Estado atual da implementação da Diretiva NIS2 na legislação portuguesa
Portugal aprovou a Lei de Autorização Legislativa n.º 59/2025 em 22 de outubro de 2025, autorizando o Governo a aprovar o regime jurídico completo da cibersegurança. O Governo tem agora 180 dias para publicar o regime jurídico final.
Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho publicada.
Portugal não cumpriu o prazo estabelecido pela UE devido a instabilidade política e sucessivas mudanças governamentais.
Portugal é um dos 19 Estados-membros notificados por não terem transposto integralmente a diretiva. Este é o passo 2 do procedimento de infração da UE.
Assembleia da República aprova proposta de lei de autorização legislativa com 93 votos a favor (PSD, CDS-PP, PAN, JPP) e 67 contra (PS, Livre, PCP).
Lei publicada em Diário da República, autorizando o Governo a aprovar o regime jurídico completo da cibersegurança. Prazo de 180 dias para conclusão.
Prazo de 180 dias para o Governo aprovar e publicar o regime jurídico completo da cibersegurança através de Decreto-Lei.
Regime jurídico final publicado com todas as regras, obrigações e penalidades definidas.
CNCS e autoridades setoriais identificam entidades essenciais e importantes que devem cumprir a NIS2.
Início da fiscalização ativa e aplicação de coimas por incumprimento das medidas de cibersegurança.
Portugal não cumpriu o prazo de 17 de outubro de 2024 estabelecido pela União Europeia para transpor a Diretiva NIS2.
Sucessivas crises governamentais e mudanças de governo entre 2024 e 2025 atrasaram o processo legislativo.
Em 7 de maio de 2025, a Comissão Europeia enviou um parecer fundamentado a Portugal (e outros 18 Estados-membros).
Em setembro de 2025, o novo Parlamento aprovou finalmente a lei de autorização legislativa.
Estado: Concluída
Lei n.º 59/2025 publicada em 22 de outubro de 2025, autorizando o Governo a aprovar o regime jurídico completo da cibersegurança.
Estado: Em Curso
O Governo tem 180 dias (até abril de 2026) para elaborar e publicar o regime jurídico completo através de Decreto-Lei.
Estado: Concluída (2024)
A consulta pública foi realizada em setembro de 2024, permitindo contributos do setor privado e organizações afetadas.
Estado: Pendente
Publicação do regime jurídico completo prevista para abril de 2026 (após conclusão do período de 180 dias).
Várias autoridades nacionais terão responsabilidades específicas no âmbito da implementação da NIS2 em Portugal.
A NIS2 representa uma evolução significativa face à Diretiva NIS anterior, com requisitos mais abrangentes e rigorosos.
O processo de transposição e implementação da NIS2 em Portugal seguirá várias fases distintas.
Processo legislativo completo com aprovação parlamentar em 19 de setembro de 2025. A consulta pública foi realizada em setembro de 2024, recolhendo contributos de organizações, especialistas e partes interessadas.
Responsável: Governo Português (coordenação do CNCS)
Duração: 2024-2025 (concluído)
O Governo tem 180 dias desde 22 de outubro de 2025 para aprovar o regime jurídico completo da cibersegurança. Este será publicado através de Decreto-Lei e incluirá todas as regras, obrigações e penalidades.
Responsável: Governo (Decreto-Lei)
Prazo: Até abril de 2026 (180 dias)
Após conclusão pelo Governo, o regime jurídico completo será publicado em Diário da República, entrando oficialmente em vigor. A partir deste momento, as entidades abrangidas terão um prazo específico para implementar as medidas de conformidade.
Responsável: Governo Português
Data estimada: Abril de 2026
O CNCS e as autoridades setoriais identificarão as entidades essenciais e importantes dos respetivos setores. As entidades abrangidas deverão registar-se junto das autoridades competentes, fornecendo informações sobre os seus serviços, infraestruturas críticas e pontos de contacto para cibersegurança.
Responsável: CNCS, autoridades competentes e entidades abrangidas
Data estimada: 2026 (após publicação do regime jurídico)
As entidades abrangidas deverão implementar as 10 medidas de cibersegurança obrigatórias previstas no Artigo 21 da NIS2. As autoridades competentes iniciarão as atividades de supervisão, incluindo auditorias, inspeções e verificação de conformidade. Início da aplicação de sanções em caso de incumprimento.
Responsável: Entidades abrangidas e autoridades de supervisão
Data estimada: 2026-2027 (contínuo)
Portal oficial do CNCS com informações sobre cibersegurança nacional e orientações sobre a NIS2.
Visitar website →Texto completo da Diretiva (UE) 2022/2555 publicado no Jornal Oficial da União Europeia.
Ler diretiva completa →Orientações, ferramentas e recursos da ENISA sobre a implementação da NIS2.
Aceder recursos ENISA →Acompanhe o processo legislativo de transposição no portal da Assembleia da República.
Seguir legislação →Informações oficiais da Comissão Europeia sobre a Diretiva NIS2 e o seu estado de transposição nos Estados-Membros.
Ver informações CE →Utilize as nossas ferramentas gratuitas para avaliar se está abrangido e preparar a conformidade.
Usar ferramentas →Portugal não cumpriu o prazo de 17 de outubro de 2024. A Comissão Europeia já enviou um parecer fundamentado em maio de 2025 (passo 2 do procedimento de infração).
Consequências possíveis:
A boa notícia é que a Lei n.º 59/2025 foi publicada em 22 de outubro de 2025, e o Governo tem agora 180 dias para concluir a transposição.
Cronograma esperado:
Recomendação: Não espere pela lei final! Comece já a avaliar se está abrangido e a implementar as 10 medidas do Artigo 21.
Uma organização estará abrangida pela NIS2 em Portugal se cumprir ambos os critérios:
Exceções: Alguns prestadores (como DNS, TLD, registos de nomes de domínio) estão abrangidos independentemente da dimensão.
O processo de registo será definido na legislação portuguesa de transposição. Tipicamente incluirá:
Aguarde comunicações oficiais do CNCS e das autoridades setoriais após a publicação da lei de transposição.
A Diretiva NIS2 estabelece limites máximos que serão refletidos na legislação portuguesa:
As penalizações específicas e critérios de aplicação serão definidos na lei portuguesa de transposição.
Mantenha-se informado através dos seguintes canais oficiais:
Este website será atualizado regularmente com as últimas informações sobre o processo de transposição em Portugal.
Não espere pela conclusão da transposição. Comece já a avaliar o seu grau de conformidade e a implementar as medidas necessárias.