NIS2 em Portugal: o que muda na cibersegurança das empresas

O que é a NIS2

A NIS2 é a Diretiva (UE) 2022/2555, que reforça as regras de cibersegurança na União Europeia. Substitui a diretiva NIS de 2016, alarga muito o número de setores e de empresas abrangidos e torna as obrigações mais exigentes, incluindo para quem gere as empresas.

Em Portugal, a diretiva foi transposta pelo Decreto-Lei n.º 125/2025, publicado a 4 de dezembro de 2025, que aprovou o novo Regime Jurídico da Cibersegurança. O regime entrou em vigor a 3 de abril de 2026 e a autoridade competente é o Centro Nacional de Cibersegurança (CNCS).

Que empresas abrange

Em regra, o regime abrange empresas médias e grandes (a partir de 50 trabalhadores ou de 10 milhões de euros de volume de negócios anual) que operam em setores considerados críticos, como:

• Energia, transportes, banca e infraestruturas do mercado financeiro.
• Saúde, água potável e águas residuais.
• Infraestruturas digitais e prestadores de serviços de TIC geridos.
• Administração pública e espaço.
• Serviços postais, gestão de resíduos e setor químico.
• Produção e distribuição alimentar e indústria transformadora, por exemplo de equipamentos, veículos e eletrónica.
• Prestadores de serviços digitais, como mercados online, motores de pesquisa e redes sociais.

As entidades são classificadas como essenciais ou importantes, consoante o setor e a dimensão, com obrigações de supervisão e coimas diferentes. Há exceções à regra da dimensão: algumas entidades ficam abrangidas independentemente do tamanho, por exemplo quando são as únicas a prestar um serviço essencial no país.

Como as regras de classificação são detalhadas, a forma mais segura de confirmar se a sua empresa está abrangida é consultar o regime e a informação publicada pelo CNCS, com apoio jurídico se necessário.

O que as empresas abrangidas têm de fazer

O regime exige medidas técnicas e organizativas proporcionais ao risco. As principais, previstas na diretiva, são:

• Análise de risco e políticas de segurança dos sistemas de informação.
• Gestão e resposta a incidentes.
• Continuidade do negócio: cópias de segurança, recuperação de desastres e gestão de crises.
• Segurança da cadeia de abastecimento, incluindo a relação com fornecedores.
• Segurança na aquisição, no desenvolvimento e na manutenção de sistemas, incluindo a gestão de vulnerabilidades.
• Avaliação regular da eficácia das medidas.
• Boas práticas de ciber-higiene e formação das equipas.
• Uso de criptografia e cifragem, quando adequado.
• Segurança dos recursos humanos, controlo de acessos e gestão de ativos.
• Autenticação multifator e comunicações seguras.

Além disso, as entidades abrangidas têm de se registar na plataforma do CNCS e designar um responsável de cibersegurança e um ponto de contacto permanente, nos prazos definidos no regime. Confirme os prazos que se aplicam à sua empresa junto do CNCS.

Notificação de incidentes

Quando ocorre um incidente significativo, a diretiva prevê notificações por etapas à autoridade competente:

• Um alerta inicial no prazo de 24 horas a contar do momento em que a empresa tem conhecimento do incidente.
• Uma notificação do incidente no prazo de 72 horas, com uma primeira avaliação da gravidade e do impacto.
• Um relatório final no prazo de um mês após a notificação.

Na prática, isto obriga a ter um processo definido antes de o incidente acontecer: quem deteta, quem decide, quem notifica e que informação fica registada.

Responsabilidade da gestão e coimas

Os órgãos de gestão têm de aprovar as medidas de cibersegurança, acompanhar a sua aplicação e frequentar formação, e podem ser responsabilizados pelo incumprimento.

A diretiva prevê coimas máximas de, pelo menos, 10 milhões de euros ou 2% do volume de negócios anual a nível mundial para as entidades essenciais, e de 7 milhões de euros ou 1,4% para as entidades importantes, consoante o valor mais elevado. Os montantes aplicáveis em Portugal constam do Regime Jurídico da Cibersegurança.

E se a sua empresa não estiver abrangida?

Mesmo fora do âmbito direto, a NIS2 chega a muitas empresas pequenas por via dos clientes. As entidades abrangidas têm de garantir a segurança da sua cadeia de abastecimento e começam a pedir garantias concretas aos fornecedores: questionários de segurança, cláusulas contratuais, autenticação multifator, cópias de segurança testadas ou prazos para comunicar incidentes.

Ter estas medidas em ordem passou a ser também um argumento comercial. E, abrangida ou não, uma empresa com as bases bem feitas fica muito menos exposta aos ataques mais comuns.

Por onde começar

Estes passos fazem sentido para qualquer empresa, abrangida ou não:

• Confirme se a sua empresa está abrangida e em que categoria.
• Faça um levantamento de contas, equipamentos, sistemas e fornecedores críticos.
• Ative a autenticação multifator no email e nas contas mais importantes.
• Garanta cópias de segurança automáticas, guardadas fora das instalações e testadas.
• Defina por escrito como se deteta, trata e notifica um incidente.
• Forme a equipa para reconhecer phishing e burlas.

Na Flippi ajudamos na parte técnica destas medidas e trabalhamos com o seu jurista ou consultor nas obrigações legais. Este guia é informativo e não substitui aconselhamento jurídico.