Estado da NIS 2 em Portugal
O que a diretiva exige, como Portugal a transpõe e onde se situam o CNCS e o CERT.PT no panorama.
Visão geral
A diretiva NIS 2 é a camada da UE. Vincula todos os Estados-Membros, incluindo Portugal, a um único patamar de cibersegurança para as entidades essenciais e importantes. Portugal tem de transpor esse patamar para a lei portuguesa e gerir um regime de supervisão ao seu abrigo.
Portugal ultrapassou o prazo de transposição de 17 de outubro de 2024 em mais de um ano. O Decreto-Lei n.º 125/2025, publicado no Diário da República em 4 de dezembro de 2025, levou finalmente a NIS 2 para a lei portuguesa. O texto entra em vigor em 3 de abril de 2026, 120 dias após a publicação.
O Centro Nacional de Cibersegurança (CNCS) é a autoridade competente principal. O CERT.PT, operado dentro do CNCS, é o CSIRT nacional. Os reguladores setoriais mantêm-se envolvidos onde já detinham competência: a ANACOM para as comunicações eletrónicas, e o Banco de Portugal e a CMVM para o setor financeiro, onde o DORA funciona como lex specialis.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança à escala da UE. Fixa as obrigações que cada Estado-Membro tem de transpor, incluindo os testes de dimensão e setor para entidades essenciais e importantes.
Execução da UE
Regulamento de Execução da Comissão (UE) 2024/2690
Medidas técnicas e metodológicas para os prestadores de infraestrutura digital. Diretamente aplicável em Portugal, sem transposição nacional.
Transposição portuguesa
Decreto-Lei n.º 125/2025, de 4 de dezembro de 2025
A transposição portuguesa da NIS 2, publicada no Diário da República. Estabelece o Regime Jurídico da Cibersegurança. Entra em vigor em 3 de abril de 2026. Regulamentação complementar e orientação do CNCS preenchem o detalhe operacional.
Decreto-Lei n.º 125/2025
Leva as obrigações da NIS 2 para a lei portuguesa como o novo Regime Jurídico da Cibersegurança. Define entidades essenciais e importantes, os poderes de supervisão do CNCS, os deveres de comunicação de incidentes e sanções até 10 milhões de EUR ou 2 por cento do volume de negócios mundial. A entrada em vigor é em 3 de abril de 2026.
CNCS como supervisor, CERT.PT como CSIRT
O CNCS gere a supervisão, as auditorias e os procedimentos sancionatórios, e opera a plataforma eletrónica de registo. O CERT.PT, integrado no CNCS, coordena a resposta a incidentes como CSIRT nacional. Reguladores setoriais como a ANACOM para as comunicações eletrónicas e o Banco de Portugal e a CMVM para o setor financeiro mantêm a sua competência onde a lex specialis se aplica.
Registo e comunicação
As entidades têm de se autoidentificar através da plataforma eletrónica do CNCS após a entrada em vigor e notificar um responsável de cibersegurança e um ponto de contacto permanente no prazo de vinte dias úteis. Os incidentes significativos seguem o ritmo da diretiva: alerta precoce em 24 horas, notificação em 72 horas e relatório final no prazo de um mês.
Em Portugal aplica-se a lei local
As operações em território português seguem a transposição portuguesa. Um Geschäftsführer alemão que dirige uma filial portuguesa lê o Decreto-Lei n.º 125/2025 para essa filial, não o BSIG alemão. As obrigações da diretiva são as mesmas; o procedimento, a plataforma de registo e as sanções residem na lei portuguesa.
Portugal não pode ficar abaixo do patamar da UE
A diretiva é um instrumento de harmonização mínima. Portugal pode ir mais longe, e o Decreto-Lei n.º 125/2025 em certos pontos vai. Não pode ficar abaixo da diretiva quanto aos deveres das entidades essenciais e importantes, aos prazos de comunicação de incidentes ou à responsabilização do órgão de direção.
