NIS2: o que muda para a sua PME a partir de 2026
A nova legislação europeia de cibersegurança já está em vigor em Portugal. Sabe se a sua empresa está abrangida — e o que arrisca se não cumprir?
O Decreto-Lei n.º 125/2025 transpôs a Diretiva NIS2 para Portugal. Se a sua empresa estiver abrangida e ainda não agiu, está em incumprimento.
A 3 de abril de 2026 entrou em vigor, em Portugal, o quadro legal que transpõe a Diretiva Europeia NIS2. O resultado: obrigações de cibersegurança muito mais exigentes, um universo muito maior de organizações abrangidas, e — pela primeira vez — responsabilidade pessoal direta para administradores e gestores de topo.
O que é a NIS2 — e por que é diferente?
A NIS2 é a segunda versão da diretiva europeia de segurança de redes e sistemas de informação. Substitui a NIS de 2016, que na prática abrangia um universo limitado de operadores em setores muito específicos. As três grandes rupturas da nova diretiva são:
🌐 Âmbito muito mais alargado
Dezenas de novos setores abrangidos — de fornecedores de TIC e serviços digitais a indústria transformadora, gestão de resíduos e plataformas de comércio eletrónico.
👤 Responsabilidade pessoal
A cibersegurança deixa de ser um assunto exclusivo do departamento de TI. Administradores e gestores podem ser pessoalmente responsabilizados pelo incumprimento.
💸 Sanções muito mais pesadas
As multas passaram de simbólicas para potencialmente devastadoras. As entidades essenciais arriscam até €10 M ou 2% do volume de negócios global.
🔗 Cadeia de fornecimento
As entidades abrangidas são obrigadas a avaliar os riscos dos seus fornecedores. Mesmo PMEs não diretamente abrangidas podem sentir os efeitos pelos seus clientes.
A minha PME está abrangida?
A resposta depende de dois fatores: o setor de atividade e a dimensão da empresa. Em regra, a NIS2 aplica-se a organizações com mais de 50 colaboradores ou volume de negócios superior a €10 milhões que operem em setores considerados essenciais ou importantes.
Entidades Essenciais — setores de alta criticidade
Entidades Importantes — outros setores críticos
ℹ️ Microempresas e pequenas empresas
As empresas com menos de 50 trabalhadores e menos de €10 milhões de faturação estão, em regra, isentas — com exceções importantes:
- Único fornecedor de um serviço crítico em Portugal
- Prestadores de serviços de comunicações eletrónicas
- Prestadores de serviços de confiança digital (assinaturas eletrónicas, etc.)
As principais obrigações
Se a sua empresa for abrangida, estas são as responsabilidades que passa a ter:
Nomear um Responsável de Cibersegurança
Designar formalmente um Responsável de Cibersegurança (equivalente a um CISO) e comunicar a sua designação ao CNCS. Era obrigatório fazê-lo nos 20 dias úteis após a entrada em vigor da lei.
Registar-se junto do CNCS
Todas as entidades classificadas como essenciais ou importantes devem registar-se formalmente na plataforma eletrónica do CNCS no prazo de 60 dias após a publicação da lei.
Implementar uma gestão de risco formal
Avaliações de risco regulares, políticas de segurança documentadas, controlo de acessos com MFA, encriptação, backups testados, planos de continuidade de negócio e formação de colaboradores.
Notificar incidentes dentro de prazos rígidos
Em caso de incidente significativo — ransomware, violação de dados, falha de sistema crítico — a empresa tem de notificar o CNCS dentro de prazos estritos definidos por lei.
Responsabilidade direta da gestão de topo
Esta é a mudança mais impactante. A responsabilidade não pode ser delegada fora dos órgãos de gestão. Administradores podem ser pessoalmente responsabilizados — incluindo com interdição temporária de funções.
Quanto custa não cumprir?
As sanções foram desenhadas para não serem ignoradas:
| Categoria | Coima máxima (entidade) | Coima pessoal (gestor) |
|---|---|---|
| Entidades Essenciais | €10 000 000 ou 2% faturação global | €125 000 |
| Entidades Importantes | €7 000 000 ou 1,4% faturação global | — |
A par das coimas, estão previstas sanções acessórias incluindo a interdição temporária do exercício de funções de gestão.
O efeito cadeia de fornecimento
Mesmo que a sua empresa não seja diretamente abrangida, pode sentir os efeitos muito em breve. As entidades essenciais e importantes são agora obrigadas a avaliar os riscos dos seus fornecedores. Na prática, empresas que forneçam serviços de TI, consultoria, logística ou manutenção a estas entidades poderão começar a receber:
🔗 O que os seus clientes podem exigir-lhe
- Questionários detalhados sobre as suas práticas de segurança
- Pedidos de documentação — políticas, relatórios de auditoria, certificações
- Cláusulas contratuais obrigatórias de cibersegurança
- Requisitos de autenticação multifator para acessos remotos
- Provas de formação interna em cibersegurança
- Resultados de avaliações de vulnerabilidade ou pen tests
Não cumprir pode significar perder contratos. Para muitas PME, a pressão chegará primeiro pelos clientes e só depois pelo enquadramento legal direto.
Por onde começar: roteiro prático
Avalie se está abrangida
Verifique o setor de atividade e a dimensão da sua empresa. O CNCS disponibiliza orientações em cncs.gov.pt.
Nomeie um Responsável de Cibersegurança
Pode ser um colaborador interno com perfil adequado ou um serviço externo. Comunique formalmente ao CNCS.
Faça um diagnóstico de segurança
Identifique os ativos críticos, as vulnerabilidades existentes e os processos sem documentação.
Implemente as medidas base
MFA, backups testados, controlo de acessos, inventário de sistemas e um plano de resposta a incidentes são o ponto de partida obrigatório.
Envolva a gestão de topo
A NIS2 não é um projeto de TI — é uma responsabilidade de gestão. A liderança tem de estar informada, envolvida e formada.
Avalie a sua cadeia de fornecimento
Mesmo que seja fornecedora, documente as suas práticas de segurança para responder às exigências dos seus clientes antes que elas cheguem.
A NIS2 pode parecer mais um encargo regulatório. Mas as empresas que encaram esta mudança com antecipação estão a construir uma vantagem competitiva real — diferenciando-se nos processos de qualificação de fornecedores, transmitindo mais confiança aos clientes, e demonstrando que a sua gestão é séria e responsável.
Cibersegurança deixou de ser um custo opcional. É uma condição de acesso ao mercado.
Precisa de avaliar o nível de conformidade da sua empresa?
Realizamos diagnósticos NIS2 e acompanhamos todo o processo de adaptação ao novo regime.