De ISO 27001 a NIS2: o que o seu SGSI já cobre e o que falta
Pelo Regulamento 756/2026, uma entidade com certificado ISO/IEC 27001 pode beneficiar da presunção de cumprimento das medidas de cibersegurança, se reunir certas condições; a autoridade pode atestar esse cumprimento. Indique o estado do seu SGSI: mostramos se a presunção é possível, as obrigações legais que a norma não cobre e cada medida do Anexo III comparada com a ISO/IEC 27001:2022, segundo as referências oficiais do QNRCS.
Dois caminhos: o que o certificado resolve e o que fica sempre por fazer
Há dois caminhos paralelos. No de cima, o certificado só chega à presunção de cumprimento das medidas se reunir as cinco condições que resultam do art. 27.º. No de baixo estão as obrigações do regime, que ficam sempre fora da presunção e se cumprem com ou sem certificado. Passe o rato pelas condições e paragens para ver o fundamento; clique numa paragem para ir à obrigação.
O que a ISO 27001 não cobre
Obrigações do regime português que existem com ou sem certificado. A presunção do art. 27.º só abrange as medidas de cibersegurança (RJC arts. 26.º a 28.º; Reg. art. 30.º); estas obrigações ficam sempre por cumprir à parte.
Medidas onde a ISO 27001 fica aquém
Estão dentro do âmbito da presunção, mas a norma não as garante por si: o regime pede critérios próprios que um SGSI certificado pode não ter. Sem presunção, demonstram-se diretamente; com presunção, são os pontos a confirmar quando o CNCS publicar a matriz de equivalência (art. 27.º, n.º 7).
Medidas do Anexo III comparadas com a ISO/IEC 27001:2022
Correspondência segundo as "Referências" do QNRCS (Anexo I do Regulamento 756/2026). Uma correspondência não prova o cumprimento: confirme que a evidência do SGSI satisfaz o critério de verificação de cada medida.
Formação para fechar as lacunas
Pela Better Skills, entidade responsável pela NIS2 Portugal.
Leve o diagnóstico completo: enviamos-lhe a proposta para os templates que fecham as lacunas e para a formação, com base no seu perfil.
Fontes: Regulamento 756/2026 (arts. 27.º, 28.º, 30.º; Anexo I, QNRCS, campo "Referências"; Anexo III); Decreto-Lei 125/2025 (RJC); IAF MD 26 (transição para a ISO/IEC 27001:2022, terminada a 31 de outubro de 2025). A matriz de equivalência que o CNCS deve publicar (art. 27.º, n.º 7) não estava disponível à data desta página: a confirmar com o CNCS.
A presunção é uma faculdade da autoridade ("pode atestar") e exige a submissão do certificado com a declaração de aplicabilidade na plataforma; alterações ao certificado comunicam-se em 72 horas (revogação) ou 10 dias úteis (suspensão, renovação, alteração de âmbito).
Os n.os 1 e 2 do art. 27.º e os arts. 28.º a 30.º do RJC (medidas, cadeia de abastecimento, gestão do risco residual e relatório anual) produzem efeitos 24 meses após a publicação da regulamentação (DL 125/2025, art. 10.º, n.º 2). O registo, o responsável de cibersegurança, o ponto de contacto permanente e a notificação de incidentes já se aplicam.
Conteúdo indicativo; não substitui a avaliação pela autoridade competente nem aconselhamento jurídico.