Conformidade
A lei da cibersegurança mudou. Sabe se lhe diz respeito?
O Decreto-Lei n.º 125/2025 criou o novo Regime Jurídico da Cibersegurança e entrou em vigor em abril de 2026. Alargou obrigações de segurança, registo e notificação de incidentes a milhares de empresas portuguesas — e a maioria ainda não verificou se está incluída.
O essencial
Em cinco pontos
O que é
A transposição para Portugal da diretiva europeia NIS2. Substitui o regime anterior e alarga muito o universo de empresas abrangidas — de cerca de mil entidades para uma estimativa de sete a nove mil.
Quem fiscaliza
O Centro Nacional de Cibersegurança, o CNCS. O registo das entidades faz-se numa plataforma eletrónica própria.
Desde quando
O diploma foi publicado a 4 de dezembro de 2025 e produz efeitos desde abril de 2026, cento e vinte dias depois.
O que custa falhar
Coimas até 10 milhões de euros ou 2% do volume de negócios global para entidades essenciais, e até 7 milhões ou 1,4% para entidades importantes. Os membros dos órgãos de gestão podem ser responsabilizados.
Está no âmbito?
Três perguntas, por esta ordem
- 1
O setor
O regime aplica-se a setores listados em dois anexos. No Anexo I, de elevada criticidade: energia, transportes, banca, infraestruturas do mercado financeiro, saúde, água potável, águas residuais, infraestrutura digital, gestão de serviços TIC entre empresas, e espaço. No Anexo II: serviços postais, gestão de resíduos, produtos químicos, alimentação, indústria transformadora, prestadores de serviços digitais e investigação.
- 2
A dimensão
Entidades essenciais: a partir de 250 trabalhadores ou 50 milhões de euros de volume de negócios. Entidades importantes: a partir de 50 trabalhadores ou 10 milhões de euros.
- 3
As exceções de dimensão
Algumas categorias estão abrangidas independentemente do tamanho: telecomunicações, prestadores de serviços cloud, serviços de DNS e prestadores qualificados de serviços de confiança.
Se está num dos setores e acima de um dos limiares, está abrangido. Se está no setor mas abaixo dos limiares, leia a secção seguinte — é a que diz respeito à maioria das PMEs.
Está fora do âmbito. E agora?
A parte que quase ninguém explica
A maioria das PMEs portuguesas não está diretamente abrangida. O limiar mais baixo é 50 trabalhadores ou 10 milhões de euros de volume de negócios — uma empresa de vinte pessoas, fora das categorias independentes de dimensão, está fora do âmbito direto.
Mas a lei chega-lhe pela cadeia de fornecimento
O regime obriga as entidades abrangidas a gerir o risco dos seus fornecedores. Na prática, os seus clientes maiores vão passar a exigir-lhe respostas: que medidas de segurança tem, como notifica incidentes, quem tem acesso aos dados deles.
O risco não é a coima. É o contrato
Quem não souber responder a um questionário de segurança de um cliente abrangido perde o concurso para quem souber. Isso acontece muito antes de qualquer entidade fiscalizadora bater à porta, e custa mais.
O que a lei obriga
Para quem está abrangido
Obrigações principais
- Registo junto do CNCS: 60 dias a contar da disponibilização da plataforma, ou 30 dias a contar do início de atividade
- Medidas de gestão de risco de cibersegurança, técnicas e organizativas
- Gestão do risco da própria cadeia de fornecimento
- Notificação de incidentes significativos: alerta inicial em 24 horas, notificação de fim de impacto em 24 horas, relatório final em 30 dias úteis
- Envolvimento e responsabilização dos órgãos de gestão
O que isso implica na prática
- Saber o que se tem: inventário de sistemas, dados e acessos
- Controlo de acessos e autenticação forte
- Cópias de segurança testadas e plano de continuidade
- Registo de eventos que permita reconstruir um incidente
- Procedimento escrito para detetar, classificar e notificar
Como ajudamos
O que fazemos nesta matéria
Avaliação de âmbito
Determinamos, com base no setor e na dimensão, se a sua empresa está abrangida e em que categoria. É a primeira coisa a fazer, e é rápida.
Implementação de medidas
Traduzimos as obrigações em trabalho concreto sobre a sua infraestrutura: acessos, atualizações, cópias, registos e monitorização.
Apoio ao registo e à notificação
Acompanhamos o registo junto do CNCS e deixamos escrito o procedimento de notificação, para que os prazos de 24 horas não apanhem ninguém desprevenido.
Resposta a questionários de clientes
Preparamos a documentação que os seus clientes abrangidos lhe vão pedir, mesmo que a sua empresa não esteja diretamente no âmbito.
Esta página é informativa e não constitui parecer jurídico. A Ferdav é uma empresa de tecnologia, não uma sociedade de advogados — para interpretação legal do seu caso concreto, trabalhamos ao lado dos seus juristas.
Quer saber se está abrangido?
A avaliação de âmbito faz parte do diagnóstico gratuito. Em vez de adivinhar, fica a saber em que categoria está e o que isso implica.
30 segundos · 7 campos · sem chamada de vendas