Guia completo para a conformidade da sua empresa com a nova Lei da Cibersegurança portuguesa
A Diretiva (UE) 2022/2555, conhecida como NIS2, é o mais ambicioso quadro regulatório europeu de cibersegurança. Substitui a diretiva NIS original e alarga significativamente o número de setores e entidades obrigadas.
Objetivo: Garantir um nível elevado e uniforme de segurança das redes e sistemas de informação em toda a UE.
O Decreto-Lei n.º 125/2025, de 15 de dezembro transpõe a NIS2 para a ordem jurídica portuguesa, criando o novo Regime Jurídico da Cibersegurança.
Entrada em vigor: 3 de abril de 2026 (90 dias após publicação)
⚠️ Sanções previstas:
As entidades já identificadas têm 60 dias para se registarem na plataforma do CNCS (a contar da disponibilização da plataforma). O prazo total para implementação das medidas técnicas é de 24 meses, mas as ações iniciais (preparação, nomeação de responsáveis) devem começar IMEDIATAMENTE.
As empresas devem preparar a documentação necessária para o registo na plataforma MyCiber, que será disponibilizada em breve.
30 dias para novas entidades / 60 dias para entidades existentes (a contar da disponibilização da plataforma).
Criar uma equipa de resposta a incidentes (interna ou contratar externamente).
Autenticação multifator, backups, controlo de acessos, políticas de passwords, etc.
Implementação da política de segurança da informação, plano de resposta a incidentes, gestão de riscos.
Formação obrigatória para colaboradores (incluindo simulações de phishing) e auditorias anuais de segurança.
Prazo crítico para notificação de incidentes:
A NIS2 distingue dois níveis de entidades com obrigações diferentes:
Setores de alto risco com impacto crítico na sociedade e economia.
Multa máxima: 10M€ ou 2% volume negócios
Supervisão: Ativa e contínua pelo CNCS
Setores com risco significativo mas menor criticidade.
Multa máxima: 7M€ ou 1,4% volume negócios
Supervisão: Reativa (após incidente ou denúncia)
| Setor | Entidades Essenciais | Entidades Importantes |
|---|---|---|
| Energia | Eletricidade, petróleo, gás | Distribuição de energia |
| Transportes | Aéreo, ferroviário, marítimo | Rodoviário, logística |
| Banca | Todas as entidades bancárias | — |
| Infraestruturas Financeiras | Entidades reguladas pela CMVM | — |
| Saúde | Hospitais, laboratórios de referência | Clínicas, centros de saúde |
| Águas | Abastecimento e saneamento | — |
| Administração Pública | Central | Regional e local |
| Serviços Digitais | Cloud, datacenters, CDN | Marketplaces, motores de busca |
| Fabrico de Alimentos | Grandes operadores | Médias empresas |
Critério de dimensão para Serviços Digitais: Empresas com mais de 50 colaboradores OU volume de negócios superior a 10M€ são consideradas Importantes.
Simulador MyCiber – permite às empresas verificar, de forma indicativa, se estão abrangidas pelo novo regime do DL 125/2025.
🔗 Aceder ao simulador: myciber.cncs.gov.pt
Autenticação necessária: Cartão de Cidadão ou Chave Móvel Digital.
O Regulamento do Regime Jurídico da Cibersegurança (que define as regras detalhadas de funcionamento da plataforma, níveis de conformidade, matriz de risco, etc.) esteve em consulta pública até 22 de abril de 2026.
O registo e autoqualificação obrigatórios das entidades só poderão ser feitos após a publicação final do Regulamento.
📌 Prazos a contar da disponibilização completa da plataforma:
⚠️ Recomendação importante:
As empresas podem desde já usar o simulador MyCiber para verificar se são abrangidas, mas o registo obrigatório aguarda a publicação final do Regulamento (prevista para breve, após 22 de abril de 2026). Enquanto isso, utilize o tempo para preparar a documentação e implementar as medidas técnicas prioritárias.
🔐 Autenticação na plataforma: A identificação é feita através de Cartão de Cidadão ou Chave Móvel Digital (CMD) – níveis de segurança elevados.
Marque os itens à medida que a sua empresa avança no processo de compliance.
Sequência de ações recomendadas, do dia 0 até à conformidade total.
Formação obrigatória: A Academia Mareginter ajuda a sua empresa a cumprir os requisitos de formação e simulação de phishing, com relatórios executivos e monitorização contínua do risco humano.
Saber mais →Responda às questões para avaliar o nível de preparação da sua empresa.
Veja quanto tempo resta para cada obrigação legal.
Nota: Os prazos de registo contam a partir da disponibilização completa da plataforma MyCiber (após publicação do Regulamento).