NIS2 no setor da infraestrutura digital
Guia prático de conformidade NIS2 e DL 125/2025 para pontos de troca de tráfego, fornecedores de DNS, registos de TLD, centros de dados, fornecedores de cloud e redes CDN em Portugal.
Enquadramento NIS2
O setor da infraestrutura digital está incluído no Anexo I: Setores de importância crítica da Diretiva NIS2 (transposta pelo DL 125/2025). Entidades essenciais: os prestadores de serviços de confiança qualificados, os registos de nomes de domínio de topo e os prestadores de serviços DNS, independentemente da dimensão (art. 6.º, n.º 1, alínea b), do DL 125/2025), e as restantes entidades do setor que excedam os limiares de média empresa (alínea a)). Entidades importantes: as médias empresas dos restantes tipos (cloud, centros de dados, CDN, IXP) (art. 6.º, n.º 2). Os prestadores de serviços de registo de nomes de domínio são abrangidos independentemente da dimensão (art. 3.º, n.º 2, alínea a)) e sujeitos ao dever de registo do art. 35.º.
Ver todos os setores abrangidos (17 setores dos anexos I e II e a administração pública)Classificação setorial
Anexo I: Setores de importância críticaEntidades essenciais: os prestadores de serviços de confiança qualificados, os registos de nomes de domínio de topo e os prestadores de serviços DNS, independentemente da dimensão (art. 6.º, n.º 1, alínea b), do DL 125/2025), e as restantes entidades do setor que excedam os limiares de média empresa (alínea a)). Entidades importantes: as médias empresas dos restantes tipos (cloud, centros de dados, CDN, IXP) (art. 6.º, n.º 2). Os prestadores de serviços de registo de nomes de domínio são abrangidos independentemente da dimensão (art. 3.º, n.º 2, alínea a)) e sujeitos ao dever de registo do art. 35.º.
Exemplos de entidades abrangidas
- Pontos de troca de tráfego (IXP), incluindo o GigaPIX
- Fornecedores de serviços DNS e registos de domínio de topo (TLD)
- Fornecedores de serviços de computação em nuvem (cloud)
- Operadores de centros de dados (data centers)
- Redes de distribuição de conteúdos (CDN)
Autoridades de cibersegurança e reguladores setoriais
Autoridades de cibersegurança (art. 15.º do DL 125/2025)
Ameaças específicas do setor
A infraestrutura digital constitui a espinha dorsal da economia e da sociedade digital. IXP, fornecedores de DNS, centros de dados e redes CDN são alvos de elevado valor para grupos de cibercrime organizado e para atores de Estado, dado que um único incidente pode ter efeitos cascata em múltiplos operadores e utilizadores finais.
SolarWinds (2020): compromisso de cadeia de fornecimento de software
O ataque SolarWinds em 2020 comprometeu a plataforma de gestão de redes Orion através da inserção de código malicioso numa atualização de software legítima. Cerca de 18 000 clientes instalaram a atualização comprometida, incluindo agências governamentais norte-americanas, embora o número de organizações efetivamente exploradas tenha sido muito menor. O caso ilustra como um único fornecedor de software de infraestrutura pode ser usado como vetor para comprometer toda a sua base de clientes.
Ataques a infraestrutura DNS
O DNS é infraestrutura crítica da internet. Ataques de cache poisoning, DDoS a resolvedores recursivos e comprometimento de registos de TLD podem redirecionar tráfego em larga escala, interromper a resolução de nomes e facilitar ataques de phishing e de interceção de tráfego (MITM) em escala global.
Falhas e ataques a centros de dados
Os centros de dados concentram infraestrutura de elevado valor. Ataques físicos, sabotagem de sistemas de arrefecimento, falhas de energia e intrusões lógicas podem causar indisponibilidade generalizada de serviços cloud e de alojamento. A norma TIA-942 define requisitos de resiliência, mas a ameaça continua a evoluir com a crescente automação dos data centers.
