Saltar para o conteúdo NIS2

NIS2 em Portugal

Regime em vigor

Da obrigação ao plano de ação.

O Decreto-Lei n.º 125/2025 transpôs a Diretiva NIS2 e aprovou o novo Regime Jurídico da Cibersegurança. A preparação exige enquadramento, governação, gestão de risco, capacidade de resposta e evidência — não apenas novas ferramentas.

Pedir avaliação NIS2Confirmar enquadramento

Atualização editorial

Conteúdo revisto em 10 de agosto de 2026 com base em fontes oficiais.

Enquadramento nacional

A NIS2 já foi transposta em Portugal.

O novo regime alarga o âmbito da cibersegurança e reforça a responsabilidade das entidades abrangidas, com requisitos proporcionais à sua dimensão e à importância das atividades que prestam.

DL 125/2025
Novo Regime Jurídico da Cibersegurança
03.04.2026
Entrada em vigor, 120 dias após a publicação
17 setores
Âmbito indicado pelo Centro Nacional de Cibersegurança

O diploma foi publicado em 4 de dezembro de 2025 e transpõe para a ordem jurídica nacional a Diretiva (UE) 2022/2555. O Regulamento n.º 756/2026 veio concretizar requisitos aplicáveis às entidades essenciais, importantes e públicas relevantes.

A conformidade deve ser tratada como um programa contínuo de governação e resiliência. A classificação da entidade, os serviços prestados, a dimensão, o setor e eventuais regimes especiais influenciam as obrigações aplicáveis.

Aplicabilidade

O setor é o ponto de partida, não a resposta completa.

A NIS2 abrange entidades públicas e privadas em atividades críticas. A análise deve considerar a atividade concreta e as regras de dimensão, bem como as exceções e os casos abrangidos independentemente da dimensão.

Uma checklist genérica não substitui a análise do enquadramento jurídico e operacional da organização.
Analisar quem está abrangido

Exemplos de áreas abrangidas

  • Energia
  • Transportes
  • Banca e mercados financeiros
  • Saúde
  • Água potável e águas residuais
  • Infraestruturas digitais
  • Serviços geridos de TIC B2B
  • Administração Pública
  • Serviços postais
  • Gestão de resíduos
  • Indústria e produção crítica
  • Investigação

Questões que a avaliação deve responder

  • Que serviços e atividades da organização entram no âmbito do regime?
  • A entidade é classificada como essencial, importante ou pública relevante?
  • Existem regras setoriais especiais ou dependências críticas de terceiros?
  • Que sistemas, fornecedores e processos suportam os serviços abrangidos?
  • Quem aprova, acompanha e evidencia as medidas de gestão de risco?

Obrigações essenciais

A conformidade liga administração, operação e evidência.

O programa deve articular medidas técnicas, operacionais e organizativas proporcionais ao risco. Estas são as frentes que normalmente precisam de ser avaliadas em conjunto.

Governação e responsabilidade

Aprovação e supervisão das medidas pelos órgãos de gestão, responsabilidades claras, formação e reporte executivo.

Gestão de risco

Políticas, análise de risco, segurança de sistemas, gestão de vulnerabilidades, criptografia e controlo de acessos.

Incidentes e notificação

Critérios de severidade, deteção, escalamento, preservação de evidência e capacidade de cumprir os prazos aplicáveis.

Continuidade e recuperação

Backups, recuperação, gestão de crise, exercícios e validação de RTO e RPO para os serviços críticos.

Cadeia de fornecimento

Avaliação de dependências e fornecedores, requisitos contratuais, risco de terceiros e acompanhamento contínuo.

Pessoas e cultura

Higiene de cibersegurança, formação adequada às funções e procedimentos praticáveis no dia a dia.

Plano de preparação

Um percurso executável, com prioridades e responsáveis.

A Shore estrutura a preparação para que o enquadramento se transforme num plano operacional mensurável, alinhado com o risco e com a realidade tecnológica da organização.

  1. 01

    Enquadrar

    Mapear entidades, serviços, setores, dimensão, dependências e requisitos aplicáveis.

  2. 02

    Avaliar

    Recolher evidência e comparar governação, processos e controlos com o regime e a regulamentação.

  3. 03

    Priorizar

    Definir lacunas, risco, responsáveis, esforço, dependências e sequência de remediação.

  4. 04

    Implementar

    Executar medidas organizativas e técnicas sem perder continuidade operacional.

  5. 05

    Testar e evidenciar

    Realizar exercícios, medir eficácia, organizar evidência e manter um ciclo de melhoria.

Fontes oficiais

Acompanhar o regime a partir das fontes certas.

O enquadramento e a regulamentação podem evoluir. A validação deve usar sempre a versão em vigor das fontes oficiais.

Esta página tem caráter informativo e não constitui aconselhamento jurídico. O enquadramento concreto deve ser confirmado com apoio jurídico e técnico adequado.

Avaliação NIS2

Transforme requisitos num plano de ação concreto.

Avaliamos o contexto, identificamos lacunas e organizamos prioridades de governação, processo e tecnologia.

Pedir avaliação