Início/Segurança e conformidade/Avaliação NIS2
O Regime Jurídico da Cibersegurança, que transpõe a NIS2 para Portugal, está em vigor desde abril de 2026. Este teste percorre os critérios que decidem o enquadramento, setor, dimensão, exceções e cadeia de fornecimento, e devolve um resultado fundamentado com o que passa a ser exigido.
Teste de enquadramento
As perguntas seguem os critérios do regime: setor, dimensão, situações que dispensam o limiar e posição na cadeia de fornecimento. No fim identifica-se e o resultado abre no ecrã, com uma cópia enviada para o seu email.
Passo 01 de 05
Porque chegámos aqui
O que passa a aplicar-se
Resultado indicativo, sem valor de parecer jurídico. A qualificação definitiva é do Centro Nacional de Cibersegurança e depende de critérios que exigem análise caso a caso.
O que a lei exige
O Decreto-Lei n.º 125/2025 transpõe a Diretiva (UE) 2022/2555 e cria obrigações concretas, com responsabilidade atribuída ao órgão de gestão e coimas que podem chegar a dez milhões de euros ou 2% do volume de negócios mundial.
As entidades abrangidas identificam-se junto do Centro Nacional de Cibersegurança na plataforma MyCiber. A falta de registo é, por si só, uma infração, mesmo antes de qualquer incidente.
O órgão de gestão aprova as medidas, acompanha a execução e recebe formação. A responsabilidade não se delega no informático nem no fornecedor.
Gestão de risco, controlo de acessos, criptografia, continuidade, cópias de segurança, gestão de vulnerabilidades e segurança de recursos humanos, entre outras, proporcionais ao risco.
Aviso inicial nas primeiras 24 horas após conhecimento de um incidente significativo, notificação de fim de impacto e relatório final nos prazos fixados. Exige processo definido antes de acontecer.
A segurança dos fornecedores passa a ser matéria da própria empresa, com requisitos contratuais e avaliação de quem tem acesso aos seus sistemas e dados.
Inventário de ativos expostos, evidências organizadas, relatórios periódicos para as entidades essenciais e resposta a pedidos de informação da autoridade.
Base legal: Decreto-Lei n.º 125/2025, de 4 de dezembro, em vigor desde 3 de abril de 2026, que estabelece o Regime Jurídico da Cibersegurança e transpõe a Diretiva NIS2. Regulamentação e orientações pelo Centro Nacional de Cibersegurança.
Prazos
Alguns prazos contam a partir de datas fixas, outros a partir da qualificação de cada entidade. A consequência prática é a mesma: a maior parte do trabalho tem de começar antes de a autoridade bater à porta.
Portugal transpõe a NIS2 e cria o Regime Jurídico da Cibersegurança, com três categorias de entidades e dezassete setores abrangidos.
As obrigações passam a ser exigíveis e o regime de supervisão e contraordenações começa a aplicar-se.
Começa a contar o prazo de registo das entidades já em atividade, feito pelo representante legal com autenticação forte.
O prazo de sessenta dias úteis contados da abertura da plataforma termina em setembro. Quem está abrangido e não se registou deve fazê-lo sem esperar pela notificação, porque a omissão é ela própria uma infração.
Depois de notificada a qualificação, a entidade designa e comunica o responsável de segurança e o ponto de contacto permanente no prazo fixado, contado em dias úteis.
Entrega do inventário dos ativos expostos na Internet, que obriga a saber o que a empresa tem ligado ao exterior, incluindo o que foi instalado por fornecedores ao longo dos anos.
As entidades essenciais e importantes têm vinte e quatro meses, contados da regulamentação, para ter as medidas técnicas e organizativas em vigor. É aqui que o trabalho real acontece.
As entidades essenciais passam a reportar o cumprimento com periodicidade definida, o que exige evidências recolhidas desde o início e não no mês anterior.
As datas seguem o decreto-lei e a informação publicada pelo Centro Nacional de Cibersegurança. Os prazos que dependem da qualificação de cada entidade são confirmados caso a caso na avaliação.
Avaliação formal
O teste desta página serve para decidir se vale a pena olhar com atenção. A avaliação formal produz um documento que a administração pode aprovar e usar.
Análise do setor, da dimensão, do grupo e da posição na cadeia de fornecimento, com a conclusão sobre o enquadramento provável e os seus fundamentos.
Por escritoSistemas, acessos, cópias de segurança, exposição à Internet, fornecedores com acesso e estado das medidas exigidas pelo regime.
Visita e recolhaCada lacuna com risco associado, esforço estimado e ordem recomendada, separando o que cumpre a lei do que protege a operação.
Documento de decisãoPlano com responsáveis e prazos, pronto para aprovação da gestão, e execução acompanhada com a equipa interna ou com os serviços geridos da Ferdav.
Por fasesO que fica consigo
Pedir avaliação
Se já fez o teste acima, recebemos as suas respostas e a conversa começa daí. Este formulário serve para quem prefere falar antes de responder a perguntas.
O diagnóstico gratuito olha para a operação toda e fica consigo, contrate ou não. A avaliação NIS2 é o passo seguinte quando a conformidade é o tema.
Perguntas frequentes
A dimensão conta, mas não decide sozinha. Há tipos de entidade abrangidos independentemente do número de pessoas, há empresas que entram por pertencerem a um grupo e há pequenas empresas que ficam sujeitas a exigências equivalentes por via contratual, por serem fornecedoras de entidades abrangidas. O teste desta página passa por esses critérios um a um.
O registo é o primeiro passo e o mais visível, não o mais exigente. Depois dele vem a designação do responsável de segurança e do ponto de contacto, a lista de ativos expostos, as medidas mínimas e a capacidade de notificar um incidente em 24 horas. É aí que a maior parte das empresas descobre o trabalho.
O regime coloca a responsabilidade no órgão de gestão, que tem de aprovar as medidas e acompanhar a execução, e prevê coimas que podem chegar a dez milhões de euros ou 2% do volume de negócios mundial, além de sanções acessórias. Contratar um fornecedor de IT não transfere essa responsabilidade, mas ter prova escrita do que foi decidido e executado faz diferença.
Não. É uma orientação indicativa, útil para decidir se o tema é urgente e para saber que perguntas fazer. Para valer como base de decisão precisa de um relatório com os critérios aplicados ao caso concreto, que é o que a avaliação formal produz.
Servem para lhe enviar o resultado e para podermos responder a dúvidas sobre o enquadramento. Não são partilhados com terceiros nem usados para campanhas. Se pedir, apagamos o registo.
As duas coisas, e são contratadas em separado. A avaliação pode ser entregue para ser executada pela equipa interna ou por outro fornecedor. Quando a execução fica com a Ferdav, acontece por fases, com as medidas técnicas integradas na cibersegurança gerida e na operação de suporte.
Também pode interessar
Risco, políticas, NIS2 e proteção de dados, com evidências organizadas e revisão periódica.
Ver o serviço → Serviços geridosEndpoints, identidade e correio protegidos, com deteção e resposta a incidentes.
Ver o serviço → ConsultoriaDireção técnica a tempo parcial para levar o plano de conformidade até ao fim.
Ver o serviço →Avaliação NIS2
Uma avaliação escrita diz o que se aplica, o que falta e em que ordem tratar. Depois disso, a conformidade deixa de ser um problema em aberto e passa a ser um plano.
Antes de continuar
Este site mede a audiência sem o identificar. Para saber que origens trazem visitantes e como as páginas são usadas, precisamos da sua autorização.