Contexto: o atraso de Portugal
A Diretiva NIS2 estabeleceu outubro de 2024 como prazo para todos os Estados-Membros transporem o diploma para direito nacional. Portugal foi um dos países que não cumpriu esse prazo, tendo publicado o seu diploma de transposição apenas a 4 de dezembro de 2025, 13 meses após o deadline europeu.
Enquanto não houve transposição, a Diretiva não criou obrigações diretas para as entidades privadas; o DL 125/2025 é o instrumento que as torna exigíveis em Portugal e que operacionaliza a supervisão e o enforcement pelo CNCS, bem como a definição precisa do âmbito de aplicação em Portugal.
Estrutura do diploma
O Regime Jurídico da Cibersegurança, aprovado em anexo ao DL 125/2025, organiza-se em 9 capítulos (87 artigos e três anexos), cobrindo:
- Cap. I, Disposições gerais: Objeto, âmbito de aplicação, definições, classificação das entidades e procedimento de qualificação e registo na plataforma eletrónica (art. 8.º).
- Cap. II, Instrumentos estruturantes: Estratégia nacional e Quadro Nacional de Referência para a Cibersegurança (art. 14.º).
- Cap. III, Quadro institucional: Autoridades de cibersegurança (art. 15.º), CNCS, autoridades setoriais e especiais.
- Cap. IV, Gestão dos riscos e outros deveres: Obrigações dos órgãos de gestão (art. 25.º), as 9 medidas do Art. 27.º (Art. 21 da Diretiva NIS2), incluindo gestão de incidentes, continuidade, cadeia de abastecimento, MFA e criptografia, responsável de cibersegurança (art. 31.º) e ponto de contacto permanente (art. 32.º).
- Cap. V, Prevenção e tratamento de incidentes: Notificação de incidentes significativos (arts. 40.º a 44.º): notificação inicial em 24 h, atualização em 72 h quando necessário, fim de impacto e relatório final em 30 dias úteis.
- Cap. VI, Supervisão e execução: Poderes das autoridades, auditorias, inspeções, medidas corretivas.
- Cap. VII, Regime sancionatório: Coimas até 10M€ ou 2% do volume de negócios global para OE; até 7M€ ou 1,4% para OI; dispensa de coima a pedido durante 12 meses (art. 65.º).
- Cap. VIII, Disposições complementares.
- Cap. IX, Disposições finais.
Principais novidades face à Lei 46/2018 e ao DL 65/2021 (anterior regime)
| Aspeto | Lei 46/2018 e DL 65/2021 (NIS1) | DL 125/2025 (NIS2) |
|---|---|---|
| Responsabilidade gestão | Não explícita | Art. 25.º DL 125/2025 (Art. 20 Diretiva NIS2), órgão de gestão formalmente responsável |
| Coimas máximas | 50 000 € (pessoa coletiva, infração muito grave, art. 23.º da Lei 46/2018) | 10.000.000 € ou 2% vol. negócios (OE) |
| Setores abrangidos | 7 setores essenciais | Anexo I (10 setores de importância crítica) + Anexo II (7 outros setores críticos) |
| Administração pública | Parcialmente incluída | Expressamente incluída com regime próprio |
| Cadeia de abastecimento | Não obrigatória | Art. 27.º, n.º 1, alínea c), DL 125/2025 (Art. 21(2)(d) Diretiva NIS2), medida obrigatória |
| Portal de registo | Não previsto | Art. 8.º, n.º 7, plataforma eletrónica do CNCS obrigatória |
Vacatio legis de 120 dias: O diploma entra em vigor 120 dias após a publicação, ou seja, a 3 de abril de 2026. Este período deve ser usado para preparação, avaliação interna e início da implementação das medidas do Art. 27.º do DL 125/2025 (Art. 21 da Diretiva NIS2).
Fases de implementação previstas
O DL 125/2025 e as disposições transitórias preveem uma implementação faseada:
- Fase 1, Registo e identificação (23 de junho a 15 de setembro de 2026 para as entidades já em atividade): Autoidentificação como OE/OI e registo no portal CNCS. Designação do responsável de cibersegurança e do ponto de contacto permanente (prazo: 20 dias úteis após a notificação da qualificação da entidade).
- Fase 2, Conformidade técnica (Jun 2026 em diante): Implementação das medidas obrigatórias do Art. 27.º do DL 125/2025 (Art. 21 da Diretiva NIS2). Os n.os 1 e 2 do Art. 27.º e os arts. 28.º a 30.º só produzem efeitos a 22 de junho de 2028 (art. 10.º, n.º 2).
- Fase 3, Medidas exigíveis (22 de junho de 2028, 24 meses após a publicação do Regulamento n.º 756/2026): Conformidade total com todos os requisitos, incluindo certificações onde aplicável. Supervisão sistemática pelo CNCS.