DDoS volumétrico contra IXP e CDN
Os pontos de troca de tráfego e as redes CDN são alvos preferidos de ataques DDoS volumétricos de grande escala. Um ataque bem-sucedido a um IXP pode degradar a conectividade de toda uma região. As CDN, por sua vez, são frequentemente usadas como vetor de amplificação ou de distribuição de conteúdo malicioso.
Regulação aplicável
Para além do DL 125/2025 (transposição da Diretiva NIS2), o setor da infraestrutura digital está sujeito a regulação setorial específica que se articula com as obrigações NIS2.
DL 125/2025: Art. 27.º (transpõe o Art. 21 da Diretiva NIS2)
O art. 27.º, n.º 1, do DL 125/2025 enumera 9 áreas de medidas de cibersegurança para as entidades essenciais e importantes de infraestrutura digital. Estas medidas produzem efeitos a 22 de junho de 2028 (art. 10.º, n.º 2, do decreto-lei); o registo, o responsável de cibersegurança, o ponto de contacto permanente e a notificação de incidentes aplicam-se desde 3 de abril de 2026.
Regulamento de Execução (UE) 2024/2690
Estabelece requisitos técnicos e metodológicos específicos para as medidas de cibersegurança das entidades de infraestrutura digital, incluindo fornecedores de DNS, registos de TLD, fornecedores de cloud, centros de dados e CDN. Diretamente aplicável em Portugal.
ENISA Technical Implementation Guidance v1.0
Orientações técnicas da ENISA para implementação das medidas do Art. 21 da Diretiva NIS2 (Art. 27.º do DL 125/2025), com recomendações específicas para entidades de infraestrutura digital.
Norma TIA-942 para centros de dados
Norma técnica de referência para a conceção e operação de centros de dados, incluindo requisitos de resiliência física e de rede. Complementa os requisitos de cibersegurança do DL 125/2025 para operadores de data centers.
As 9 medidas do Art. 27.º aplicadas ao setor
O art. 27.º, n.º 1, do DL 125/2025 (que transpõe o art. 21.º da Diretiva NIS2) enumera 9 áreas de medidas de cibersegurança para as entidades essenciais e importantes. Estas medidas produzem efeitos a 22 de junho de 2028 (art. 10.º, n.º 2, do decreto-lei); o registo, o responsável de cibersegurança, o ponto de contacto permanente e a notificação de incidentes aplicam-se desde 3 de abril de 2026. Aqui mostramos como cada medida se aplica especificamente ao setor da infraestrutura digital.
Tratamento de incidentes
Definir procedimentos de deteção, resposta e recuperação, com notificação inicial ao CNCS em 24 horas (Art. 42.º), notificação de fim de impacto em 24 horas após o fim do impacto (Art. 43.º) e relatório final 30 dias úteis depois (Art. 44.º).
Continuidade das atividades e gestão de crises
Manter cópias de segurança offline e testadas, planos de recuperação de desastres e capacidade de operação em modo degradado.
Segurança da cadeia de abastecimento
Avaliar a cibersegurança de fornecedores e prestadores de serviços diretos e incluir cláusulas contratuais adequadas.
Segurança na aquisição, desenvolvimento e manutenção
Incluir requisitos de cibersegurança em sistemas e equipamentos, com tratamento e divulgação de vulnerabilidades.
Avaliação da eficácia das medidas
Realizar auditorias e testes de resiliência periódicos para validar a eficácia dos controlos.
Práticas básicas de ciber-higiene e formação
Formar todos os colaboradores e os órgãos de gestão; simular ataques de phishing dirigidos ao contexto do setor.
Criptografia e cifragem
Cifrar dados sensíveis em repouso e em trânsito, com gestão adequada de chaves.
Segurança dos recursos humanos, controlo de acessos e gestão de ativos
Aplicar controlo de acessos baseado em funções (RBAC), inventário de ativos e revisão periódica de privilégios.
Autenticação multifator e comunicações seguras
Exigir autenticação multifator para acessos remotos e privilegiados e proteger as comunicações internas.
Templates para o setor da infraestrutura digital
Documentação pronta a usar, adaptada às especificidades regulatórias e de ameaças do setor da infraestrutura digital.
