A pergunta “a NIS2 aplica-se à minha organização?” não se resolve com uma lista de setores nem com o número de trabalhadores isoladamente. Em Portugal, a resposta exige cruzar o tipo de atividade, a dimensão da entidade, a importância do serviço e um conjunto de regras especiais.
A resposta curta: setor e dimensão são apenas o início
O Decreto-Lei n.º 125/2025 aplica-se, como regra de partida, às entidades privadas dos tipos previstos nos anexos I e II que sejam médias empresas ou ultrapassem os limiares das médias empresas e que prestem serviços ou exerçam atividades na União Europeia.
- A atividade concreta da entidade corresponde a um dos tipos previstos nos anexos I ou II?
- A dimensão, calculada segundo as regras aplicáveis às PME, coloca a entidade no patamar de média ou grande empresa?
- Existe uma regra especial que a inclua independentemente da dimensão?
O CAE ajuda a orientar a análise, mas não substitui a leitura da atividade realmente exercida e do tipo de entidade definido no diploma.
— Critério prático de enquadramento
Os 17 setores previstos no regime português
O regime divide as atividades privadas abrangidas entre setores de importância crítica, no anexo I, e outros setores críticos, no anexo II. Cada setor contém tipos de entidade específicos; pertencer genericamente a uma indústria não basta.
Anexo I — setores de importância crítica
- Energia
- Transportes
- Setor bancário
- Infraestruturas do mercado financeiro
- Saúde
- Água potável
- Águas residuais
- Infraestruturas digitais
- Gestão de serviços de TIC entre empresas, incluindo serviços geridos e serviços de segurança geridos
- Espaço
Anexo II — outros setores críticos
- Serviços postais e de estafeta
- Gestão de resíduos
- Produção, fabrico e distribuição de produtos químicos
- Produção, transformação e distribuição de produtos alimentares
- Determinadas atividades da indústria transformadora
- Prestação de serviços digitais: mercados em linha, motores de pesquisa e redes sociais
- Investigação
A Administração Pública e as instituições de ensino superior também estão contempladas pelo regime, através de regras próprias que não se reduzem à lista dos 17 setores privados.
O critério de dimensão: por que a contagem simples falha
A regra geral alcança médias e grandes empresas. O anexo III do diploma considera PME as empresas com menos de 250 trabalhadores e volume de negócios anual até 50 milhões de euros ou balanço total anual até 43 milhões de euros; dentro desta categoria, uma pequena empresa tem menos de 50 trabalhadores e até 10 milhões de euros de volume de negócios ou balanço.
- Número de trabalhadores, expresso em unidades de trabalho-ano
- Volume de negócios e balanço total anual
- Relações com empresas associadas ou coligadas, quando sejam relevantes para o cálculo
- Atividade e tipo de serviço efetivamente prestado
Uma sociedade com menos de 50 trabalhadores não deve concluir automaticamente que está excluída. A estrutura do grupo e os dados financeiros podem alterar a classificação, e as exceções do regime podem tornar a dimensão irrelevante.
Quando a dimensão deixa de ser decisiva
O artigo 3.º prevê situações em que uma entidade pode ficar abrangida independentemente da sua natureza ou dimensão. Entre os casos que exigem atenção estão:
- Fornecedores de redes públicas ou prestadores de serviços de comunicações eletrónicas acessíveis ao público
- Prestadores de serviços de confiança, registos de domínios de topo, prestadores de registo de nomes de domínio e prestadores de DNS
- Prestador único de um serviço essencial à manutenção de atividades sociais ou económicas críticas
- Entidades cuja perturbação possa afetar significativamente a segurança pública, a proteção pública ou a saúde pública
- Entidades cuja perturbação possa criar riscos sistémicos significativos ou impacto transfronteiriço
- Entidades críticas pela sua importância nacional ou regional e entidades identificadas ao abrigo do regime de resiliência das entidades críticas
O diploma estabelece ainda a sua aplicação às instituições de ensino superior. As entidades públicas são classificadas segundo regras próprias como essenciais, importantes ou públicas relevantes dos grupos A e B.
Entidade essencial, importante ou pública relevante?
Entidades essenciais
Incluem, entre outras situações previstas no artigo 6.º, grandes entidades dos tipos do anexo I, determinados prestadores digitais e de comunicações, entidades públicas específicas e entidades críticas. A qualificação tem impacto no modelo de supervisão e no nível de exigência aplicável.
Entidades importantes
Em termos gerais, são entidades dos tipos dos anexos I e II abrangidas pelo regime que não sejam qualificadas como essenciais. A palavra “importante” não significa um regime facultativo: continuam sujeitas a obrigações de gestão de risco, incidentes, governação e evidência.
Entidades públicas relevantes
As entidades públicas não qualificadas como essenciais ou importantes podem ser enquadradas nos grupos A ou B, sobretudo em função da sua natureza e dimensão. O Regulamento n.º 756/2026 concretiza medidas aplicáveis a estes grupos.
Cinco conclusões apressadas que devem ser evitadas
- “Temos menos de 50 pessoas, logo estamos fora.” A dimensão não se resume à folha salarial e existem inclusões independentes da dimensão.
- “O nosso CAE não aparece.” O que conta é a correspondência entre a atividade exercida e o tipo de entidade descrito nos anexos.
- “Somos fornecedores de uma entidade abrangida, portanto a lei aplica-se automaticamente.” A cadeia de fornecimento é relevante, mas ser fornecedor não determina, por si só, a qualificação legal.
- “Estamos sujeitos a DORA, por isso a NIS2 é irrelevante.” Os regimes especiais e os mecanismos de articulação devem ser analisados no caso concreto.
- “Ainda não fomos notificados, portanto não temos de agir.” O diploma prevê autoidentificação e deveres de atualização; a ausência de uma notificação não substitui a análise de aplicabilidade.
Como fazer uma avaliação de aplicabilidade defensável
Uma conclusão profissional deve poder ser revista e explicada. O resultado não é apenas “sim” ou “não”: deve indicar a base factual, os pressupostos, a qualificação provável e os pontos que exigem confirmação.
- Inventariar entidades jurídicas, estabelecimentos, serviços, atividades e geografias do grupo.
- Associar cada atividade aos tipos de entidade dos anexos I e II, documentando correspondências e exclusões.
- Calcular a dimensão com dados de trabalhadores, volume de negócios, balanço e relações societárias relevantes.
- Testar as inclusões independentes da dimensão e os regimes setoriais especiais.
- Registar a conclusão, o responsável pela validação, a evidência usada e a data da próxima revisão.
As entidades abrangidas identificam-se na plataforma eletrónica do CNCS. Para entidades já em atividade, o diploma fixa 60 dias após a disponibilização da plataforma; para novas entidades, 30 dias após o início da atividade. A autoidentificação cria um registo provisório que suporta o procedimento de qualificação.
Reveja o enquadramento quando mudar a estrutura do grupo, a dimensão, o portefólio de serviços, o território de operação ou a regulamentação aplicável.
— Prática de governação recomendada
Fontes e limites desta análise
Este artigo foi revisto em 10 de agosto de 2026 com base no Decreto-Lei n.º 125/2025, no Regulamento n.º 756/2026, na matriz de classificação publicada pelo CNCS e na Diretiva (UE) 2022/2555. As ligações para as versões oficiais encontram-se imediatamente abaixo do artigo.
Conteúdo informativo. Não constitui parecer jurídico nem substitui a validação do enquadramento concreto por profissionais qualificados.
— Nota editorial
