NIS2 em Portugal: o Decreto-Lei n.º 125/2025 e o regulamento do CNCS, os prazos essenciais
O regime jurídico da cibersegurança aplica-se desde abril de 2026 e o regulamento do CNCS desde junho. O que já é exigido e as medidas em 2028.
Portugal transpõe a NIS2 através do Decreto-Lei n.º 125/2025, publicado a 4 de dezembro de 2025, que aprova o novo Regime Jurídico da Cibersegurança. Entrou em vigor 120 dias após a publicação, no início de abril de 2026. A 22 de junho de 2026, o Centro Nacional de Cibersegurança (CNCS) publicou o Regulamento n.º 756/2026, que define os termos de aplicação do regime, da plataforma eletrónica às notificações de incidentes e às medidas de cibersegurança mínimas. Entrou em vigor no dia seguinte à publicação.
O que já se aplica
- Autoidentificação: as entidades identificam-se na plataforma eletrónica do CNCS. As que já estavam em atividade quando o decreto-lei entrou em vigor têm 60 dias após a disponibilização da plataforma; as novas têm 30 dias após o início da atividade.
- Responsável de cibersegurança: as entidades essenciais e importantes designam um responsável de cibersegurança que seja titular dos órgãos de gestão ou lhes responda diretamente, e comunicam-no no prazo de 20 dias úteis. Para as entidades já em atividade, o regulamento conta o prazo a partir da notificação da sua qualificação.
- Ponto de contacto permanente: pelo menos um ponto de contacto, disponível 24 horas por dia e sete dias por semana durante os períodos de ativação.
- Notificação de incidentes: notificação inicial até 24 horas após a verificação de um incidente significativo; atualização até 72 horas, quando necessário; notificação do fim de impacto significativo até 24 horas após o fim do impacto; relatório final no prazo de 30 dias úteis a contar dessa notificação.
O que se segue em 2028
As medidas de cibersegurança, a segurança da cadeia de abastecimento, a gestão do risco residual, o relatório anual e as medidas para as entidades públicas relevantes produzem efeitos 24 meses após a publicação da regulamentação. Com o Regulamento n.º 756/2026 publicado a 22 de junho de 2026, isso aponta para junho de 2028. O regulamento fixa as medidas por nível de conformidade, com base no Quadro Nacional de Referência para a Cibersegurança (QNRCS) e numa matriz de risco. A certificação no esquema QNRCS ou na ISO/IEC 27001, quando o seu âmbito abrange integralmente os serviços em causa, pode atestar o cumprimento.
As coimas chegam a 10 milhões de euros ou 2 % do volume de negócios anual a nível mundial para uma entidade essencial, e a 7 milhões de euros ou 1,4 % para uma entidade importante, consoante o montante mais elevado.
Para o ponto da situação da NIS2 em toda a UE, veja NIS2 em outubro de 2026.
O que fazer agora
Confirme que se identificou na plataforma do CNCS, que designou e comunicou o responsável de cibersegurança e que a cadeia de notificação em 24 horas está montada. Depois, use o tempo até 2028 para implementar as medidas do seu nível de conformidade.
O Dazr Compliance transforma as medidas da NIS2 em tarefas recorrentes com responsáveis e evidências, inclui a ISO 27001, e o registo de incidentes faz a contagem decrescente dos marcos de notificação de 24 e 72 horas. A interface está disponível em português.
Fontes
- Diário da República: Decreto-Lei n.º 125/2025, 4 December 2025 (PDF)
- Diário da República: Regulamento n.º 756/2026, 22 June 2026 (PDF)
Apenas para informação, não constitui aconselhamento jurídico. Última atualização: 9 de novembro de 2026.
Também disponível em: English