3 de abril de 2027. NIS2 plenamente sancionatória.

A NIS2 (Diretiva UE 2022/2555) foi transposta pelo DL 125/2025 e está em vigor desde 3 de abril de 2026. O período de carência de coimas termina a 3 de abril de 2027 — a partir dessa data, coimas máximas aplicáveis: €10M para entidades essenciais, €7M para importantes.

Assessment de preparação → Ver calendário completo

A quem se aplica

Quem tem que cumprir, e quando.

A NIS2 aplica-se a entidades essenciais e entidades importantes em 18 setores identificados no Anexo I e II da Diretiva. Energia, transportes, bancos, infraestruturas financeiras, saúde, águas, infraestruturas digitais, administração pública, espaço, serviços postais, gestão de resíduos, química, alimentar, indústrias transformadoras, provedores digitais, investigação.

Critérios quantitativos: tipicamente mais de 50 colaboradores ou €10M de volume de negócios em setores identificados. Há exceções setoriais — algumas entidades entram com limites menores (infraestruturas críticas, provedores de serviços digitais críticos).

Na nossa carteira, a saúde especializada — onde figuram clientes como B. Braun Medical, Recipharm, Ferring Portugal e Expomédica, e um grupo nacional de análises clínicas — cai quase sempre como entidade essencial. Indústria, transportes (Air Rail, OMNI Helicopters International, Lusoponte, DDN Engenharia) e serviços financeiros regulados (Montepio Valor SGOIC, Futuro, Servdebt, Best Ability Financial Consulting) cruzam frequentemente o limiar de importantes.

Uma análise de lacunas inicial identifica se a vossa empresa está mesmo dentro do âmbito. A resposta a esta pergunta é o primeiro passo — muitas PMEs assumem que não entram sem verificar.

Desde 23 de junho de 2026, essa verificação é formal e tem prazo. O Regulamento n.º 756/2026 abriu a plataforma MyCiber (myciber.gov.pt): as entidades já em atividade têm 60 dias úteis a contar de 23 de junho — até meados de setembro de 2026 para se autoidentificarem e pedirem qualificação como entidade essencial, importante ou relevante da Administração Pública (entidades que iniciem atividade após 4 de dezembro de 2025: 30 dias úteis). O CNCS confirma a qualificação e comunica o nível de conformidade aplicável — básico, substancial ou elevado, conforme o setor e a dimensão. O prazo geral de adaptação às medidas mínimas é de 24 meses a contar da publicação do Regulamento n.º 756/2026 (22 de junho de 2026); se a qualificação ou as medidas exigidas mudarem depois disso, há um prazo adicional de 6 meses (prorrogável até 1 ano) para essa adaptação específica.

O que fazemos em NIS2

Âmbito operacional.

Escala Microsoft sob gestão: 84 subscrições Azure ativas, 131 tenants Microsoft 365 com mais de oito mil utilizadores ativos mensais. Implementar NIS2 em ambientes que já conhecemos desde a identidade (Entra ID) até ao ERP (Cegid) é materialmente mais rápido do que levantá-los de zero.

Análise de lacunas. Duas a quatro semanas, preço fixo. Avaliação de enquadramento no DL 125/2025, mapa de controlos exigidos vs. controlos em vigor, classificação de risco.

Implementação técnica. Implantação do Microsoft Defender (Cloud, Endpoint, Office, Identity), Microsoft Sentinel para SIEM/SOAR, Entra ID com MFA obrigatório e Conditional Access, políticas de salvaguarda e retenção, cifra em repouso e em trânsito.

Implementação processual. Plano de resposta a incidentes documentado, procedimento de notificação ao CNCS (Centro Nacional de Cibersegurança) em 24h (alerta inicial) e 72h (notificação detalhada), registo de incidentes, plano de continuidade de negócio.

Formação e governance. Formação da direção (obrigatória no DL 125/2025), formação de utilizadores, nomeação de responsável de cibersegurança, revisão anual.

Prazos críticos e consequências

Datas, impactos, sanções.

23 de junho de 2026 — registo no MyCiber aberto (Regulamento n.º 756/2026)

Início do prazo de 60 dias úteis (até meados de setembro de 2026) para as entidades já em atividade se autoidentificarem e pedirem qualificação em myciber.gov.pt. Entidades que iniciem atividade após 4 de dezembro de 2025: 30 dias úteis. O CNCS qualifica como essencial, importante ou relevante da AP e comunica o nível de conformidade aplicável — básico, substancial ou elevado.

3 de abril de 2026 — entrada em vigor do DL 125/2025

Todas as obrigações técnicas, organizacionais e de notificação passam a vincular entidades essenciais e importantes. Período de carência de 12 meses para coimas.

20 dias úteis após a qualificação — comunicação do Responsável de Segurança

Depois de o CNCS notificar a qualificação no MyCiber, a entidade tem 20 dias úteis para comunicar o responsável de cibersegurança e o ponto de contacto permanente (art. 31.º e 32.º do DL 125/2025).

Lista de ativos — até 31 de janeiro do ano seguinte à qualificação

A versão inicial da lista de ativos diretamente acessíveis pela Internet entrega-se até 31 de janeiro do ano seguinte ao da notificação de qualificação, ou nos 6 meses após essa notificação — o que ocorrer primeiro. Depois, atualização anual, em simultâneo com o relatório anual.

