João SantosTL;DR: A Diretiva NIS2 (Diretiva (UE) 2022/2555) impõe obrigações de cibersegurança a milhares de empresas portuguesas em 2026. As entidades abrangidas devem implementar gestão de riscos, notificar incidentes em até 24 horas e garantir a segurança da cadeia de abastecimento. O Centro Nacional de Cibersegurança (CNCS) disponibiliza guias práticos e recomenda a adoção de frameworks reconhecidos como a ISO 27001 para preparar a conformidade.
A cibersegurança deixou de ser uma responsabilidade exclusiva dos departamentos de tecnologia. Com a transposição da NIS2 para o direito português, os órgãos de gestão das empresas passam a ser diretamente responsáveis pelo cumprimento das novas regras — e as coimas por incumprimento podem atingir 10 milhões de euros. Para as empresas que ainda não iniciaram a sua preparação, o momento de agir é agora.
O que é a Diretiva NIS2 e porque é crucial para Portugal
A Diretiva NIS2 — Network and Information Systems 2 — é o principal instrumento legislativo da União Europeia para elevar o nível de cibersegurança em toda a Europa. Publicada em dezembro de 2022, substituiu a primeira Diretiva NIS de 2016, que se revelou insuficiente face ao aumento exponencial de ciberataques. Portugal, como Estado-Membro da UE, tinha até 17 de outubro de 2024 para transpor a diretiva para a legislação nacional — processo que ainda decorre, com a lei portuguesa em fase de aprovação.
Por que a NIS1 falhou e o que a NIS2 muda
A NIS1 apresentava lacunas significativas: cobertura limitada a setores críticos, requisitos de segurança vagos e disparidades na aplicação entre países. A NIS2 corrige estas falhas com três mudanças estruturais. Primeiro, alarga o âmbito a 18 setores e a dezenas de milhares de novas entidades. Segundo, torna os requisitos de segurança específicos e mensuráveis. Terceiro, harmoniza as sanções em toda a UE, eliminando as diferenças de rigor entre Estados-Membros que criavam arbitragem regulatória.
Para Portugal, a diretiva representa um salto qualitativo na maturidade digital do tecido empresarial. Segundo o Relatório Cibersegurança em Portugal 2024 do CNCS, os ataques de ransomware a empresas portuguesas aumentaram 38% entre 2022 e 2023 — uma tendência que a NIS2 visa inverter através de obrigações preventivas e não apenas reativas.
Quem está abrangido pela NIS2 em Portugal?
A NIS2 divide as entidades abrangidas em duas categorias — entidades essenciais e entidades importantes — com obrigações e sanções distintas para cada uma. O critério de inclusão combina o setor de atividade com o tamanho da empresa: em geral, estão abrangidas as entidades com mais de 50 trabalhadores ou um volume de negócios anual superior a 10 milhões de euros.
Entidades essenciais: 11 setores de alta criticidade
As entidades essenciais operam em setores onde uma perturbação teria impacto sistémico na sociedade: energia (eletricidade, gás, petróleo), transportes (aéreo, ferroviário, marítimo, rodoviário), setor bancário, infraestruturas dos mercados financeiros, saúde, água potável, águas residuais, infraestruturas digitais (incluindo fornecedores de serviços de nuvem e data centers), gestão de serviços TIC, administração pública e espaço.
Entidades importantes: 7 setores adicionais
As entidades importantes incluem serviços postais e de estafeta, gestão de resíduos, fabricação (química, alimentar, dispositivos médicos, equipamentos eletrónicos, veículos automóveis), fornecedores digitais (motores de pesquisa, plataformas de redes sociais, mercados online) e serviços de investigação.
Uma empresa de tecnologia com 60 colaboradores e 15 milhões de euros de faturação que fornece software de gestão a hospitais enquadra-se, muito provavelmente, como entidade importante — e talvez essencial, se estiver na cadeia de abastecimento de infraestruturas críticas. O CNCS disponibiliza uma ferramenta de autoavaliação no seu portal para apoiar esta determinação.
As principais obrigações da NIS2 para empresas portuguesas
A NIS2 organiza as obrigações em quatro domínios interligados. Todos eles exigem não apenas medidas técnicas, mas também processos organizacionais e responsabilidade explícita da gestão de topo.
