Conformidade NIS2 em Portugal: o guia completo

O que significa estar conforme com a NIS2

Em Portugal, a conformidade NIS2 assenta em dois diplomas complementares: o Decreto-Lei n.º 125/2025, que transpõe a Diretiva (UE) 2022/2555 e estabelece o Regime Jurídico da Cibersegurança (RJC), e o Regulamento 756/2026 do CNCS, que concretiza as medidas técnicas e organizativas mínimas exigidas a cada entidade. Estar conforme não se resume a ter uma política de segurança da informação redigida. Significa, cumulativamente, estar registado e qualificado junto da autoridade competente, ter implementadas as medidas mínimas correspondentes ao nível de conformidade atribuído à entidade, dispor de um responsável de cibersegurança e de um ponto de contacto permanente identificados, ter capacidade operacional para notificar incidentes significativos nos prazos legais através da plataforma MyCiber e, no caso das entidades essenciais, apresentar um relatório anual sobre o estado da cibersegurança.

A responsabilidade pela conformidade não é apenas técnica. O DL 125/2025 atribui aos órgãos de gestão da entidade o dever de aprovar e supervisionar a implementação das medidas de cibersegurança, podendo a violação deste dever, por ação ou omissão, com dolo ou culpa grave, ser objeto de responsabilização pessoal. Por isso, o percurso de conformidade envolve tipicamente a direção, a área de tecnologia e segurança da informação, e, com frequência, apoio jurídico externo para interpretar corretamente os prazos e as obrigações de notificação.

O percurso da conformidade em 6 passos

Da verificação do enquadramento até à melhoria contínua, o percurso de conformidade segue uma sequência com prazos legais próprios em cada fase.

1

Verificar o enquadramento

Confirme se a sua entidade se enquadra num dos 17 setores abrangidos (mais a Administração Pública) e se cumpre os critérios de dimensão (média ou grande empresa, com exceções) previstos no artigo 3.º do DL 125/2025. Deste enquadramento resulta a distinção entre entidade essencial e entidade importante, que determina o regime de supervisão aplicável.

2

Registo e autoidentificação na plataforma MyCiber

Submeta o formulário de autoidentificação na plataforma MyCiber do CNCS, indicando a atividade, o setor e a dimensão da entidade. O registo é obrigatório e feito pelo representante legal ou por quem tenha poderes para o efeito.

30 dias úteis após o início de atividade (novas entidades) ou 60 dias úteis desde 23 jun 2026, até 15 set 2026 (entidades já em atividade); prazos contados em dias úteis pelo CNCS

3

Qualificação e comunicação do responsável de cibersegurança

A autoridade competente analisa a autoidentificação e emite uma decisão de qualificação, que indica se a entidade é essencial ou importante e qual o nível de conformidade aplicável (básico, substancial ou elevado no Anexo III; Grupo B ou Grupo A no Anexo IV). Após a notificação desta decisão, a entidade deve comunicar o responsável de cibersegurança e o ponto de contacto permanente.

30 dias para a notificação da qualificação (art. 8.º, n.º 5); 20 dias úteis após essa notificação para comunicar o responsável

4

Implementar as medidas mínimas do Regulamento 756/2026

Com o nível de conformidade atribuído, a entidade implementa as medidas mínimas correspondentes do Anexo III (entidades essenciais e importantes) ou do Anexo IV (entidades públicas relevantes). É a fase mais longa e a que exige mais recursos: cobre governação, gestão de risco, controlo de acessos, criptografia, continuidade de negócio, cadeia de fornecimento e resposta a incidentes.

Efeitos a 22 jun 2028 (art. 10.º, n.º 2: 24 meses após a publicação do Reg. 756/2026)

5

Preparar a gestão e a notificação de incidentes

Independentemente da fase de implementação das restantes medidas, a capacidade de detetar e notificar incidentes significativos é exigível desde cedo. A notificação faz-se sempre através da plataforma MyCiber, em três notificações obrigatórias (inicial, fim de impacto e relatório final) e uma atualização às 72h quando necessário.

Notificação inicial 24h, atualização 72h se necessário, fim de impacto 24h, relatório final 30 dias úteis

6

Relatório anual e melhoria contínua

As entidades essenciais e importantes elaboram um relatório anual sobre o estado da cibersegurança (art. 30.º do DL 125/2025); as essenciais submetem-no anualmente através da MyCiber e as importantes quando solicitado (art. 13.º do Regulamento 756/2026), com efeitos a partir de 22 de junho de 2028. A conformidade não termina com a primeira implementação: exige revisão periódica da matriz de risco, atualização das medidas e acompanhamento de auditorias e inspeções da autoridade competente.

Coimas em caso de incumprimento

O DL 125/2025 distingue os montantes máximos das coimas consoante a entidade seja classificada como essencial ou importante.

Entidades essenciais

Até 10 milhões de euros

ou 2% do volume de negócios anual mundial do exercício anterior, consoante o que for mais elevado.

Entidades importantes

Até 7 milhões de euros

ou 1,4% do volume de negócios anual mundial do exercício anterior, consoante o que for mais elevado.