3 de abril de 2027 — fim do período de carência

Regime plenamente sancionatório. Coimas máximas aplicáveis: €10M para essenciais, €7M para importantes.

Obrigação de notificação de incidentes em 24h/72h

Em vigor desde 3 abril 2026. Incidentes com impacto relevante têm de ser notificados à CNCS (Centro Nacional de Cibersegurança) em 24h (alerta inicial) e 72h (detalhado).

Responsabilidade pessoal da direção

A NIS2 introduz responsabilidade pessoal da direção pela conformidade. Coimas podem ser aplicadas pessoalmente aos administradores.

O que a lei exige

As nove medidas mínimas de cibersegurança.

O artigo 27.º do DL 125/2025 fixa nove medidas mínimas de gestão de risco que as entidades essenciais e importantes têm de implementar, assentes na análise de risco exigida no artigo anterior. O conjunto concretamente exigido depende do nível de conformidade — básico, substancial ou elevado — atribuído na qualificação:

Tratamento de incidentes — deteção, análise, contenção e resposta.
Continuidade do negócio — cópias de segurança, recuperação de desastres e gestão de crises.
Segurança da cadeia de abastecimento — avaliação do risco de fornecedores e prestadores diretos.
Segurança na aquisição, desenvolvimento e manutenção de redes e sistemas, incluindo gestão de vulnerabilidades.
Avaliação da eficácia das medidas de cibersegurança.
Ciber-higiene e formação — práticas básicas e formação dos colaboradores e da direção.
Criptografia e cifra de dados sensíveis.
Segurança de recursos humanos, controlo de acessos e gestão de ativos.
Autenticação multifator e comunicações seguras.

Fonte: artigo 27.º do DL 125/2025, que transpõe o artigo 21.º da Diretiva NIS2. Como implementamos cada uma →

Análise de lacunas: €3 000 a €10 000 preço fixo. Implementação técnica e processual: €15 000 a €45 000 conforme dimensão e maturidade de partida.

Perguntas frequentes

FAQ — NIS2 — DL 125/2025

Tenho de me registar no MyCiber? Até quando?

Se a sua entidade está em atividade e cai no âmbito (setor do Anexo I ou II e a dimensão exigida), sim: tem 60 dias úteis a contar de 23 de junho de 2026 — cerca de setembro de 2026 — para se autoidentificar em myciber.gov.pt e pedir qualificação. Entidades que iniciaram atividade após 4 de dezembro de 2025 têm 30 dias úteis. A autoidentificação é o primeiro passo formal; o CNCS confirma a qualificação (essencial, importante ou relevante da Administração Pública) e comunica o nível de conformidade aplicável.

O que significam os níveis básico, substancial e elevado?

São os três níveis de conformidade do Regulamento 756/2026. O CNCS atribui um a cada entidade na qualificação, com base numa matriz de risco que cruza o setor de atividade e a dimensão. O nível determina o conjunto de medidas mínimas exigidas — quanto maior o risco, mais exigente o conjunto. É comunicado à entidade no fim da autoidentificação.

O que muda com o Regulamento 756/2026?

É o Regulamento de Execução do regime, em vigor a 23 de junho de 2026. Operacionaliza o DL 125/2025: abre a plataforma MyCiber, define o processo de autoidentificação e qualificação, fixa os níveis de conformidade e as medidas mínimas por nível, e o Quadro Nacional de Referência para a Cibersegurança (QNRCS). É o que põe o regime a funcionar na prática.

Como sei se sou entidade essencial ou importante?

Está no Anexo I e II da Diretiva NIS2 (e no DL 125/2025 transposto). A distinção depende do setor e da dimensão. A análise de lacunas começa sempre por esta classificação formal — é o primeiro entregável.

Já temos ISO 27001. Basta?

Ajuda muito — ISO 27001 cobre grande parte dos controlos técnicos exigidos pela NIS2. Mas não cobre tudo (notificação de incidentes, responsabilidade pessoal da direção, algumas obrigações setoriais). A análise de lacunas identifica o que falta face à ISO 27001 existente.

Somos uma empresa com 60 pessoas. NIS2 aplica-se?

Depende do setor e das atividades concretas. 60 pessoas num escritório de advogados: muito provavelmente fora. 60 pessoas numa clínica: provavelmente dentro (a saúde figura no âmbito típico da NIS2, com limiares que tendem a ser baixos). 60 pessoas numa empresa de logística: frequentemente dentro (transportes costumam estar listados). Cada caso tem de ser avaliado contra o DL 125/2025, idealmente com suporte jurídico.

Vocês fazem auditoria legal ou técnica?

Só técnica. A análise jurídica do enquadramento legal é trabalho de advogado especializado em direito digital e cibersegurança — recomendamos escritórios com essa prática. Coordenamos com o advogado escolhido pela empresa.

Assessment de preparação. Duas semanas, preço fixo.

Saímos com o mapa de obrigações aplicáveis e o plano concreto para cumprir dentro dos prazos legais.

Ver assessment → Diagnóstico primeiro