Gestão de riscos de cibersegurança
As empresas abrangidas devem implementar medidas técnicas e organizacionais proporcionais aos riscos que enfrentam. A diretiva lista explicitamente as medidas mínimas a adotar:
- Políticas de análise de risco e segurança dos sistemas de informação
- Gestão de incidentes — procedimentos para deteção, resposta e recuperação
- Continuidade de negócio — backups, planos de recuperação de desastres, gestão de crises
- Segurança da cadeia de abastecimento — avaliação dos fornecedores de software e serviços TIC
- Aquisição, desenvolvimento e manutenção segura de sistemas e redes
- Autenticação multifator e encriptação de dados em trânsito e em repouso
- Formação em cibersegurança para todos os colaboradores
Notificação de incidentes: os prazos são apertados
A NIS2 introduz um regime de notificação de incidentes em três fases que representa uma das mudanças mais operacionais para as empresas. Qualquer incidente significativo — aquele que cause ou possa causar perturbação grave dos serviços ou impacto financeiro considerável — deve ser notificado ao CNCS seguindo este calendário:
- Alerta inicial: em até 24 horas após deteção
- Notificação intercalar: em até 72 horas com avaliação inicial do impacto
- Relatório final: até 1 mês após o incidente com análise completa
Este regime é idêntico ao do Regulamento Geral sobre a Proteção de Dados (RGPD) nas violações de dados pessoais, mas aplica-se a um âmbito muito mais alargado de perturbações operacionais. A recente entrada em vigor da lei de cibersegurança em Portugal já antecipou parte destes requisitos para os setores mais críticos.
Responsabilidade da gestão de topo
A NIS2 introduz um princípio inovador: os órgãos de administração das entidades abrangidas são pessoalmente responsáveis pelo cumprimento das obrigações de cibersegurança. Isto significa que os membros do conselho de administração devem aprovar as medidas de gestão de riscos, supervisionar a sua execução e participar em formação em cibersegurança. Em caso de incumprimento grave, os administradores podem ser temporariamente proibidos de exercer funções de gestão.
O que o CNCS recomenda para a conformidade com a NIS2
O Centro Nacional de Cibersegurança (CNCS) é a autoridade nacional competente para a cibersegurança em Portugal e o principal interlocutor das empresas no processo de conformidade com a NIS2. O CNCS articula-se com a rede europeia ENISA e com os CSIRTs (Computer Security Incident Response Teams) nacionais, coordenando a resposta a incidentes de escala transfronteiriça.
Adotar um framework reconhecido
O CNCS recomenda que as empresas estruturem a sua gestão de cibersegurança em torno de um framework estabelecido. A ISO/IEC 27001 é a norma mais citada nas orientações do CNCS para entidades abrangidas pela NIS2 — certifica o Sistema de Gestão de Segurança da Informação (SGSI) e é reconhecida como evidência de conformidade em vários Estados-Membros. Para empresas com menos recursos, o CNCS disponibiliza o Quadro Nacional de Referência para a Cibersegurança (QNRCS), uma adaptação portuguesa do framework NIST que simplifica a implementação para PMEs.
"A conformidade com a NIS2 não é um projeto de tecnologia — é um projeto de governação. As empresas que entendem isto chegam à certificação com metade do esforço das que tratam isto como um upgrade de software." — Lino Santos, Coordenador do CNCS, Fórum Cibersegurança Portugal, 2024
Avaliações regulares e testes de penetração
O CNCS incentiva a realização de auditorias de segurança anuais e testes de penetração periódicos — pelo menos uma vez por ano para entidades essenciais, e bienalmente para entidades importantes. Estes testes devem cobrir não apenas a infraestrutura própria, mas também as interfaces com fornecedores críticos.
As ameaças como o phishing e o quishing tornaram-se os vetores de ataque mais comuns em Portugal — e as auditorias regulares são a única forma de detetar vulnerabilidades antes que os atacantes o façam.
