A NIS2 e o DL 125/2025
Origem, âmbito e classificação de entidades
Cenário de abertura
Imagine que é CISO de um hospital com 600 colaboradores. Numa segunda-feira de manhã, o CEO envia-lhe um email: «Ouvi falar da NIS2 num congresso. Estamos abrangidos? O que precisamos de fazer?» Esta situação repete-se em centenas de organizações portuguesas neste momento.
Origem e contexto europeu
A Diretiva (UE) 2022/2555, conhecida como NIS2, foi publicada a 14 de dezembro de 2022 e revogou a Diretiva NIS original de 2016. O principal objetivo foi ampliar o âmbito de aplicação, reforçar os requisitos de segurança e harmonizar as sanções em toda a União Europeia. Em Portugal, a transposição foi feita pelo Decreto-Lei n.º 125/2025, de 4 de dezembro de 2025, que entrou em vigor a 3 de abril de 2026. O diploma designa o Centro Nacional de Cibersegurança (CNCS) como autoridade competente nacional e regula todo o processo de qualificação e supervisão.
Setores abrangidos
O DL 125/2025 organiza os setores abrangidos em dois anexos. O Anexo I reúne 10 setores de importância crítica: energia, transportes, setor bancário, infraestruturas do mercado financeiro, saúde, água potável, águas residuais, infraestruturas digitais, gestão de serviços TIC (B2B) e espaço. O Anexo II inclui 7 outros setores críticos: serviços postais e de estafeta, gestão de resíduos, produtos químicos, produtos alimentares, indústria transformadora, prestação de serviços digitais e investigação. A administração pública não consta do Anexo I do decreto-lei (ao contrário do Anexo I da Diretiva, que por isso soma 11 setores): é abrangida por norma própria, o art. 3.º, n.º 3, e classificada pelo art. 7.º em entidades públicas relevantes do Grupo A ou do Grupo B. Daí falar-se em 18 setores na Diretiva e em 17 setores mais a Administração Pública no DL 125/2025. Esta distinção é relevante porque determina o tipo de supervisão a que a entidade fica sujeita.
Critério dual de dimensão
Pertencer a um setor abrangido não é suficiente para uma entidade ser qualificada. Aplica-se também um critério de dimensão (Anexo III, art. 2.º, correspondente à Recomendação 2003/361/CE). É média empresa (ou maior) a entidade com 50 ou mais trabalhadores ou, abaixo disso, com volume de negócios anual e balanço total ambos superiores a 10 milhões de euros. Excede os limiares de média empresa a entidade com 250 ou mais trabalhadores, ou com volume de negócios superior a 50 milhões de euros e balanço total superior a 43 milhões de euros. Entidades abaixo do limiar de média dimensão ficam, em regra, fora do âmbito. São abrangidas independentemente da dimensão as comunicações eletrónicas públicas, os prestadores de serviços de confiança, os registos de TLD, os registadores e os prestadores de serviços DNS, as entidades críticas e as instituições de ensino superior, bem como as entidades que o CNCS qualifique ao abrigo das alíneas b) a e) do n.º 2 do art. 3.º.
Entidades essenciais e entidades importantes
As entidades abrangidas dividem-se em dois tipos. As entidades essenciais são entidades do Anexo I que sejam de grande dimensão, ou que pertençam a certos tipos de entidade independentemente da dimensão (prestadores qualificados de serviços de confiança, registos de nomes de domínio de topo e prestadores DNS, e as entidades críticas nos termos da Diretiva (UE) 2022/2557), ou que sejam empresas de comunicações eletrónicas que sejam médias empresas, ou que sejam especificamente qualificadas pelo CNCS. As entidades importantes são todas as entidades abrangidas que não se qualifiquem como essenciais, incluindo entidades de média dimensão do Anexo I e todas as entidades do Anexo II. A administração pública tem regime próprio. As entidades públicas que operam num setor dos Anexos I ou II (por exemplo, um hospital EPE ou uma entidade gestora de água) são entidades essenciais ou importantes pelo art. 6.º como qualquer outra entidade, e as da alínea d) do n.º 1 do art. 6.º (infraestruturas de TIC, elevada integração digital e avaliação educativa) são entidades essenciais. Só as entidades públicas que não sejam qualificadas como essenciais nem importantes nos termos do art. 6.º são entidades públicas relevantes (art. 7.º, n.º 1), do Grupo A (administração direta com 250 ou mais trabalhadores; indireta e autónoma com mais de 250) ou do Grupo B (entre 75 e 249), com medidas próprias fixadas pelo CNCS no Anexo IV do Regulamento 756/2026 (art. 33.º). Esta classificação determina as obrigações concretas, os prazos e a intensidade da supervisão.
Por que a NIS2 existe
A NIS2 (Diretiva (UE) 2022/2555), adotada em dezembro de 2022, responde ao aumento da frequência, sofisticação e impacto dos ciberataques a infraestruturas críticas na União Europeia e às limitações identificadas na diretiva anterior (NIS1), como a aplicação inconsistente entre Estados-membros e o âmbito demasiado restrito de setores abrangidos. Casos divulgados posteriormente, como o do grupo Volt Typhoon (revelado publicamente em maio de 2023 pela Microsoft e por agências como a CISA, ligado a um Estado e com presença persistente em redes de energia, água e telecomunicações), ilustram o tipo de ameaça persistente a infraestruturas críticas que a NIS2 procura mitigar através de mais setores abrangidos, medidas mínimas de cibersegurança obrigatórias e supervisão mais ativa.
Sou entidade essencial ou importante?
Caso real
Volt Typhoon: um exemplo de ameaça persistente a infraestruturas críticasEm maio de 2023, a Microsoft e agências de cibersegurança dos EUA e de outros países (incluindo a CISA) revelaram publicamente a atividade do Volt Typhoon, um grupo ligado a um Estado que se infiltrou em redes de infraestruturas críticas, incluindo energia, água e telecomunicações, usando técnicas discretas ("living off the land") para passar despercebido. O grupo não procurava destruição imediata: mantinha presença persistente para uma eventual ativação futura em caso de crise geopolítica. É um exemplo do tipo de ameaça persistente e sofisticada a infraestruturas críticas que a NIS2 visa mitigar através de medidas de deteção precoce (Art. 27.º, al. a).
Templates relacionados
Quiz do módulo 1
Responda a 5 perguntas sobre o conteúdo deste módulo. É necessário obter 70% ou mais para avançar.