DataRoad · Serviços e Consultoria IT
NIS2 em Portugal
Quem está abrangido?
O registo no MyCiber tem prazo, e termina em meados de setembro de 2026.
O Decreto-Lei n.º 125/2025 está em vigor, as coimas chegam a 10 milhões de euros e o regime responsabiliza diretamente os órgãos de gestão. Veja quem está abrangido, o que tem de fazer e até quando.
Pedir diagnóstico NIS2
NIS2 em Portugal: a sua empresa está abrangida?
O Decreto-Lei n.º 125/2025 está em vigor desde 4 de maio de 2026 e a plataforma MyCiber do CNCS abriu a 23 de junho. As entidades já em atividade têm 60 dias úteis para se identificarem e registarem — o prazo termina em meados de setembro de 2026. Não se registar é, por si só, uma contraordenação.
O que tem de fazer, e até quando
- Já em vigorRegime Jurídico da CibersegurançaO Decreto-Lei n.º 125/2025, de 4 de dezembro, entrou em vigor a 4 de maio de 2026. O Regulamento n.º 756/2026, de 22 de junho, veio operacionalizá-lo.
- ~15 de setembro de 2026Autoidentificação e registo no MyCiber60 dias úteis a contar de 23 de junho, data em que a plataforma do CNCS ficou disponível. Quem iniciou atividade depois tem 30 dias úteis. Falhar este prazo é, por si só, uma contraordenação.
- 20 dias após a qualificaçãoResponsável de cibersegurança e ponto de contactoDepois de o CNCS confirmar a qualificação da entidade, há que comunicar quem responde pela cibersegurança e o ponto de contacto permanente.
- 31 de janeiro de 2027Inventário de ativosOu seis meses após a notificação de qualificação final, consoante o que ocorrer primeiro.
- Junho de 2028Medidas mínimas e relatório anualDois anos para aplicar as medidas de segurança do nível atribuído e entregar o primeiro relatório.
As coimas chegam a 10 milhões de euros ou 2% do volume de negócios mundial para entidades essenciais, e a 7 milhões ou 1,4% para entidades importantes. O regime responsabiliza diretamente os órgãos de gestão.
O que a DataRoad faz — e o que não faz
Não somos advogados e não fazemos o registo por si: a autoavaliação e a submissão no MyCiber são atos da própria entidade. O que fazemos é tudo o que vem depois, que é onde está o trabalho a sério.
- Inventário de ativosLevantamento de servidores, postos, equipamentos de rede, serviços cloud e acessos — o documento que o regime exige até janeiro de 2027 e que quase ninguém tem feito.
- Medidas mínimas do nível atribuídoImplementação e prova documental: controlo de acessos, cifra, segmentação de rede, firewall, proteção de endpoints, cópias de segurança testadas e gestão de atualizações.
- Deteção e registoMonitorização 24/7 com registos guardados. Sem isto não há como cumprir a notificação em 24 horas, porque não se sabe que houve incidente.
- Resposta a incidentesProcedimento escrito, responsáveis definidos e ensaio. Quando acontece, o relógio das 24 horas já está a contar.
- Continuidade e recuperaçãoBackups testados e tempos de recuperação definidos — não a promessa de que existem cópias algures.
- Formação da equipa e da gestãoO regime responsabiliza os órgãos de gestão. Sessões curtas e simulações de phishing, com registo de quem participou.
Perguntas frequentes sobre a NIS2
A minha empresa está abrangida pela NIS2?
Regra geral, ficam abrangidas as médias e grandes entidades dos setores listados no regime — energia, transportes, banca, saúde, água, infraestrutura digital, gestão de serviços TIC, administração pública, correios, resíduos, químicos, alimentar, fabrico e investigação, entre outros. Há casos em que a dimensão não conta e a entidade é abrangida na mesma. A determinação oficial faz-se pela autoavaliação na plataforma MyCiber, e o ónus dessa avaliação é da própria organização — não do CNCS.
E se a minha empresa não estiver abrangida?
Continua a ser afetada, por via da cadeia de fornecimento. As entidades abrangidas são obrigadas a gerir o risco dos seus fornecedores, o que significa questionários de segurança, exigências contratuais e, cada vez mais, provas documentais. Se vende a hospitais, banca, energia, administração pública ou indústria, a NIS2 vai bater-lhe à porta pelo lado do cliente.
Quais são as coimas?
Para entidades essenciais, até 10 milhões de euros ou 2% do volume de negócios anual mundial, consoante o que for mais elevado. Para entidades importantes, até 7 milhões de euros ou 1,4%. Além disso, o regime responsabiliza diretamente os órgãos de gestão.
Em quanto tempo tenho de comunicar um incidente?
Alerta inicial em 24 horas, notificação com avaliação em 72 horas e relatório final em 30 dias. Na prática, isto obriga a ter deteção e registo — sem monitorização não há forma de cumprir 24 horas, porque nem sequer se dá pelo incidente.
Que medidas técnicas são exigidas?
O regime define três níveis — básico, substancial e elevado — com 39, 75 e 91 medidas, atribuídos conforme o perfil de risco da entidade. A metodologia assenta no Quadro Nacional de Referência para a Cibersegurança, alinhado com o NIST CSF 2.0.
A DataRoad trata do registo por nós?
O registo e a autoavaliação são atos da própria entidade e ninguém os pode fazer no seu lugar — acompanhamos e preparamos a informação, mas a submissão é sua. O que fazemos por inteiro é a parte técnica: inventário de ativos, medidas de segurança, monitorização, registos e capacidade de responder a um incidente dentro dos prazos.
Esta página é informativa e não constitui aconselhamento jurídico. A qualificação da sua entidade é determinada pela autoavaliação na plataforma MyCiber do CNCS.
Últimas notícias
As novidades e artigos mais recentes da DataRoad.
Mudança de Escritório: Checklist Informático Para Não Falhar
Checklist informático para mudança de instalações: os prazos longos que condicionam tudo, o que se decide antes da obra, o plano por fases e os erros que se repetem sempre.
Informática para Empresas: Lisboa, Setúbal, Porto, Beja, Cascais e Oeiras
Apoio informático a empresas na Península de Setúbal: que necessidades distinguem a região, quando o presencial é indispensável e as quatro perguntas a fazer antes de contratar um parceiro local.
Redes Wireless Empresariais: Porque o WiFi Doméstico Não Serve
Redes sem fios para empresas: os quatro problemas que causam falhas de WiFi, porque mais pontos de acesso piora a rede, o papel do estudo de cobertura e os ambientes mais exigentes.