A NIS2 está em vigor (DL 125/2025) e o Regulamento 756/2026 abriu a plataforma MyCiber a 23 de junho. O registo tem prazo e termina em meados de setembro de 2026. Saiba se a sua empresa é abrangida, que obrigações tem e por onde começar, com checklist de 10 passos.
Durante anos, a cibersegurança foi tratada como um problema das grandes empresas. Essa era acabou. A diretiva europeia NIS2 foi transposta para a lei portuguesa pelo Decreto-Lei n.º 125/2025 e já está em vigor, e o seu alcance é muito maior do que a maioria dos gestores imagina.
Se dirige uma PME, é natural pensar "isto não é para mim". É precisamente esse o erro mais comum. Muitas empresas vão descobrir que são abrangidas: diretamente, pelo setor em que operam, ou indiretamente, porque os seus clientes vão passar a exigir-lhes garantias de segurança.
Neste guia, explicamos em linguagem clara: o que é a NIS2, se a sua empresa é abrangida, que obrigações existem na prática, que coimas estão em jogo, e (mais importante) por onde começar, com uma checklist de 10 passos.
A NIS2 (Network and Information Security 2) é a diretiva europeia de cibersegurança que veio substituir a NIS1 de 2016. A primeira versão aplicava-se sobretudo a operadores de infraestruturas críticas: energia, banca, telecomunicações. A NIS2 alarga drasticamente o âmbito: passa a cobrir grande parte da economia, incluindo médias empresas de dezenas de setores.
A lógica é simples: os ataques informáticos deixaram de atingir apenas alvos "estratégicos". O ransomware ataca fábricas, clínicas, transportadoras e câmaras municipais, e uma cadeia é tão forte quanto o seu elo mais fraco. A NIS2 quer subir o nível mínimo de segurança de toda a economia europeia.
Em Portugal, a NIS2 foi transposta pelo Decreto-Lei n.º 125/2025, de 4 de dezembro, que estabelece o novo regime jurídico da cibersegurança e produz efeitos desde 3 de abril de 2026.
Durante alguns meses o regime existiu no papel sem ter por onde ser cumprido. Isso mudou com o Regulamento n.º 756/2026, publicado a 22 de junho de 2026 e em vigor desde 23 de junho de 2026, que define as regras de funcionamento da plataforma MyCiber, os procedimentos de registo e qualificação das entidades, as obrigações de notificação de incidentes e as regras de gestão de risco e de ativos.
A supervisão cabe ao Centro Nacional de Cibersegurança (CNCS), que passa a ser o ponto central de registo, comunicação e fiscalização. O registo e a notificação de incidentes fazem-se na MyCiber. E as medidas exigidas seguem o Quadro Nacional de Referência para a Cibersegurança (QNRCS), um referencial português estruturado e verificável, que substitui a lógica de boas intenções por listas concretas de medidas.
Esta é a parte com relógio. As entidades que já estavam em atividade têm 60 dias úteis a contar da abertura da plataforma, ou seja, de 23 de junho de 2026, para se registarem e autoidentificarem na MyCiber. Empresas constituídas depois disso têm 30 dias úteis a contar do início de atividade.
Feita essa contagem, o prazo termina por volta de meados de setembro de 2026. Escrevemos "por volta" de propósito: as fontes que acompanham o tema não são unânimes ao dia, e há quem conte dias de calendário em vez de dias úteis, o que atira a data para o final de agosto. A diferença entre as duas leituras é de cerca de três semanas. Se a sua empresa é abrangida, trate disto agora e confirme a data na própria plataforma, em vez de a ir buscar a um artigo, este incluído.
Depois de o CNCS qualificar a entidade, há mais 20 dias úteis para designar e comunicar o responsável de cibersegurança e o ponto de contacto permanente. Não tem de ser um informático de carreira nem alguém contratado para o efeito: tem de ser alguém identificável, com nome, que responda quando o regulador ou um cliente perguntar.
Para dar a dimensão do que mudou: o regime anterior abrangia cerca de 450 entidades em Portugal. Estima-se que o novo abranja perto de seis mil. A maioria delas nunca teve de falar com o CNCS e muitas ainda não sabe que passou a ter.
Registar não é cumprir. A seguir ao registo existe um período de adaptação para implementar as medidas do QNRCS, e é aí que está o trabalho a sério. Mas o registo é o passo que tem data marcada, e é o único cujo incumprimento é imediatamente visível para o regulador.
Esta é a pergunta que importa, e a resposta tem três camadas.
A lei aplica-se a entidades públicas e privadas classificadas como essenciais ou importantes, em setores como: energia, águas e resíduos, transportes, saúde, banca e infraestruturas financeiras, infraestruturas digitais e serviços de TI, administração pública, espaço, serviços postais, produção e distribuição alimentar, fabrico (incluindo dispositivos médicos, eletrónica, maquinaria e veículos), fornecedores de serviços digitais e investigação.
Na prática, isto inclui negócios muito comuns: uma empresa de transportes ou logística, um laboratório ou clínica, uma indústria agroalimentar, uma empresa de instalação e gestão de redes informáticas, um município.
