Níveis de conformidade NIS2: o que cada um exige.
A decisão de qualificação do CNCS traz uma palavra que define o caderno de encargos de cibersegurança da empresa: básico, substancial ou elevado. Esta página traduz esse nível em controlos concretos do Regulamento n.º 756/2026 — e no que cada um significa, na prática, num ambiente Microsoft 365 e Azure. Os prazos já estão a contar: 20 dias úteis para designar e comunicar o responsável de cibersegurança, e as medidas mínimas tornam-se exigíveis em junho de 2028.
A origem
De onde vem o nível que recebeu.
O nível não se escolhe nem se negoceia: resulta da Matriz de Risco (artigo 28.º e Anexo II do Regulamento n.º 756/2026). A matriz cruza o setor e subsetor de atividade com a dimensão da entidade e calcula um valor de risco para cada cenário e ator relevante; a soma desses valores determina o nível de conformidade. O CNCS disponibiliza na plataforma um glossário de apoio à leitura da matriz.
Duas regras práticas saem do artigo 30.º: se a entidade se encontrar em mais do que um nível, aplica-se o mais exigente; e os níveis são cumulativos — quem está no substancial assegura também as medidas do básico, quem está no elevado assegura as dos dois anteriores.
Ainda não passou pela qualificação? O caminho começa no registo: ver MyCiber — o que é, registo e prazos.
Os três níveis
O que cada nível exige — em números.
As medidas vivem no Anexo III do Regulamento e seguem o QNRCS — o Quadro Nacional de Referência para a Cibersegurança, alinhado com os referenciais internacionais (ISO/IEC 27001:2022 e 27002:2022, CIS Controls v8.1, NIST SP 800-53 Rev. 5). Organizam-se em seis objetivos: Gerir, Identificar, Proteger, Detetar, Responder e Recuperar.
- Básico: 43 controlos.
- Substancial: 75 controlos acumulados — o anexo lista 59 para este nível, dos quais 27 reforçam controlos do básico com exigências maiores.
- Elevado: 92 controlos acumulados — o conjunto completo do QNRCS aplicável.
O detalhe que muda o trabalho: cada controlo traz um critério de verificação — a evidência que a entidade tem de conseguir apresentar. Não basta fazer; é preciso demonstrar. «Inventário atualizado», «evidência técnica da execução regular de cópias de segurança», «plano aprovado e implementado» — é linguagem de auditoria, e é assim que o CNCS vai ler o vosso cumprimento.
Há um atalho previsto na lei: a certificação voluntária (artigo 27.º do Regulamento) dá presunção de cumprimento das medidas — nomeadamente a ISO/IEC 27001, quando o âmbito da certificação cobre integralmente os sistemas e redes dos serviços abrangidos (com a respetiva declaração de aplicabilidade), ou o Esquema de Certificação do próprio QNRCS. E o inverso também existe: o CNCS pode exigir certificação a uma entidade, em função do risco (artigo 30.º, n.º 5).
Do papel ao sistema
Dos controlos à prática: o mapa Microsoft.
Grande parte dos controlos técnicos do Anexo III implementa-se sobre a infraestrutura que muitas empresas já têm — Microsoft 365 e Azure. O que se segue é o mapa por objetivo, com um controlo real de exemplo em cada linha — todos do nível básico: mesmo o nível de entrada exige isto. E uma nota honesta: a tecnologia não fecha o anexo sozinha — a coluna final existe porque políticas, funções e formação são trabalho organizacional, não licenças.
| Objetivo (QNRCS) | Controlo de exemplo (Anexo III) | No stack Microsoft | O que fica fora da tecnologia |
|---|---|---|---|
| Gerir | GR.CO-3 — requisitos legais e regulamentares de cibersegurança identificados e geridos | Microsoft Purview Compliance Manager para mapear e evidenciar | Decisões de gestão, contratos com fornecedores, atribuição de responsabilidades |
| Identificar | ID.GA-1 — equipamentos e recursos físicos inventariados | Intune + Microsoft Defender (inventário de dispositivos), Azure Resource Graph | Ativos não geridos, classificação de criticidade dos serviços |
| Proteger | PR.GA-3 — autenticação multifator nos acessos remotos e contas privilegiadas | Entra ID: MFA, acesso condicional, PIM para contas privilegiadas | Política de palavras-passe aprovada, formação de colaboradores e direção |
| Detetar | DE.MC-1 — redes e sistemas monitorizados para detetar potenciais incidentes | Microsoft Sentinel + Defender XDR (monitorização, correlação, alertas) | Quem analisa os alertas — rotina, turno ou serviço contratado |
| Responder | RS.GI-1 — Plano de Resposta a Incidentes executado em coordenação com as partes interessadas | Playbooks e automação no Sentinel; contenção via Defender | O plano em si: funções, responsabilidades, exercícios, comunicação com o CNCS |
| Recuperar | RC.PR-1 — plano de recuperação seguido durante ou após um incidente | Azure Backup e Site Recovery, com restauros testados e evidenciados | Gestão de crise, prioridades de reposição, comunicação a clientes e parceiros |
A exaustividade — controlo a controlo, com o critério de verificação de cada um mapeado ao vosso ambiente — é exatamente o que a análise de lacunas produz. Ver como implementamos cada medida →
Os relógios pós-qualificação
Quatro prazos, dois relógios.
Não confunda os dois relógios: as coimas do regime chegam em abril de 2027; a exigibilidade das medidas mínimas chega em junho de 2028. Muita informação em circulação mistura as duas datas — e o planeamento de um projeto de 18 meses não sobrevive a essa confusão.
Administração Pública
E as entidades públicas?
As entidades públicas relevantes têm um regime próprio: as medidas do Anexo IV, organizadas em Grupos A e B — e quem está no Grupo A assegura também as do Grupo B (artigo 30.º, n.º 3). A lógica de critérios de verificação é a mesma. Esta página concentra-se nas entidades essenciais e importantes; para a administração pública, o ponto de partida é o mesmo enquadramento NIS2.
Ponto de contacto permanente
O responsável tem de ser interno. O suporte não.
Todas as entidades qualificadas têm 20 dias úteis para designar e comunicar um responsável de cibersegurança — que a lei exige que seja interno: titular da gestão, ou quem lhe responda diretamente (artigo 31.º do DL 125/2025). O que pode ser entregue fora é o resto: a HeraPrime assume o ponto de contacto permanente — o Regulamento prevê expressamente entidades terceiras nesta função — e dá ao responsável interno o suporte técnico de que precisa: comunicações na plataforma, lista de ativos, evidências dos controlos.
Marque 30 minutos →Perguntas frequentes
FAQ — Níveis de conformidade NIS2
O que significa o nível que recebi na qualificação?
Posso escolher ou mudar de nível?
Quem pode ser o responsável de cibersegurança?
O que é o «critério de verificação» de cada controlo?
Até quando tenho de implementar as medidas?
O Microsoft 365 cobre tudo o que o meu nível exige?
O parecer diz-lhe onde está. Alguém tem de implementar.
O assessment de preparação sai com o mapa dos controlos do vosso nível cruzado com o vosso ambiente Microsoft: o que já cumpre, o que se configura, o que falta decidir. Análise de lacunas: €3 000 a €10 000, preço fixo. Implementação técnica e processual: €15 000 a €45 000, conforme dimensão e maturidade de partida.