NIS2 em Portugal: o Regime Jurídico da Cibersegurança explicado

O Regime Jurídico da Cibersegurança em resumo

Situação a 19 de outubro de 2026. O Decreto-Lei n.º 125/2025, de 4 de dezembro, aprova o Regime Jurídico da Cibersegurança (RJC) e transpõe a NIS2 para Portugal. Entrou em vigor 120 dias após a publicação, a 3 de abril de 2026. O Centro Nacional de Cibersegurança (CNCS) é a autoridade nacional, ao lado de autoridades setoriais, e a plataforma eletrónica do CNCS para identificação, registo e notificações é a MyCiber, regulada pelo Regulamento n.º 756/2026.

Quem é abrangido

• Entidades essenciais: em regra, entidades dos tipos do anexo I que excedam os limiares das médias empresas, além de tipos abrangidos independentemente da dimensão (artigo 6.º).
• Entidades importantes: médias e grandes empresas dos anexos I e II que não sejam essenciais.
• Entidades públicas relevantes: categoria própria do regime português para a Administração Pública, com grupos e coimas próprios.
• Exemplo: um prestador de serviços geridos de TI (MSP) com 100 trabalhadores é normalmente uma média empresa de um setor do anexo I e, por isso, entidade importante; acima dos limiares das médias empresas passa a essencial.

A dimensão segue a Recomendação 2003/361/CE, incluindo empresas parceiras e associadas. Uma primeira resposta dá a verificação gratuita do âmbito NIS2; decide o RJC e o CNCS.

Autoidentificação e registo na MyCiber

• Autoidentificação: as entidades identificam-se na plataforma eletrónica do CNCS e mantêm a informação atualizada; a qualificação como essencial ou importante resulta deste mecanismo (artigo 8.º).
• Registo: os elementos de identificação completa da entidade, e para prestadores de DNS, cloud, centros de dados e outros serviços digitais dados adicionais (artigo 35.º); alterações no prazo de 30 dias úteis.
• Pontos de contacto: responsável de cibersegurança (artigo 31.º) e ponto de contacto permanente com disponibilidade 24 horas por dia e 7 dias por semana em períodos de ativação (artigo 32.º).

Passou o prazo de autoidentificação?

Para as entidades já em atividade, os 60 dias após a disponibilização da MyCiber terminaram em setembro de 2026 (várias fontes indicam 15 de setembro). Se ainda não se identificou, faça-o agora na MyCiber: o atraso pode ser sancionado como contraordenação. Se só agora passa a estar abrangido, por exemplo por ter ultrapassado os limiares de média empresa ou por iniciar uma atividade abrangida, tem 30 dias.

Notificação de incidentes significativos

As notificações são submetidas na plataforma eletrónica do CNCS e dirigidas à autoridade de cibersegurança competente (artigo 40.º, n.º 6). Note que o esquema português difere da NIS2 europeia: o relatório final conta a partir do fim do impacto. Ajudam a verificação de incidente significativo e a calculadora de prazos.

Medidas de cibersegurança e coimas

As entidades mantêm um sistema de gestão de riscos de cibersegurança e aplicam as medidas de cibersegurança, a segurança da cadeia de abastecimento e a gestão do risco residual, com relatório anual (artigos 26.º a 30.º). Como estes deveres só produzem efeitos 24 meses após a regulamentação, use o intervalo para fazer a análise de risco e o plano.

Coimas por contraordenações muito graves (artigo 61.º): para entidades essenciais de 2 000 € a 10 000 000 € ou 2% do volume de negócios anual mundial; para entidades importantes de 1 250 € a 7 000 000 € ou 1,4%, consoante o montante mais elevado.

Como gerir o RJC no Dazr

• Referencial NIS2: as medidas do artigo 21.º da diretiva como controlos recorrentes com responsável, evidências e lembretes; os requisitos do RJC acrescenta como controlos próprios ou mapeia nos existentes.
• Registo de incidentes: data e hora de cada notificação, com contagens para 24 horas, 72 horas e o RGPD; os prazos portugueses do fim de impacto e do relatório final registam-se como tarefas com data.
• Responsável e contactos: responsável de cibersegurança, ponto de contacto permanente e data da autoidentificação no perfil de conformidade.
• Fornecedores (Pro): registo de fornecedores com contratos, certificados e datas de revisão para a cadeia de abastecimento.
• Auditor (Pro): acesso temporário só de leitura e trilho de auditoria num único PDF.
• Dados na UE: a Dazr é uma empresa italiana, os dados da aplicação e as cópias de segurança ficam na UE (Alemanha) e os registos do espaço de trabalho são cifrados com AES-256-GCM.

A Dazr não se identifica nem notifica incidentes por si: isso faz-se na MyCiber. A Dazr guarda dados, evidências e cronologia.

Fontes: Decreto-Lei n.º 125/2025, de 4 de dezembro (Diário da República), texto do Regime Jurídico da Cibersegurança (PGDL), Regulamento n.º 756/2026 do CNCS, Centro Nacional de Cibersegurança (CNCS), Diretiva (UE) 2022/2555. Verificado a 19 de outubro de 2026 com o texto do decreto-lei.

Perguntas frequentes

Ainda não fizemos a autoidentificação. O que fazemos?

Identifique-se na MyCiber quanto antes e mantenha a informação atualizada. O prazo de 60 dias para entidades já em atividade terminou em setembro de 2026, e a qualificação pelo CNCS parte desta autoidentificação.

Quando temos de aplicar as medidas de cibersegurança?

Os deveres dos artigos 27.º a 30.º do RJC produzem efeitos 24 meses após a publicação da regulamentação prevista no decreto-lei. A notificação de incidentes e a autoidentificação já se aplicam.

A Dazr notifica o CNCS por nós?

Não. A autoidentificação e as notificações são feitas na MyCiber. A Dazr acompanha os prazos, guarda as datas e as evidências e mostra quem fez o quê e quando.

De que plano precisamos?

O referencial NIS2 e o registo de incidentes estão no plano Free, para um utilizador e um referencial, sem cartão. O Pro, a 99 € por mês, acrescenta até cinco utilizadores e cinco referenciais, declaração de aplicabilidade, políticas, registo de fornecedores e acesso para auditor; experimente-o grátis durante 14 dias.