Estado da NIS 2 em Portugal
O que a diretiva exige, como Portugal a transpõe e onde se situam o CNCS e o CERT.PT no panorama.
Visão geral
A diretiva NIS 2 é a camada da UE. Vincula todos os Estados-Membros, incluindo Portugal, a um único patamar de cibersegurança para as entidades essenciais e importantes. Portugal tem de transpor esse patamar para a lei portuguesa e gerir um regime de supervisão ao seu abrigo.
Portugal ultrapassou o prazo de transposição de 17 de outubro de 2024 em mais de um ano. O Decreto-Lei n.º 125/2025, publicado no Diário da República em 4 de dezembro de 2025, levou finalmente a NIS 2 para a lei portuguesa. O texto entra em vigor em 3 de abril de 2026, 120 dias após a publicação.
O Centro Nacional de Cibersegurança (CNCS) é a autoridade competente principal. O CERT.PT, operado dentro do CNCS, é o CSIRT nacional. Os reguladores setoriais mantêm-se envolvidos onde já detinham competência: a ANACOM para as comunicações eletrónicas, e o Banco de Portugal e a CMVM para o setor financeiro, onde o DORA funciona como lex specialis.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança à escala da UE. Fixa as obrigações que cada Estado-Membro tem de transpor, incluindo os testes de dimensão e setor para entidades essenciais e importantes.
Execução da UE
Regulamento de Execução da Comissão (UE) 2024/2690
Medidas técnicas e metodológicas para os prestadores de infraestrutura digital. Diretamente aplicável em Portugal, sem transposição nacional.
Transposição portuguesa
Decreto-Lei n.º 125/2025, de 4 de dezembro de 2025
A transposição portuguesa da NIS 2, publicada no Diário da República. Estabelece o Regime Jurídico da Cibersegurança. Entra em vigor em 3 de abril de 2026. Regulamentação complementar e orientação do CNCS preenchem o detalhe operacional.
Decreto-Lei n.º 125/2025
Leva as obrigações da NIS 2 para a lei portuguesa como o novo Regime Jurídico da Cibersegurança. Define entidades essenciais e importantes, os poderes de supervisão do CNCS, os deveres de comunicação de incidentes e sanções até 10 milhões de EUR ou 2 por cento do volume de negócios mundial. A entrada em vigor é em 3 de abril de 2026.
CNCS como supervisor, CERT.PT como CSIRT
O CNCS gere a supervisão, as auditorias e os procedimentos sancionatórios, e opera a plataforma eletrónica de registo. O CERT.PT, integrado no CNCS, coordena a resposta a incidentes como CSIRT nacional. Reguladores setoriais como a ANACOM para as comunicações eletrónicas e o Banco de Portugal e a CMVM para o setor financeiro mantêm a sua competência onde a lex specialis se aplica.
Registo e comunicação
As entidades têm de se autoidentificar através da plataforma eletrónica do CNCS após a entrada em vigor e notificar um responsável de cibersegurança e um ponto de contacto permanente no prazo de vinte dias úteis. Os incidentes significativos seguem o ritmo da diretiva: alerta precoce em 24 horas, notificação em 72 horas e relatório final no prazo de um mês.
Em Portugal aplica-se a lei local
As operações em território português seguem a transposição portuguesa. Um Geschäftsführer alemão que dirige uma filial portuguesa lê o Decreto-Lei n.º 125/2025 para essa filial, não o BSIG alemão. As obrigações da diretiva são as mesmas; o procedimento, a plataforma de registo e as sanções residem na lei portuguesa.
Portugal não pode ficar abaixo do patamar da UE
A diretiva é um instrumento de harmonização mínima. Portugal pode ir mais longe, e o Decreto-Lei n.º 125/2025 em certos pontos vai. Não pode ficar abaixo da diretiva quanto aos deveres das entidades essenciais e importantes, aos prazos de comunicação de incidentes ou à responsabilização do órgão de direção.
CNCS
Centro Nacional de Cibersegurança. Autoridade competente principal ao abrigo do Decreto-Lei n.º 125/2025. Gere a plataforma eletrónica de registo, emite orientação, conduz a supervisão e propõe sanções. A autoridade nacional de cibersegurança para as entidades essenciais e importantes.
