Resposta rápida: a NIS2 é a diretiva europeia de cibersegurança. Em Portugal foi transposta pelo Decreto-Lei n.º 125/2025, publicado a 4 de dezembro de 2025 e em vigor desde 3 de abril de 2026. Abrange milhares de entidades em setores como energia, saúde, transportes, água, serviços digitais, indústria e distribuição alimentar, que têm de se registar junto do Centro Nacional de Cibersegurança (CNCS), aplicar medidas mínimas de segurança e notificar incidentes. Mesmo empresas não abrangidas vão sentir o impacto, porque os clientes abrangidos passam a exigir segurança aos fornecedores.

Este artigo é informativo e não substitui aconselhamento jurídico. As normas de execução são publicadas pelo CNCS: confirme sempre os prazos em vigor no site oficial.

O que é a NIS2?

É a segunda versão da diretiva europeia sobre segurança das redes e da informação. Substitui as regras anteriores e alarga muito o número de setores e empresas abrangidas, com obrigações mais exigentes e maior responsabilização da gestão.

A minha empresa está abrangida?

A lei distingue entidades essenciais e entidades importantes, com obrigações proporcionais. Os setores abrangidos incluem:

  • energia, transportes, banca e mercados financeiros, saúde, água e saneamento;
  • infraestruturas digitais e gestão de serviços de TIC;
  • serviços postais, gestão de resíduos, químicos, fabrico, produção e distribuição alimentar;
  • prestadores de serviços digitais, investigação, ensino superior e administração pública.

Pela regra geral da diretiva europeia, ficam abrangidas as médias e grandes empresas destes setores (a partir de 50 trabalhadores ou mais de 10 milhões de euros de volume de negócios). Algumas entidades mais pequenas também podem ser incluídas pela importância do que fazem.

Principais obrigações

  1. Registo na plataforma do CNCS, num prazo de 60 dias após a plataforma ficar disponível.
  2. Gestão de risco e medidas mínimas de segurança de acordo com o Quadro Nacional de Referência para a Cibersegurança.
  3. Notificação de incidentes significativos dentro de prazos curtos. A diretiva europeia prevê um alerta inicial em 24 horas, uma notificação em 72 horas e um relatório final no prazo de um mês.
  4. Segurança da cadeia de fornecimento: adaptar contratos com fornecedores e prestadores críticos.
  5. Responsabilidade da gestão: a direção tem de aprovar e acompanhar as medidas de cibersegurança.

A lei prevê um período de adaptação: as obrigações de gestão de risco, notificação e supervisão aplicam-se 24 meses após a publicação das normas complementares do CNCS.

E se a minha empresa for pequena?

Mesmo que não esteja abrangida, é provável que um cliente seu esteja. As entidades NIS2 têm de garantir a segurança dos fornecedores, por isso vão pedir mais: questionários de segurança, cláusulas contratuais, autenticação em dois passos, cópias de segurança e planos de resposta a incidentes. Estar preparado pode ser uma vantagem comercial.

Como começar: 6 passos práticos

  1. Confirme se está abrangido, direta ou indiretamente como fornecedor.
  2. Faça um inventário de equipamentos, sistemas, dados e fornecedores de tecnologia.
  3. Avalie os riscos e as falhas de segurança atuais.
  4. Aplique o essencial: autenticação em dois passos, cópias de segurança fora da rede, atualizações e gestão de acessos.
  5. Prepare um plano de resposta a incidentes: quem decide, quem notifica e em que prazos.
  6. Forme a direção e a equipa. O CNCS tem disponibilizado ações de formação gratuitas sobre o novo regime.