Em regra, são abrangidas as médias e grandes empresas destes setores (a partir de 50 trabalhadores ou 10 milhões de euros de faturação anual). Mas há exceções importantes: certas entidades são abrangidas independentemente da dimensão: por exemplo, prestadores de serviços críticos ou entidades únicas num território.
Aqui está o ponto que quase toda a gente ignora, e que vai apanhar mais PMEs do que a lei em si.
A NIS2 obriga as entidades abrangidas a gerir os riscos da sua cadeia de fornecimento. Traduzindo: se a sua PME fornece ou presta serviços a uma empresa abrangida (seja software, manutenção, componentes, logística ou serviços de TI) o seu cliente vai passar a exigir-lhe, por contrato, garantias de cibersegurança.
Mesmo que a lei não o abranja diretamente, o mercado vai abrangê-lo. Quem não conseguir demonstrar práticas mínimas de segurança arrisca-se a perder clientes para concorrentes que consigam.
O regime português organiza as exigências em três níveis de maturidade, alinhados com o QNRCS:
Os números parecem assustadores, mas as medidas do nível Básico são, na sua maioria, aquilo que qualquer empresa devia ter de qualquer forma. Em linguagem de gestão:
Além das medidas, existe a obrigação de notificar incidentes significativos ao CNCS, através da plataforma MyCiber, dentro de prazos apertados, o alerta inicial conta-se em horas, não em dias.
A diretiva europeia estabelece molduras sancionatórias pesadas: para entidades essenciais, coimas até 10 milhões de euros ou 2% do volume de negócios mundial (o que for mais alto); para entidades importantes, até 7 milhões de euros ou 1,4%.
Mas há um ponto que merece mais atenção do que as coimas: a NIS2 introduz a responsabilização direta dos órgãos de gestão. A administração da empresa tem o dever de aprovar as medidas de gestão de risco, supervisionar a sua aplicação e frequentar formação em cibersegurança. O incumprimento deixa de ser "um problema do informático": passa a ser um risco pessoal do gerente.
Se leu até aqui e suspeita que a sua empresa é abrangida (ou fornece quem é) este é o caminho pragmático:
Em regra, não, o âmbito começa nas médias empresas dos setores abrangidos. Mas há exceções (serviços críticos) e, sobretudo, o efeito da cadeia de fornecimento: se os seus clientes forem abrangidos, vão exigir-lhe garantias de segurança independentemente da sua dimensão.
As entidades essenciais (setores mais críticos, como energia, saúde ou infraestruturas digitais) estão sujeitas a supervisão mais intensa e a coimas mais altas. As importantes têm obrigações semelhantes, com fiscalização sobretudo reativa. A classificação depende do setor e da dimensão.
É a plataforma eletrónica do CNCS onde as entidades abrangidas se registam, mantêm os seus dados atualizados e notificam incidentes de segurança. É o ponto de contacto oficial entre a empresa e o regulador.
Depende do ponto de partida. Para uma PME que já tenha o básico (backups, antivírus profissional, MFA), o esforço concentra-se em documentação e processos. Para quem parte do zero, o investimento típico reparte-se entre auditoria inicial, correção de lacunas técnicas e formação: faseável ao longo de meses. O mais caro, invariavelmente, é não fazer nada: um único incidente de ransomware custa múltiplos do investimento em prevenção.
Ajuda muito (há grande sobreposição) mas não é automático. O referencial português é o QNRCS, e as obrigações de registo e notificação no MyCiber existem independentemente de certificações. Quem tem ISO 27001 parte de uma posição confortável; quem não tem não precisa dela para cumprir.
A NIS2 já está em vigor em Portugal, o âmbito é largo, e mesmo quem escapa à letra da lei vai senti-la através dos clientes. A boa notícia: para uma PME, o caminho começa com medidas básicas, concretas e acessíveis, não com projetos faraónicos.
A RTC ajuda empresas de Trás-os-Montes e de todo o país a preparar-se para a NIS2: fazemos o diagnóstico gratuito da sua situação, implementamos as medidas técnicas (backups 3-2-1, MFA, EDR, firewalls) e acompanhamos a conformidade ao longo do tempo. Fale connosco: antes que seja um cliente (ou um incidente) a obrigá-lo.
O Microsoft 365 guarda os seus dados, mas não os salvaguarda. O correio eliminado desaparece ao fim de 14 dias e os ficheiros de quem sai da empresa ao fim de 30. O que isso significa na prática e o que fazer.
Ler artigo →Sem tabela mágica: o preço do software à medida depende do âmbito, das integrações e de quem o mantém. O que faz variar o valor, ordens de grandeza por tipo de projeto e as 5 perguntas a fazer antes de assinar uma proposta.
Ler artigo →Hora avulsa: 40–60€. Bolsas de horas: 20–25€/hora. Avenças: 35–300€/mês, e quase nenhuma com SLA garantido. Preços reais do mercado português em 2026, incluindo os nossos (desde 75€/mês com resposta em 1 hora útil). Valores sem IVA.
Ler artigo →A nossa equipa está disponível para responder às suas questões.
Fale connosco