CNCS
Centro Nacional de Cibersegurança. Autoridade competente principal ao abrigo do Decreto-Lei n.º 125/2025. Gere a plataforma eletrónica de registo, emite orientação, conduz a supervisão e propõe sanções. A autoridade nacional de cibersegurança para as entidades essenciais e importantes.
CERT.PT
O CSIRT nacional, operado como serviço dentro do CNCS. Coordena a resposta a incidentes que envolvam entidades essenciais, entidades importantes, administração pública e prestadores de serviços digitais, e atua como ponto de contacto na rede de CSIRT da UE.
ENISA
A agência de cibersegurança da UE. Publica orientação, gere a base de dados europeia de vulnerabilidades e apoia a coordenação transfronteiriça. Não é supervisora das entidades portuguesas; o CNCS é.
Temos uma casa-mãe alemã, portanto seguimos o BSIG.
As operações em território português seguem o Decreto-Lei n.º 125/2025 e comunicam ao CNCS. A casa-mãe alemã lê o BSIG para as suas operações alemãs. As obrigações da diretiva são as mesmas, mas o procedimento, a plataforma de registo e as sanções residem na lei portuguesa. Um grupo que opera nos dois países gere dois registos paralelos, um por supervisor.
Ainda não há obrigação porque a lei só entra em vigor em abril de 2026.
O Decreto-Lei n.º 125/2025 foi publicado em 4 de dezembro de 2025 e entra em vigor em 3 de abril de 2026, com a autoidentificação e a notificação do responsável de cibersegurança a vencer pouco depois. Esperar até a plataforma abrir é demasiado tarde; a verificação de aplicabilidade e a preparação interna pertencem ao período anterior à entrada em vigor, não ao posterior.
O nosso regulador setorial já nos supervisiona, por isso a NIS 2 não acrescenta nada.
O CNCS é a autoridade principal da NIS 2. A ANACOM, o Banco de Portugal e a CMVM mantêm-se competentes onde já estavam, em particular no setor financeiro ao abrigo do DORA como lex specialis. Fora dessas exceções, as obrigações da NIS 2 e o canal de comunicação do CNCS aplicam-se por cima de qualquer regime setorial. A supervisão setorial não substitui o registo NIS 2 no CNCS.
A maioria dos operadores portugueses que vemos tratava a NIS 2 como um problema futuro até o Decreto-Lei n.º 125/2025 ter sido publicado em dezembro de 2025. Essa janela fechou-se. A supervisão do CNCS começa em 3 de abril de 2026, o responsável de cibersegurança tem de ser notificado no prazo de vinte dias úteis, e o órgão de direção, o administrador ou gerente, está pessoalmente responsável pela aprovação da gestão de risco e pela formação ao abrigo da diretiva.
O passo prático é o mesmo que em todo o resto da UE: confirmar o âmbito ao abrigo da diretiva, registar-se através da plataforma nacional (aqui, a plataforma eletrónica do CNCS), montar as quatro obrigações contínuas (manutenção do registo, comunicação de incidentes, risco da cadeia de abastecimento, fiscalização do órgão de direção) e documentar o mínimo. A orientação setorial do CNCS ajuda, mas não substitui o registo de obrigações NIS 2.
- Diretiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regulamento de Execução da Comissão (UE) 2024/2690
- Decreto-Lei n.º 125/2025, de 4 de dezembro de 2025, Diário da República
- CNCS, Centro Nacional de Cibersegurança, sítio oficial
- CERT.PT, CSIRT nacional operado pelo CNCS
- ANACOM, autoridade setorial das comunicações eletrónicas
- Banco de Portugal e CMVM, autoridades setoriais do setor financeiro ao abrigo do DORA
Na prática
O que a lei nacional muda, e o que não muda
A lei nacional determina, entre outras coisas, onde se regista e a quem notifica os incidentes. As medidas partem da mesma lista mínima em todos os Estados-Membros (art. 21.º NIS 2). O percurso guiado leva-o por elas passo a passo:
O percurso em si está em alemão e em inglês.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