CERT.PT
O CSIRT nacional, operado como serviço dentro do CNCS. Coordena a resposta a incidentes que envolvam entidades essenciais, entidades importantes, administração pública e prestadores de serviços digitais, e atua como ponto de contacto na rede de CSIRT da UE.
ENISA
A agência de cibersegurança da UE. Publica orientação, gere a base de dados europeia de vulnerabilidades e apoia a coordenação transfronteiriça. Não é supervisora das entidades portuguesas; o CNCS é.
Temos uma casa-mãe alemã, portanto seguimos o BSIG.
As operações em território português seguem o Decreto-Lei n.º 125/2025 e comunicam ao CNCS. A casa-mãe alemã lê o BSIG para as suas operações alemãs. As obrigações da diretiva são as mesmas, mas o procedimento, a plataforma de registo e as sanções residem na lei portuguesa. Um grupo que opera nos dois países gere dois registos paralelos, um por supervisor.
Ainda não há obrigação porque a lei só entra em vigor em abril de 2026.
O Decreto-Lei n.º 125/2025 foi publicado em 4 de dezembro de 2025 e entra em vigor em 3 de abril de 2026, com a autoidentificação e a notificação do responsável de cibersegurança a vencer pouco depois. Esperar até a plataforma abrir é demasiado tarde; a verificação de aplicabilidade e a preparação interna pertencem ao período anterior à entrada em vigor, não ao posterior.
O nosso regulador setorial já nos supervisiona, por isso a NIS 2 não acrescenta nada.
O CNCS é a autoridade principal da NIS 2. A ANACOM, o Banco de Portugal e a CMVM mantêm-se competentes onde já estavam, em particular no setor financeiro ao abrigo do DORA como lex specialis. Fora dessas exceções, as obrigações da NIS 2 e o canal de comunicação do CNCS aplicam-se por cima de qualquer regime setorial. A supervisão setorial não substitui o registo NIS 2 no CNCS.
A maioria dos operadores portugueses que vemos tratava a NIS 2 como um problema futuro até o Decreto-Lei n.º 125/2025 ter sido publicado em dezembro de 2025. Essa janela fechou-se. A supervisão do CNCS começa em 3 de abril de 2026, o responsável de cibersegurança tem de ser notificado no prazo de vinte dias úteis, e o órgão de direção, o administrador ou gerente, está pessoalmente responsável pela aprovação da gestão de risco e pela formação ao abrigo da diretiva.
O passo prático é o mesmo que em todo o resto da UE: confirmar o âmbito ao abrigo da diretiva, registar-se através da plataforma nacional (aqui, a plataforma eletrónica do CNCS), montar as quatro obrigações contínuas (manutenção do registo, comunicação de incidentes, risco da cadeia de abastecimento, fiscalização do órgão de direção) e documentar o mínimo. A orientação setorial do CNCS ajuda, mas não substitui o registo de obrigações NIS 2.
Construímos o registo de obrigações NIS 2 sobre a camada da UE, não sobre uma única transposição nacional. A mesma lista de verificação serve para uma filial portuguesa que usa o Decreto-Lei n.º 125/2025, uma casa-mãe alemã que usa o BSIG e uma congénere francesa que usa a Ordonnance n° 2024-1093. As referências de artigos mudam por localização; as obrigações substantivas não.
Para o âmbito português começa pela verificação de aplicabilidade, depois passa ao ritmo de comunicação de incidentes, às cláusulas da cadeia de abastecimento e à aprovação do órgão de direção. Onde o CNCS publica orientação setorial, referimo-la; não a duplicamos.
- Diretiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regulamento de Execução da Comissão (UE) 2024/2690
- Decreto-Lei n.º 125/2025, de 4 de dezembro de 2025, Diário da República
- CNCS, Centro Nacional de Cibersegurança, sítio oficial
- CERT.PT, CSIRT nacional operado pelo CNCS
- ANACOM, autoridade setorial das comunicações eletrónicas
- Banco de Portugal e CMVM, autoridades setoriais do setor financeiro ao abrigo do DORA