Estes montantes não incluem eventuais sanções acessórias nem a responsabilização pessoal dos órgãos de gestão pela violação, com dolo ou culpa grave, do dever de supervisão das medidas de cibersegurança (art. 25.º, n.º 2).

Presunção de conformidade: EC QNRCS, ISO/IEC 27001 e Selo Digital

Ter uma certificação reconhecida pode facilitar, mas não substitui, o percurso de conformidade.

Nos termos do artigo 27.º, n.º 3, do Regulamento 756/2026, podem beneficiar de presunção de cumprimento das medidas mínimas correspondentes as entidades certificadas, designadamente, no Esquema de Certificação do QNRCS (EC QNRCS), na norma ISO/IEC 27001, apenas quando o âmbito da certificação abrange integralmente os sistemas de informação e redes associados aos serviços prestados, ou, no caso das entidades públicas relevantes, no Selo Digital (DNP TS 4577-1). Cabe sempre à autoridade competente atestar essa correspondência e a validade da certificação em causa, com base na matriz de equivalência que o CNCS aprova por instrução técnica (artigo 27.º, n.º 7). Mesmo com uma certificação válida, mantêm-se obrigatórias as fases de registo na MyCiber, qualificação, comunicação do responsável de cibersegurança e do ponto de contacto permanente, e a capacidade de notificar incidentes significativos nos prazos legais, que não são cobertas por uma certificação de gestão de segurança da informação.

Perguntas frequentes

As dúvidas mais comuns sobre o percurso de conformidade NIS2 em Portugal.

Que prazos tenho para ficar conforme com a NIS2?

Os prazos dependem da fase em que a sua entidade se encontra. O registo na plataforma MyCiber deve ocorrer em 30 dias a contar do início de atividade (entidades que iniciem atividade depois da entrada em vigor do regime) ou em 60 dias úteis a contar da disponibilização da plataforma, a 23 de junho de 2026, ou seja, até 15 de setembro de 2026 (entidades já em atividade). Após a notificação da qualificação pela autoridade competente, tem 20 dias úteis para comunicar o responsável de cibersegurança e o ponto de contacto permanente. As medidas dos n.os 1 e 2 do art. 27.º, dos arts. 28.º a 30.º e do art. 33.º do DL 125/2025, concretizadas no Regulamento 756/2026, produzem efeitos 24 meses após a publicação do regulamento (22 de junho de 2026), ou seja, a 22 de junho de 2028 (art. 10.º, n.º 2).

O que arrisco se não cumprir a NIS2?

As entidades essenciais arriscam coimas até 10 milhões de euros ou 2% do volume de negócios anual mundial, consoante o que for mais elevado. As entidades importantes arriscam coimas até 7 milhões de euros ou 1,4% do volume de negócios. Além das coimas, o DL 125/2025 prevê outras sanções acessórias e a responsabilização pessoal dos órgãos de gestão pela supervisão da implementação das medidas de cibersegurança.

A certificação ISO/IEC 27001 chega para ficar conforme?

Não chega, por si só. Nos termos do artigo 27.º, n.º 3, do Regulamento 756/2026, podem beneficiar de presunção de cumprimento das medidas correspondentes as entidades certificadas, designadamente, no Esquema de Certificação do QNRCS (EC QNRCS), na ISO/IEC 27001 apenas quando o âmbito da certificação abrange integralmente os sistemas de informação e redes associados aos serviços prestados, ou, no caso das entidades públicas relevantes, no Selo Digital (DNP TS 4577-1), mas cabe sempre à autoridade competente atestar essa correspondência. Continuam a ser obrigatórias as fases de registo, qualificação e notificação de incidentes, que não são cobertas por uma certificação de gestão de segurança da informação.

Por onde devo começar o meu percurso de conformidade?

O primeiro passo é confirmar se a sua entidade está abrangida pelo âmbito setorial e de dimensão do artigo 3.º do DL 125/2025. Se estiver, o passo seguinte é preparar o registo na plataforma MyCiber e, em paralelo, fazer um diagnóstico do estado atual face às medidas mínimas do Regulamento 756/2026, para perceber a distância entre a situação presente e o nível de conformidade que virá a ser atribuído.

Ferramentas para avançar no seu percurso

Recursos gratuitos para cada fase do percurso de conformidade descrito acima.

Medidas mínimas do Regulamento 756/2026

Checklist interativa das 193 medidas dos Anexos III e IV, por nível de conformidade.

Ver checklist

Roadmap de 90 dias

Plano de ação faseado para arrancar o percurso de conformidade nos primeiros três meses.

Ver roadmap

Templates de conformidade

Políticas, planos e registos prontos a adaptar: matriz de risco, gestão de incidentes e mais.

Ver templates

Sistema de auditoria NIS2

Avalie o estado atual da sua entidade face às medidas exigidas e identifique lacunas.

Iniciar auditoria

Checklist do artigo 21.º

As medidas de gestão de risco de cibersegurança organizadas numa checklist prática.

Ver checklist