Checklist NIS2: Infraestrutura digital
Lista de verificação das obrigações do DL 125/2025 adaptada a IXP, fornecedores de DNS, centros de dados e CDN, com referências ao Regulamento de Execução (UE) 2024/2690.
Descarregar DOCXMatriz de risco: Infraestrutura digital
Matriz de avaliação de riscos cibernéticos específica para infraestrutura digital, incluindo ameaças a DNS, centros de dados, IXP e redes CDN.
Descarregar XLSXPlano de resposta a incidentes: Infraestrutura digital
Plano estruturado para resposta a incidentes em infraestrutura digital, com fluxos de comunicação ao CNCS e procedimentos de contenção de ataques à cadeia de fornecimento.
Descarregar DOCXFerramentas relacionadas
Explore as ferramentas da plataforma para aprofundar a sua conformidade NIS2.
Radar de ameaças
Vulnerabilidades exploradas ativamente (CISA KEV) com contexto NIS2.
Observatório de ransomware
Grupos ativos, setores alvo e tendências de ransomware em 2025-2026.
Calculadora de classificação
Determine se a sua organização é entidade essencial ou importante ao abrigo do art. 6.º do DL 125/2025.
Sistema de auditoria NIS2
Avalie a maturidade da sua conformidade com as 9 medidas do Art. 27.
Setores abrangidos
Os 17 setores dos anexos I e II do DL 125/2025 e a administração pública, com as suas obrigações específicas.
Perguntas frequentes
Questões comuns sobre a conformidade NIS2 no setor da infraestrutura digital.
O meu centro de dados ou fornecedor de cloud está abrangido pela NIS2 / DL 125/2025?
Os fornecedores de serviços de computação em nuvem, os operadores de centros de dados, as redes de distribuição de conteúdos, os pontos de troca de tráfego e os fornecedores de serviços DNS estão incluídos no Anexo I da Diretiva NIS2 (setores de importância crítica), transposta em Portugal pelo DL 125/2025. Os registos de nomes de domínio de topo, os prestadores de serviços DNS e os prestadores qualificados de serviços de confiança são entidades essenciais independentemente da dimensão (art. 6.º, n.º 1, alínea b), do DL 125/2025); os restantes tipos são entidades essenciais quando excedem os limiares de média empresa (alínea a)) e entidades importantes quando são médias empresas (art. 6.º, n.º 2).
O que muda com o Regulamento de Execução (UE) 2024/2690?
O Regulamento de Execução (UE) 2024/2690 é diretamente aplicável em Portugal e estabelece requisitos técnicos específicos para as entidades de infraestrutura digital abrangidas pela NIS2. Detalha as medidas exigidas pelo Art. 27.º do DL 125/2025 (Art. 21 da Diretiva) com orientações concretas para DNS, TLD, cloud, centros de dados e CDN.
Que prazo tenho para notificar um incidente de cibersegurança?
O DL 125/2025 prevê notificação inicial à autoridade de cibersegurança competente (o CNCS, salvo nos casos em que é competente uma autoridade setorial), através da plataforma eletrónica, até 24 horas após a verificação de um incidente significativo (Art. 42.º, n.º 1), atualização em 72 horas quando necessário (Art. 42.º, n.º 3), notificação de fim de impacto até 24 horas após o fim do impacto (Art. 43.º) e relatório final 30 dias úteis a contar da notificação de fim de impacto (Art. 44.º, n.º 1). Para entidades de infraestrutura digital, um incidente que afete múltiplos clientes downstream pode ser classificado como significativo mesmo que o impacto direto na entidade seja limitado.
Como avaliar o risco da cadeia de fornecimento de software em infraestrutura digital?
O caso SolarWinds (2020) demonstrou que o vetor de compromisso mais crítico para infraestrutura digital pode ser o próprio software de gestão. O DL 125/2025 (Art. 27.º, al. c) exige avaliação da segurança da cadeia de abastecimento, incluindo verificação de integridade de atualizações de software, inventário de dependências de terceiros e controlos de acesso à cadeia de compilação e distribuição de software.