Contexto: o longo caminho até à lei
A Diretiva (UE) 2022/2555, a NIS2, foi votada pelo Parlamento Europeu em novembro de 2022 e adotada a 14 de dezembro de 2022, com prazo para transposição pelos Estados-Membros até 17 de outubro de 2024. Portugal, como vários outros países, não cumpriu esse prazo e publicou o Decreto-Lei n.º 125/2025 apenas em 4 de dezembro de 2025, com 13 meses de atraso face à exigência europeia.
O diploma foi publicado no Diário da República, 1.ª série, e estabeleceu uma vacatio legis de 120 dias. Esse período termina a 3 de abril de 2026, data em que o Regime Jurídico da Cibersegurança entra em vigor; os n.os 1 e 2 do art. 27.º, os arts. 28.º a 30.º, o art. 33.º e as coimas correspondentes só produzem efeitos a 22 de junho de 2028 (art. 10.º, n.º 2).
Em vigor desde 3 de abril de 2026: O DL 125/2025 é agora direito positivo em Portugal. Ignorar as suas obrigações expõe entidades a coimas até 10 milhões de euros ou 2% do volume de negócios global anual.
Artigos-chave e o que mudam na prática
O Regime Jurídico da Cibersegurança estrutura-se em 9 capítulos, 87 artigos e três anexos: Anexo I com 10 setores de importância crítica, Anexo II com 7 outros setores críticos e Anexo III com a definição de empresa e categorias de PME. Os artigos com impacto operacional imediato são:
- Arts. 6.º e 7.º do DL 125/2025, Qualificação das entidades: entidades essenciais e importantes (art. 6.º) e entidades públicas relevantes dos Grupos A e B (art. 7.º), notificadas da decisão de qualificação pela autoridade competente (art. 8.º).
- Art. 26.º do DL 125/2025, Sistema de gestão de riscos de cibersegurança: medidas mínimas e níveis de conformidade fixados por regulamento do CNCS (Anexo III do Regulamento n.º 756/2026).
- Arts. 31.º e 32.º do DL 125/2025, Responsável de cibersegurança e ponto de contacto permanente: designação pelas entidades essenciais e importantes no prazo de 20 dias úteis, em vigor desde 3 de abril de 2026.
- Art. 25.º do DL 125/2025 (Art. 20 da Diretiva NIS2), Responsabilidade do órgão de gestão: obrigação de formação e aprovação de medidas de segurança pela administração.
- Art. 27.º do DL 125/2025 (Art. 21 da Diretiva NIS2), Medidas de gestão de risco de cibersegurança: 9 medidas obrigatórias (alíneas a) a i)), incluindo MFA, criptografia, segurança da cadeia de abastecimento e continuidade das atividades, que produzem efeitos a 22 de junho de 2028 (art. 10.º, n.º 2).
- Art. 40.º e 42.º do DL 125/2025 (Art. 23 da Diretiva NIS2), Notificação de incidentes significativos à autoridade de cibersegurança competente: notificação inicial até 24 horas (art. 42.º, n.º 1), atualização até 72 horas quando necessário (art. 42.º, n.º 3), notificação de fim de impacto até 24 horas após o fim do impacto (art. 43.º) e relatório final 30 dias úteis após a notificação de fim de impacto (art. 44.º, n.º 1).
- Art. 54.º/55.º do DL 125/2025 (Art. 32/33 da Diretiva NIS2), Supervisão e enforcement: poderes do CNCS para inspeção, auditoria e imposição de medidas corretivas.
Prazos-chave para 2026–2028
| Prazo | Obrigação | Referência legal |
|---|---|---|
| 3 Abr 2026 | DL 125/2025 em vigor, lei aplicável | Art. 1.º + vacatio legis |
| 20 dias úteis após a notificação da qualificação | Designação do responsável de cibersegurança e do ponto de contacto permanente | Arts. 31.º e 32.º DL 125/2025; Reg. 756/2026, arts. 14.º e 15.º |
| 23 Jun – 15 Set 2026 | Registo na plataforma MyCiber: 60 dias úteis desde a disponibilização (entidades já em atividade); 30 dias após o início de atividade (novas entidades) | Art. 8.º, n.os 1 e 7, DL 125/2025 |
| Até 3 Abr 2027 | Possibilidade de pedir dispensa de coima (12 meses após a entrada em vigor), mediante pedido fundamentado | Art. 65.º DL 125/2025 |
| 22 Jun 2028 | Os n.os 1 e 2 do art. 27.º, os arts. 28.º a 30.º e o art. 33.º e as coimas das alíneas b), c) e f) do n.º 1 do art. 61.º produzem efeitos (24 meses após a publicação do Reg. 756/2026) | Art. 10.º, n.º 2, DL 125/2025 |
Implicações por dimensão e setor
Médias e grandes empresas (entidades essenciais e importantes)
Empresas com 50 ou mais trabalhadores, ou com volume de negócios anual e balanço total anual superiores a 10 milhões de euros, em setores dos Anexos I e II (além das entidades do art. 3.º, n.º 2, abrangidas independentemente da dimensão), devem autoidentificar-se como entidade essencial ou importante e iniciar o processo de registo junto do CNCS. A negligência em fazê-lo é, por si só, infração administrativa.
Setor público
A administração pública não consta do Anexo I do DL 125/2025: é abrangida por norma própria, o art. 3.º, n.º 3 (administração direta e indireta do Estado e das Regiões Autónomas, administração autónoma, incluindo as autarquias, e entidades administrativas independentes). As entidades públicas que não sejam qualificadas como essenciais ou importantes nos termos do art. 6.º, seja por operarem num setor dos Anexos I ou II (por exemplo, hospitais EPE ou entidades gestoras de água), seja pela alínea d) do n.º 1 (infraestruturas de TIC, elevada integração digital, avaliação educativa), são entidades públicas relevantes do Grupo A (administração direta com 250 ou mais trabalhadores; indireta e autónoma com mais de 250) ou do Grupo B (entre 75 e 249 trabalhadores), nos termos do art. 7.º. O critério é o número de trabalhadores, não a população do município. Cumprem as medidas do Anexo IV do Regulamento n.º 756/2026 (art. 33.º) e têm coimas próprias (art. 61.º, n.º 2: Grupo A até 4 milhões de euros; Grupo B até 350 000 euros).
Cadeia de fornecimento
O Art. 27.º do DL 125/2025 (Art. 21 da Diretiva NIS2) inclui explicitamente a segurança da cadeia de abastecimento como medida obrigatória. Fornecedores de TIC, prestadores de serviços geridos (MSP) e operadores de infraestruturas digitais veem os seus clientes obrigados a incluí-los em avaliações de risco formais.
Atenção ao prazo de designação (20 dias úteis a contar da notificação da qualificação): A designação do responsável de cibersegurança e do ponto de contacto permanente é uma das primeiras obrigações com prazo fixo. A falha neste requisito é diretamente verificável pelo CNCS nas ações de supervisão.
Próximos passos recomendados
- Verificar se a organização está nos Anexos I ou II e qual a classificação (OE vs OI) usando a Calculadora de Classificação.
- Designar formalmente o responsável de cibersegurança e o ponto de contacto permanente (20 dias úteis após a notificação da qualificação da entidade).
- Realizar uma gap analysis face ao Art. 27.º do DL 125/2025 com a ferramenta de auditoria NIS2.
- Implementar as medidas prioritárias do Roadmap de 90 dias.
- Consultar o Regulamento n.º 756/2026 (publicado a 22 de junho de 2026) e os Anexos III e IV aplicáveis.