Conformidade NIS2 em Portugal: o guia completo

O que significa estar conforme com a NIS2

Em Portugal, a conformidade NIS2 assenta em dois diplomas complementares: o Decreto-Lei n.º 125/2025, que transpõe a Diretiva (UE) 2022/2555 e estabelece o Regime Jurídico da Cibersegurança (RJC), e o Regulamento 756/2026 do CNCS, que concretiza as medidas técnicas e organizativas mínimas exigidas a cada entidade. Estar conforme não se resume a ter uma política de segurança da informação redigida. Significa, cumulativamente, estar registado e qualificado junto da autoridade competente, ter implementadas as medidas mínimas correspondentes ao nível de conformidade atribuído à entidade, dispor de um responsável de cibersegurança e de um ponto de contacto permanente identificados, ter capacidade operacional para notificar incidentes significativos nos prazos legais através da plataforma MyCiber e, no caso das entidades essenciais, apresentar um relatório anual sobre o estado da cibersegurança.

A responsabilidade pela conformidade não é apenas técnica. O DL 125/2025 atribui aos órgãos de gestão da entidade o dever de aprovar e supervisionar a implementação das medidas de cibersegurança, podendo a violação grosseira deste dever ser objeto de responsabilização pessoal. Por isso, o percurso de conformidade envolve tipicamente a direção, a área de tecnologia e segurança da informação, e, com frequência, apoio jurídico externo para interpretar corretamente os prazos e as obrigações de notificação.

O percurso da conformidade em 6 passos

Da verificação do enquadramento até à melhoria contínua, o percurso de conformidade segue uma sequência com prazos legais próprios em cada fase.

1

Verificar o enquadramento

Confirme se a sua entidade se enquadra num dos 17 setores abrangidos (mais a Administração Pública) e se cumpre os critérios de dimensão (média ou grande empresa, com exceções) previstos no artigo 3.º do DL 125/2025. Deste enquadramento resulta a distinção entre entidade essencial e entidade importante, que determina o regime de supervisão aplicável.

2

Registo e autoidentificação na plataforma MyCiber

Submeta o formulário de autoidentificação na plataforma MyCiber do CNCS, indicando a atividade, o setor e a dimensão da entidade. O registo é obrigatório e feito pelo representante legal ou por quem tenha poderes para o efeito.

30 dias úteis (novas entidades) ou 60 dias úteis (entidades já em atividade)

3

Qualificação e comunicação do responsável de cibersegurança

A autoridade competente analisa a autoidentificação e emite uma decisão de qualificação, que indica se a entidade é essencial ou importante e qual o nível de conformidade aplicável (básico, substancial ou elevado no Anexo III; Grupo B ou Grupo A no Anexo IV). Após a notificação desta decisão, a entidade deve comunicar o responsável de cibersegurança e o ponto de contacto permanente.

30 dias úteis para a qualificação; 20 dias úteis após a notificação para comunicar o responsável

4

Implementar as medidas mínimas do Regulamento 756/2026

Com o nível de conformidade atribuído, a entidade implementa as medidas mínimas correspondentes do Anexo III (entidades essenciais e importantes) ou do Anexo IV (entidades públicas relevantes). É a fase mais longa e a que exige mais recursos: cobre governação, gestão de risco, controlo de acessos, criptografia, continuidade de negócio, cadeia de fornecimento e resposta a incidentes.

24 meses desde jun 2026; conformidade plena por volta de meados de 2028

5

Preparar a gestão e a notificação de incidentes

Independentemente da fase de implementação das restantes medidas, a capacidade de detetar e notificar incidentes significativos é exigível desde cedo. A notificação faz-se sempre através da plataforma MyCiber, em três momentos sucessivos.

Alerta precoce 24h, atualização 72h, relatório final 30 dias

6

Relatório anual e melhoria contínua

As entidades essenciais devem apresentar um relatório anual sobre o estado da cibersegurança através da MyCiber. A conformidade não termina com a primeira implementação: exige revisão periódica da matriz de risco, atualização das medidas e acompanhamento de auditorias e inspeções da autoridade competente.

Coimas em caso de incumprimento

O DL 125/2025 distingue os montantes máximos das coimas consoante a entidade seja classificada como essencial ou importante.

