Durante anos, a cibersegurança foi tratada nas PME portuguesas como um tema técnico, entregue a quem "percebe de computadores". A Diretiva NIS2 muda isso. Com a publicação do Decreto-Lei n.º 125/2025, de 4 de dezembro, Portugal transpôs a diretiva europeia e criou um novo Regime Jurídico da Cibersegurança, em vigor desde abril de 2026. A segurança da informação passa a ser uma obrigação legal, com prazos, fiscalização e responsabilidade da gestão.
Este artigo resume o essencial para quem gere uma pequena ou média empresa. Não substitui aconselhamento jurídico, mas ajuda a perceber se a sua empresa está abrangida e o que fazer a seguir.
Quem está abrangido pela NIS2
A NIS2 aplica-se a entidades que operam em setores considerados críticos ou altamente críticos e que ultrapassam determinada dimensão. Em regra, ficam abrangidas as médias e grandes empresas, ou seja, com 50 ou mais trabalhadores ou volume de negócios anual acima de 10 milhões de euros, que atuem em setores como:
- Energia, transportes, água, águas residuais e gestão de resíduos;
- Saúde, incluindo prestadores de cuidados e fabrico de dispositivos médicos;
- Indústria transformadora, química e produção e distribuição alimentar;
- Infraestruturas digitais, serviços de TI geridos e prestadores de serviços digitais;
- Serviços postais, banca e administração pública.
As entidades dividem-se em essenciais e importantes. As obrigações de base são semelhantes; muda sobretudo a intensidade da supervisão e o valor das coimas.
Mesmo fora do âmbito direto, a NIS2 chega às pequenas empresas pela cadeia de fornecimento. As entidades abrangidas são obrigadas a avaliar a segurança dos seus fornecedores. Se fornece uma empresa industrial, um hospital ou uma concessionária de energia, é provável que comece a receber questionários de segurança e cláusulas contratuais novas.
O que passa a ser obrigatório
A lei exige medidas técnicas, operacionais e organizativas proporcionais ao risco. Na prática, isto traduz-se em:
- Análise de risco e políticas de segurança documentadas e aprovadas pela gestão.
- Gestão de incidentes, com procedimentos para detetar, responder e notificar.
- Continuidade do negócio: cópias de segurança testadas, plano de recuperação e gestão de crises.
- Segurança da cadeia de fornecimento, avaliando os riscos dos fornecedores de tecnologia e serviços.
- Controlo de acessos e autenticação multifator nos sistemas relevantes.
- Cifragem e proteção dos dados em trânsito e em repouso, quando adequado.
- Formação regular em cibersegurança, incluindo para os órgãos de gestão.
- Avaliação da eficácia das medidas, com revisões periódicas.
É também necessário registar a entidade junto do Centro Nacional de Cibersegurança (CNCS), a autoridade nacional, e indicar um responsável de segurança e um ponto de contacto permanente.
Notificação de incidentes: os prazos
Um dos pontos que mais apanha as empresas desprevenidas é o calendário de notificação de incidentes significativos:
| Prazo | O que enviar |
|---|---|
| 24 horas | Alerta inicial, a partir do momento em que se toma conhecimento do incidente. |
| 72 horas | Notificação com avaliação inicial da gravidade, do impacto e dos indicadores de comprometimento. |
| 1 mês | Relatório final com descrição detalhada, causa provável e medidas aplicadas. |
Cumprir estes prazos sem um processo definido, sem registos e sem alguém de serviço é muito difícil. Por isso a gestão de incidentes deve estar preparada antes de ser precisa.
Coimas e responsabilidade da gestão
A diretiva prevê coimas máximas de 10 milhões de euros ou 2% do volume de negócios anual mundial para entidades essenciais e de 7 milhões de euros ou 1,4% para entidades importantes, prevalecendo o valor mais elevado. Mais relevante para a maioria das PME é a mudança de responsabilidade: os órgãos de gestão têm de aprovar as medidas de segurança, supervisionar a sua aplicação e podem ser responsabilizados pelo incumprimento. A cibersegurança deixa de poder ser delegada sem acompanhamento.
Por onde começar: cinco passos práticos
- Confirmar o enquadramento. Verificar o setor (CAE), o número de trabalhadores e o volume de negócios, e perceber se a empresa é essencial, importante ou fornecedora de uma entidade abrangida.
- Fazer o inventário. Que sistemas, dados, contas e fornecedores existem? Não se protege o que não se conhece.
- Avaliar o risco. Comparar a situação atual com os requisitos e priorizar as falhas com maior impacto.
- Corrigir o essencial primeiro. Autenticação multifator, cópias de segurança testadas, atualizações, proteção dos postos e gestão de acessos resolvem uma grande parte do risco.
- Documentar e manter. Políticas, registos e evidências. A conformidade não é um projeto com fim, é uma rotina.
Na Ferdav fazemos exatamente este percurso com as empresas da região: começamos por uma avaliação NIS2, entregamos um relatório com as prioridades e acompanhamos a implementação através do serviço de segurança e conformidade.