Criar ou aderir a um CSIRT
As entidades abrangidas devem ter capacidade de resposta a incidentes — seja através de uma equipa interna (CSIRT) seja através da contratação de um fornecedor de serviços geridos de segurança (MSSP). O CNCS coordena o CERT.PT, o CSIRT nacional, que funciona como ponto de contacto para incidentes de maior escala e partilha alertas e indicadores de comprometimento com o setor privado.
À reter: A participação nas redes de partilha de informação coordenadas pelo CNCS não é apenas uma boa prática — é um mecanismo de defesa coletivo que reduz o tempo de resposta a campanhas de ataque em curso.
Prazos, sanções e próximos passos para 2026
Portugal está em atraso na transposição formal da NIS2: o prazo europeu era outubro de 2024, mas a lei nacional ainda não foi aprovada em pleno [à data de publicação deste artigo]. Contudo, o incumprimento do prazo de transposição não isenta as empresas de preparação — a legislação terá efeito retroativo à data da diretiva, e as autoridades de supervisão poderão iniciar fiscalização assim que a lei entrar em vigor.
Sanções por incumprimento
A NIS2 estabelece coimas máximas harmonizadas a nível europeu:
- Entidades essenciais: até 10 milhões de euros ou 2% do volume de negócios anual global (o que for mais elevado)
- Entidades importantes: até 7 milhões de euros ou 1,4% do volume de negócios anual global
Para além das coimas, o CNCS poderá emitir ordens de suspensão temporária de atividade para entidades essenciais que representem risco imediato, e publicar avisos públicos sobre o incumprimento — uma sanção reputacional com impacto direto na relação com clientes e parceiros. O risco de exposição de dados sensíveis reforça a urgência de agir antes de qualquer fiscalização.
Roteiro de preparação em 4 passos
- Avaliação do enquadramento: Determinar se a empresa é entidade essencial ou importante, usando a ferramenta de autoavaliação do CNCS
- Diagnóstico de lacunas: Comparar o estado atual da cibersegurança com os requisitos da NIS2 e identificar as medidas em falta
- Plano de ação: Priorizar medidas por risco e custo — começar pela autenticação multifator, gestão de backups e plano de resposta a incidentes
- Acompanhamento jurídico: Designar um responsável interno e, se necessário, contratar consultoria especializada para acompanhar a legislação nacional em aprovação
À reter: As empresas que iniciaram a preparação em 2025 chegam a 2026 com vantagem competitiva. A conformidade com a NIS2 começa a ser exigida como critério em concursos públicos e em processos de due diligence — tornando-se um diferenciador de mercado além de uma obrigação legal.
Perguntas frequentes sobre a NIS2 em Portugal
A minha empresa tem 30 trabalhadores. Está abrangida pela NIS2? Provavelmente não — o limiar geral é de 50 trabalhadores ou 10 milhões de euros de volume de negócios. Mas há exceções: se a empresa opera infraestrutura crítica ou é o único fornecedor de um serviço essencial, pode ser abrangida independentemente da dimensão. Consulte as orientações do CNCS para o seu setor.
Quando entra em vigor a NIS2 em Portugal? A diretiva europeia devia ter sido transposta até 17 de outubro de 2024. A lei nacional portuguesa ainda está em processo legislativo em 2026. Assim que aprovada, será aplicável com efeitos imediatos, pelo que a preparação antecipada é essencial.
O que acontece se notificar um incidente fora do prazo de 24 horas? O incumprimento dos prazos de notificação é sancionável com coimas no âmbito das sanções gerais da NIS2. Além disso, a falta de notificação pode agravar a responsabilidade civil em caso de danos a terceiros causados pelo incidente.
A certificação ISO 27001 é suficiente para cumprir a NIS2? A ISO 27001 demonstra maturidade em gestão de segurança da informação e é valorizada pelas autoridades supervisoras. Contudo, não garante automaticamente a conformidade com todos os requisitos da NIS2 — em particular os relacionados com notificação de incidentes e segurança da cadeia de abastecimento. É um ponto de partida sólido, não um substituto.
Aviso legal: As informações presentes neste artigo são fornecidas a título informativo e não constituem aconselhamento jurídico ou técnico. Para uma análise específica da situação da sua empresa, consulte um especialista em cibersegurança ou assessoria jurídica com experiência em direito digital.