Entidades essenciais

Até 10 milhões de euros

ou 2% do volume de negócios anual mundial do exercício anterior, consoante o que for mais elevado.

Entidades importantes

Até 7 milhões de euros

ou 1,4% do volume de negócios anual mundial do exercício anterior, consoante o que for mais elevado.

Estes montantes não incluem eventuais sanções acessórias nem a responsabilização pessoal dos órgãos de gestão pela violação grosseira do dever de supervisão das medidas de cibersegurança.

Presunção de conformidade: EC QNRCS e ISO/IEC 27001

Ter uma certificação reconhecida pode facilitar, mas não substitui, o percurso de conformidade.

Certificações no âmbito do Selo de Maturidade Digital (EC QNRCS) ou da norma ISO/IEC 27001, quando cumpridos os respetivos requisitos, podem beneficiar de presunção de cumprimento das medidas mínimas correspondentes. Cabe sempre à autoridade competente confirmar essa correspondência e a validade da certificação em causa. Mesmo com uma certificação válida, mantêm-se obrigatórias as fases de registo na MyCiber, qualificação, comunicação do responsável de cibersegurança e do ponto de contacto permanente, e a capacidade de notificar incidentes significativos nos prazos legais, que não são cobertas por uma certificação de gestão de segurança da informação.

Perguntas frequentes

As dúvidas mais comuns sobre o percurso de conformidade NIS2 em Portugal.

Que prazos tenho para ficar conforme com a NIS2?

Os prazos dependem da fase em que a sua entidade se encontra. O registo na plataforma MyCiber deve ocorrer em 30 dias úteis (entidades que iniciem atividade depois da entrada em vigor do regime) ou 60 dias úteis (entidades já em atividade). Após a qualificação pela autoridade competente, tem 20 dias úteis para comunicar o responsável de cibersegurança e o ponto de contacto permanente. A implementação das medidas mínimas do Regulamento 756/2026 tem um prazo de 24 meses a contar da entrada em vigor do regulamento (23 de junho de 2026), pelo que a conformidade plena é exigível por volta de meados de 2028.

O que arrisco se não cumprir a NIS2?

As entidades essenciais arriscam coimas até 10 milhões de euros ou 2% do volume de negócios anual mundial, consoante o que for mais elevado. As entidades importantes arriscam coimas até 7 milhões de euros ou 1,4% do volume de negócios. Além das coimas, o DL 125/2025 prevê outras sanções acessórias e a responsabilização pessoal dos órgãos de gestão pela supervisão da implementação das medidas de cibersegurança.

A certificação ISO/IEC 27001 chega para ficar conforme?

Não chega, por si só. Certificações no âmbito do Selo de Maturidade Digital (EC QNRCS) ou ISO/IEC 27001, quando cumpridos os respetivos requisitos, podem beneficiar de presunção de cumprimento das medidas correspondentes, mas cabe sempre à autoridade competente confirmar essa correspondência. Continuam a ser obrigatórias as fases de registo, qualificação e notificação de incidentes, que não são cobertas por uma certificação de gestão de segurança da informação.

Por onde devo começar o meu percurso de conformidade?

O primeiro passo é confirmar se a sua entidade está abrangida pelo âmbito setorial e de dimensão do artigo 3.º do DL 125/2025. Se estiver, o passo seguinte é preparar o registo na plataforma MyCiber e, em paralelo, fazer um diagnóstico do estado atual face às medidas mínimas do Regulamento 756/2026, para perceber a distância entre a situação presente e o nível de conformidade que virá a ser atribuído.

Ferramentas para avançar no seu percurso

Recursos gratuitos para cada fase do percurso de conformidade descrito acima.

Medidas mínimas do Regulamento 756/2026

Checklist interativa das 193 medidas dos Anexos III e IV, por nível de conformidade.

Ver checklist

Roadmap de 90 dias

Plano de ação faseado para arrancar o percurso de conformidade nos primeiros três meses.

Ver roadmap

Templates de conformidade

Políticas, planos e registos prontos a adaptar: matriz de risco, gestão de incidentes e mais.

Ver templates

Sistema de auditoria NIS2

Avalie o estado atual da sua entidade face às medidas exigidas e identifique lacunas.

Iniciar auditoria

Checklist do artigo 21.º

As medidas de gestão de risco de cibersegurança organizadas numa checklist prática.

Ver checklist