Guia · 9 de novembro de 2026

NIS2 e as PME em Portugal: o que muda com o Decreto-Lei 125/2025

A diretiva europeia NIS2 já é lei em Portugal. Foi transposta pelo Decreto-Lei n.º 125/2025, de 4 de dezembro, que criou o Regime Jurídico da Cibersegurança e entrou em vigor a 3 de abril de 2026. Se gere uma PME, vale a pena perceber se isto lhe diz respeito — e o que fazer a seguir.

O que é a NIS2, em linguagem simples

A NIS2 é um conjunto de regras europeias para elevar o nível de cibersegurança das organizações que prestam serviços importantes para a sociedade e a economia. O objetivo é tornar os sistemas mais resistentes a ataques e obrigar as organizações a gerir o risco, a reportar incidentes graves e a responsabilizar quem decide.

Em Portugal, a autoridade nacional de cibersegurança é o CNCS — Centro Nacional de Cibersegurança, que supervisiona o cumprimento do regime. Em junho de 2026, o CNCS publicou o Regulamento n.º 756/2026, que concretiza as regras do decreto-lei, incluindo a autoidentificação das entidades através de um formulário eletrónico.

A minha empresa está abrangida?

O regime distingue entidades essenciais e entidades importantes, consoante o setor e a dimensão. Está pensado sobretudo para organizações de setores como energia, transportes, saúde, águas, infraestruturas digitais, administração pública e vários serviços críticos — e não para a generalidade das micro e pequenas empresas.

Mas há dois pontos que apanham muitas PME de surpresa:

• Cadeia de fornecimento. Mesmo que a sua empresa não esteja diretamente abrangida, se for fornecedora de uma entidade que está, essa entidade vai exigir-lhe garantias de segurança. Na prática, a NIS2 "desce" pela cadeia.
• Autoidentificação. As entidades abrangidas têm de se registar na plataforma eletrónica do CNCS e designar um responsável de cibersegurança e um ponto de contacto — não é o Estado que vem bater à porta; a responsabilidade de verificar é da própria organização.

Se tem dúvidas sobre o enquadramento, o mais seguro é fazer uma avaliação — é melhor confirmar do que assumir que não se aplica.

O que a NIS2 passa a exigir

Em traços gerais, as entidades abrangidas têm de:

• Gerir o risco com medidas técnicas e organizativas proporcionais (controlo de acessos, cópias de segurança, atualização de sistemas, formação, etc.).
• Reportar incidentes significativos às autoridades em prazos apertados.
• Responsabilizar a gestão de topo: a NIS2 responsabiliza diretamente os órgãos de administração pela supervisão da cibersegurança — deixou de ser um assunto só do departamento de informática.

Primeiros passos práticos

1. Perceber o enquadramento: confirmar se é entidade essencial, importante, ou fornecedor de uma delas.
2. Fazer um diagnóstico do estado atual: o que está exposto, o que está desatualizado, onde estão as falhas mais críticas.
3. Priorizar e corrigir: um plano simples, do mais urgente para o menos urgente.
4. Registar e documentar: cumprir as obrigações de registo e manter prova das decisões tomadas.

Como a Kourian ajuda

Começamos por um diagnóstico claro, sem alarmismo: o que a sua empresa tem exposto, o que precisa de atenção e por que ordem. Depois entregamos um plano priorizado e acompanhamo-lo na execução.

Quer saber se a NIS2 se aplica à sua empresa? Fale connosco — uma conversa curta, sem compromisso.

Nota: este artigo é informativo e não substitui aconselhamento jurídico. Para o enquadramento legal exato, consulte o Decreto-Lei n.º 125/2025 e o CNCS.