Cibersegurança e NIS2 | digitalservices.pt
Isofficer · Conformidade, Accountability e Serviços Digitais +351 213 243 750
Cibersegurança

Regime Jurídico da Cibersegurança e gestão do risco de segurança

O Decreto-Lei n.º 125/2025, de 4 de dezembro, transpôs a Diretiva (UE) 2022/2555 e entrou em vigor em 3 de abril de 2026. Estabeleceu obrigações vinculativas para milhares de organizações e responsabilizou directamente os órgãos de gestão pelo cumprimento das medidas de cibersegurança.

Enquadramento

O que o regime exige

A alteração de paradigma é substancial. O regime anterior assentava numa lógica de auto-regulação sectorial; o novo regime estabelece um âmbito subjectivo amplo, medidas obrigatórias tipificadas e responsabilidade pessoal dos dirigentes. A conformidade não é delegável no departamento de sistemas de informação.

O âmbito abrange entidades essenciais em nove sectores — energia, transportes, banca e sector financeiro, saúde, água, infraestruturas digitais, serviços postais, indústria transformadora e produtos químicos e alimentares —, entidades importantes e entidades públicas relevantes. A qualificação depende do sector, da dimensão e da natureza do serviço prestado.

Em Junho de 2026, o Centro Nacional de Cibersegurança publicou regulamento que concretiza as medidas técnicas e organizativas exigíveis, elevando o nível de detalhe da obrigação e, consequentemente, o grau de exigência probatória.

Autoridade e fontes

Autoridade competenteCentro Nacional de Cibersegurança (CNCS)
Instrumento europeuDiretiva (UE) 2022/2555, de 14 de dezembro de 2022
Transposição nacionalDecreto-Lei n.º 125/2025, de 4 de dezembro
Entrada em vigor3 de abril de 2026
RegulamentaçãoRegulamento do CNCS publicado em Junho de 2026
Cooperação europeiaENISA e Grupo de Cooperação NIS
Obrigações

As obrigações que estruturam a conformidade neste domínio

Análise e gestão do risco

Política de análise dos riscos e de segurança dos sistemas de informação, com metodologia documentada e revisão periódica.

Tratamento de incidentes

Procedimento de detecção, classificação, tratamento e registo de incidentes, com fluxos de escalamento definidos.

Continuidade da actividade

Gestão de cópias de segurança, recuperação em caso de desastre e gestão de crises, com testes periódicos documentados.

Segurança da cadeia de abastecimento

Avaliação da segurança dos fornecedores directos e dos prestadores de serviços, com cláusulas contratuais adequadas.

Segurança no ciclo de vida

Segurança na aquisição, no desenvolvimento e na manutenção de sistemas, incluindo o tratamento e a divulgação de vulnerabilidades.

Avaliação da eficácia

Políticas e procedimentos para avaliar a eficácia das medidas de gestão dos riscos de cibersegurança adoptadas.

Formação e higiene informática

Práticas básicas de higiene informática e formação em cibersegurança, incluindo formação obrigatória dos órgãos de gestão.

Criptografia e controlo de acesso

Políticas de utilização de criptografia e de cifragem, controlo de acesso e gestão de activos, com autenticação multifactor.

Comunicações de emergência

Soluções de comunicação de voz, vídeo e texto seguras, e sistemas de comunicação de emergência dentro da entidade.

Prazos e obrigações

O calendário de cumprimento do novo regime

ObrigaçãoPrazoObservações
Comunicação do responsável de cibersegurança20 dias úteis após a entrada em vigorDirigida à autoridade competente; actualização em caso de substituição
Registo da entidade junto da autoridadeNos termos definidos pela autoridade competenteInclui identificação, sector, contactos e âmbito da actividade
Alerta precoce de incidente significativo24 horas a contar do conhecimentoIndicação de suspeita de acto ilícito ou de possível impacto transfronteiriço
Notificação do incidente72 horas a contar do conhecimentoActualização do alerta precoce, com avaliação inicial de gravidade e impacto
Relatório final do incidenteUm mês após a notificaçãoDescrição detalhada, causa, medidas de mitigação e impacto transfronteiriço
Termo do período de carência de coimas3 de abril de 2027Doze meses após a entrada em vigor do diploma
Sanções: nas infracções muito graves, as coimas podem atingir 10 milhões de euros ou 2 % do volume de negócios anual mundial no caso das entidades essenciais, e 125 mil euros no caso das pessoas singulares, sendo aplicável a sanção acessória de interdição temporária do exercício de funções.
Como intervimos

Serviços disponíveis nesta área

Qualificação do âmbito subjectivo

Determinação fundamentada da qualificação da entidade como essencial, importante ou pública relevante, com parecer escrito.

Implementação das medidas do artigo 27.º

Desenho e implementação das nove áreas de medidas obrigatórias, articuladas com o regulamento do Centro Nacional de Cibersegurança.

Plano de resposta e notificação de incidentes

Procedimento com árvore de decisão para o cumprimento dos prazos de 24 horas, 72 horas e um mês, com minutas de notificação.

Avaliação da cadeia de abastecimento

Questionário de avaliação de fornecedores, matriz de criticidade e cláusulas contratuais de segurança.

Simulacros e exercícios de mesa

Exercícios de resposta a incidente com participação do órgão de gestão, relatório de observações e plano de melhoria.

Formação obrigatória dos órgãos de gestão

Sessão específica sobre deveres, responsabilidade e aprovação das medidas de gestão do risco de cibersegurança.

Esforço indicativo: qualificação de âmbito entre 15 e 30 horas; implementação das nove áreas de medidas entre 120 e 300 horas, consoante a maturidade inicial.
Perguntas frequentes

Dúvidas recorrentes nesta matéria

A qualificação resulta da combinação de três factores: o sector de actividade, a dimensão da entidade e a natureza do serviço prestado. O Decreto-Lei n.º 125/2025 elenca os sectores de alta criticidade e outros sectores críticos, aplicando em regra os limiares de dimensão da recomendação europeia relativa às pequenas e médias empresas. Existem, porém, entidades abrangidas independentemente da dimensão. A análise deve ser feita caso a caso e reduzida a escrito, porque a qualificação determina o regime de supervisão aplicável.

É a pessoa designada como ponto de contacto com a autoridade competente e responsável pela coordenação interna do cumprimento do regime. A função deve dispor de competência técnica, autonomia e acesso directo ao órgão de gestão. A externalização é admissível, desde que assegurada a disponibilidade e o conhecimento da organização, mas a responsabilidade pela aprovação e supervisão das medidas permanece no órgão de gestão.

Em termos gerais, o incidente que cause ou seja susceptível de causar perturbação operacional grave dos serviços ou perdas financeiras relevantes para a entidade, ou que afecte ou seja susceptível de afectar outras pessoas causando danos materiais ou imateriais consideráveis. A qualificação exige critérios internos previamente definidos, porque o prazo de 24 horas não permite deliberação prolongada.

Não é suficiente, mas é um ponto de partida valioso. Um sistema de gestão de segurança da informação certificado cobre parte substancial das medidas do artigo 27.º, mas não abrange integralmente as obrigações de notificação, o registo junto da autoridade, a formação obrigatória dos órgãos de gestão nem os deveres específicos de responsabilidade dos dirigentes. É necessário um exercício de correspondência e complemento.

Precisa de avaliar a exposição da sua organização neste domínio?

Uma reunião de diagnóstico permite delimitar o âmbito, identificar as obrigações com prazo mais próximo e estimar o esforço necessário.