NIS2 em Portugal: prazos, MyCiber, QNRCS e coimas

Guia prático · atualizado a 11 de setembro de 2026

O NIS2 (Diretiva (UE) 2022/2555) foi transposto em Portugal pelo Decreto-Lei n.º 125/2025 (Regime Jurídico da Cibersegurança) e regulamentado pelo Regulamento n.º 756/2026 (Quadro Nacional de Referência para a Cibersegurança, QNRCS). Este guia resume o essencial para empresas.

1. Quem está em scope?

Empresas médias (50+ trabalhadores e/ou volume de negócios superior a 10M€) em setores do Anexo I/II: energia, transportes, banca e infraestruturas de mercados financeiros, saúde, água, infraestruturas digitais, gestão de serviços TIC, administração pública, espaço, alimentação, fabrico, químico, correios e resíduos, entre outros.
Grandes empresas (250+ trabalhadores ou >50M€) tendem a ser classificadas como entidades essenciais; as restantes como entidades importantes.
Fornecedores de empresas em scope são frequentemente abrangidos por pressão da cadeia de fornecimento (Art. 21.º, n.º 2, al. d)) e pela exigência de evidência dos clientes.

A classificação final (essencial/importante) é confirmada pela autoridade competente. O nosso assessment gratuito inclui uma verificação de scope por país e setor.

2. Prazos que importam

Autoidentificação no MyCiber (Art. 8.º e 35.º): prazo de 60 dias úteis a contar de 23 de junho de 2026, aproximadamente 15 de setembro de 2026. A plataforma é myciber.gov.pt.
Medidas mínimas do Anexo III (Reg. 756/2026): 24 meses de período de adaptação após a qualificação da entidade.
Notificação de incidentes significativos (Art. 23.º NIS2; Art. 42.º a 44.º DL 125/2025): alerta precoce em 24 horas, atualização em 72 horas e relatório final no prazo de 1 mês.
Relatório anual (Art. 30.º): a preparar e disponibilizar à autoridade.

3. Obrigações principais

Medidas de gestão de risco de cibersegurança (Art. 21.º) em 15 domínios: risco e política, incidentes, continuidade e backups, cadeia de fornecimento, aquisição e desenvolvimento, eficácia, higiene e formação, criptografia, acessos e ativos, MFA e comunicações seguras, governação, notificação, registo e reporte, segurança física e governação da cadeia de fornecimento.
Governação: aprovação e supervisão pela gestão/board (Art. 20.º NIS2; Art. 25.º DL 125/2025) e formação dos órgãos de gestão.
RCS e ponto de contacto permanente (Art. 31.º e 32.º), com responsabilidade da gestão.
Registo e atualizações de dados no MyCiber dentro dos prazos legais (Art. 35.º, n.º 3).

4. QNRCS: o que é?

O QNRCS (Reg. 756/2026) define um conjunto de 102 controlos organizados por objetivos, com três níveis de conformidade (basic, substantial e high) e 153 medidas mínimas no Anexo III (43 basic, 59 substantial, 51 high, mais 40 para entidades públicas). A presunção de conformidade pode ser obtida através de certificação reconhecida.

5. Coimas (Art. 61.º DL 125/2025)

Entidade	Infração muito grave	Infração grave
Essencial	EUR 2.000 a EUR 10M ou 2% do volume de negócios mundial	Até EUR 5M ou 1%
Importante	EUR 1.250 a EUR 7M ou 1,4% do volume de negócios mundial	Até EUR 3,5M ou 0,7%

Além das coimas, a gestão pode ser responsabilizada e a entidade pode enfrentar restrições, auditorias e danos reputacionais junto de clientes e seguradoras.

6. Por onde começar

Confirmar se a empresa está em scope (limiares, setor, cadeia de fornecimento).
Fazer uma análise de lacunas estruturada contra o Art. 21.º e o QNRCS.
Priorizar: MFA, backups testados, plano de resposta a incidentes, política aprovada.
Documentar: a evidência documental é o que a autoridade e os clientes pedem.
Registar/atualizar a entidade no MyCiber dentro do prazo.

Faça o diagnóstico em 30 minutos. O assessment gratuito do NIS2Ready dá-lhe um score imediato em 15 domínios; o relatório profissional (€349) acrescenta o registo de riscos, o mapeamento legal e o plano de ação 0–30 / 1–3 / 3–6 meses.
Começar o assessment gratuito →

Este guia é informativo e não constitui aconselhamento jurídico. Confirme as obrigações aplicáveis junto da autoridade competente (CNCS) e de aconselhamento jurídico qualificado. Referências: Diretiva (UE) 2022/2555; DL n.º 125/2025; Regulamento n.º 756/2026.

← Voltar ao NIS2Ready · Comparação: NIS2Ready vs consultoria vs certificação