano que nunca foi testado não é um plano.

Perguntas frequentes

A NIS2 aplica-se a microempresas?

Em regra, não. O âmbito começa nas médias empresas dos setores abrangidos, com exceções para serviços críticos. Pesa sobretudo a cadeia de fornecimento: se os clientes forem abrangidos, vão exigir provas de segurança independentemente da dimensão do fornecedor.

Qual é a diferença entre entidade essencial e importante?

As primeiras pertencem aos setores mais críticos, como energia, saúde ou infraestruturas digitais, e estão sujeitas a supervisão mais intensa e a coimas mais altas. As importantes têm obrigações semelhantes, com fiscalização sobretudo reativa. Setor e dimensão decidem a classificação.

O que é a plataforma MyCiber?

É a plataforma eletrónica do CNCS onde as entidades abrangidas se registam, mantêm os dados atualizados e notificam incidentes de segurança. É o ponto de contacto oficial com o regulador.

Quanto custa cumprir a NIS2 numa PME?

Depende do ponto de partida. Para uma PME que já tenha cópias de segurança, antivírus profissional e MFA, o esforço concentra-se em documentação e processos. Para quem parte do zero, o investimento reparte-se entre auditoria inicial, correção de lacunas técnicas e formação, faseável ao longo de meses. O mais caro é não fazer nada: um único incidente de ransomware custa múltiplos do investimento em prevenção.

A ISO 27001 chega para cumprir a NIS2?

Ajuda muito, porque há grande sobreposição, mas não é automático. O referencial português é o QNRCS. As obrigações de registo e notificação na MyCiber existem independentemente de certificações; quem tem ISO 27001 parte de uma posição confortável e quem não tem não precisa dela para cumprir.

Registar na MyCiber chega para cumprir a NIS2?

Não. O registo é o passo com data marcada e o único cujo incumprimento é logo visível para o regulador. Depois vem o período de adaptação para implementar as medidas do nível aplicável.

Fontes e enquadramento legal

• Diretiva NIS2 (Network and Information Security 2), diretiva europeia de cibersegurança que substituiu a NIS1 de 2016.
• Decreto-Lei n.º 125/2025, de 4 de dezembro, que transpõe a NIS2 e cria o regime jurídico da cibersegurança (artigos 8.º, 31.º, 32.º, 61.º, 62.º e 66.º citados acima).
• Regulamento n.º 756/2026 do CNCS, publicado a 22 de junho de 2026 (artigos 14.º e 15.º).
• Quadro Nacional de Referência para a Cibersegurança (QNRCS).

A RTC, em Bragança desde 2009, ajuda PME a preparar-se para a NIS2 com auditoria, cópias de segurança 3-2-1, MFA, EDR e firewalls, e acompanha a conformidade ao longo do tempo; veja o serviço de preparação para a NIS2 ou fale connosco. A primeira reunião, presencial ou online, não tem custo.