Início/Segurança e conformidade/Avaliação NIS2
O Regime Jurídico da Cibersegurança, que transpõe a NIS2 para Portugal, está em vigor desde abril de 2026. Comece por perceber se a sua empresa está abrangida, o que já cumpre e o que falta. A avaliação abaixo é imediata e não sai do seu navegador.
Avaliação imediata
Responda com o que sabe. O resultado aparece ao lado e atualiza-se a cada resposta. Nada é enviado nem guardado: o cálculo acontece no seu navegador.
01 Setor de atividade
Escolha o setor em que a empresa opera, tal como aparece nos anexos do regime.
02 Dimensão da empresa
Pessoas ao serviço e volume de negócios anual, em Portugal e no estrangeiro.
03 O que já está feito
Marque apenas o que existe por escrito e funciona hoje. Dez medidas, todas exigidas ou diretamente derivadas do regime.
O que a lei exige
O Decreto-Lei n.º 125/2025 transpõe a Diretiva (UE) 2022/2555 e cria obrigações concretas, com responsabilidade atribuída ao órgão de gestão e coimas que podem chegar a dez milhões de euros ou 2% do volume de negócios mundial.
As entidades abrangidas identificam-se junto do Centro Nacional de Cibersegurança na plataforma MyCiber. A falta de registo é, por si só, uma infração, mesmo antes de qualquer incidente.
O órgão de gestão aprova as medidas, acompanha a execução e recebe formação. A responsabilidade não se delega no informático nem no fornecedor.
Gestão de risco, controlo de acessos, criptografia, continuidade, cópias de segurança, gestão de vulnerabilidades e segurança de recursos humanos, entre outras, proporcionais ao risco.
Aviso inicial nas primeiras 24 horas após conhecimento de um incidente significativo, notificação de fim de impacto e relatório final nos prazos fixados. Exige processo definido antes de acontecer.
A segurança dos fornecedores passa a ser matéria da própria empresa, com requisitos contratuais e avaliação de quem tem acesso aos seus sistemas e dados.
Inventário de ativos expostos, evidências organizadas, relatórios periódicos para as entidades essenciais e resposta a pedidos de informação da autoridade.
Base legal: Decreto-Lei n.º 125/2025, de 4 de dezembro, em vigor desde 3 de abril de 2026, que estabelece o Regime Jurídico da Cibersegurança e transpõe a Diretiva NIS2. Regulamentação e orientações pelo Centro Nacional de Cibersegurança.
Prazos
Alguns prazos contam a partir de datas fixas, outros a partir da qualificação de cada entidade. A consequência prática é a mesma: a maior parte do trabalho tem de começar antes de a autoridade bater à porta.
Portugal transpõe a NIS2 e cria o Regime Jurídico da Cibersegurança, com três categorias de entidades e dezassete setores abrangidos.
As obrigações passam a ser exigíveis e o regime de supervisão e contraordenações começa a aplicar-se.
Começa a contar o prazo de registo das entidades já em atividade, feito pelo representante legal com autenticação forte.
O prazo de sessenta dias úteis contados da abertura da plataforma termina em setembro. Quem está abrangido e não se registou deve fazê-lo sem esperar pela notificação, porque a omissão é ela própria uma infração.
Depois de notificada a qualificação, a entidade designa e comunica o responsável de segurança e o ponto de contacto permanente no prazo fixado, contado em dias úteis.
Entrega do inventário dos ativos expostos na Internet, que obriga a saber o que a empresa tem ligado ao exterior, incluindo o que foi instalado por fornecedores ao longo dos anos.
As entidades essenciais e importantes têm vinte e quatro meses, contados da regulamentação, para ter as medidas técnicas e organizativas em vigor. É aqui que o trabalho real acontece.
As entidades essenciais passam a reportar o cumprimento com periodicidade definida, o que exige evidências recolhidas desde o início e não no mês anterior.
As datas seguem o decreto-lei e a informação publicada pelo Centro Nacional de Cibersegurança. Os prazos que dependem da qualificação de cada entidade são confirmados caso a caso na avaliação.
Avaliação formal
A avaliação desta página serve para decidir se vale a pena olhar com atenção. A avaliação formal produz um documento que a administração pode aprovar e usar.
Análise do setor, da dimensão, do grupo e da posição na cadeia de fornecimento, com a conclusão sobre o enquadramento provável e os seus fundamentos.
Por escritoSistemas, acessos, cópias de segurança, exposição à Internet, fornecedores com acesso e estado das medidas exigidas pelo regime.
Visita e recolhaCada lacuna com risco associado, esforço estimado e ordem recomendada, separando o que cumpre a lei do que protege a operação.
Documento de decisãoPlano com responsáveis e prazos, pronto para aprovação da gestão, e execução acompanhada com a equipa interna ou com os serviços geridos da Ferdav.
Por fasesO que fica consigo
Pedir avaliação
Preencha o pedido e a conversa começa pelo enquadramento. Se fez a avaliação acima, o resultado indicativo segue com o pedido, o que poupa a primeira meia hora.
O diagnóstico gratuito olha para a operação toda e fica consigo, contrate ou não. A avaliação NIS2 é o passo seguinte quando a conformidade é o tema.
Perguntas frequentes
A dimensão conta, mas não decide sozinha. Há tipos de entidade abrangidos independentemente do número de pessoas, há empresas que entram por pertencerem a um grupo e há pequenas empresas que ficam sujeitas a exigências equivalentes por via contratual, por serem fornecedoras de entidades abrangidas. O enquadramento faz-se com os critérios na mão, não por intuição.
O registo é o primeiro passo e o mais visível, não o mais exigente. Depois dele vem a designação do responsável de segurança e do ponto de contacto, a lista de ativos expostos, as medidas mínimas e a capacidade de notificar um incidente em 24 horas. É aí que a maior parte das empresas descobre o trabalho.
O regime coloca a responsabilidade no órgão de gestão, que tem de aprovar as medidas e acompanhar a execução, e prevê coimas que podem chegar a dez milhões de euros ou 2% do volume de negócios mundial, além de sanções acessórias. Contratar um fornecedor de IT não transfere essa responsabilidade, mas ter prova escrita do que foi decidido e executado faz diferença.
Não. É uma orientação indicativa, útil para decidir se o tema é urgente. Para valer como base de decisão precisa de um relatório com os critérios aplicados ao caso concreto, que é o que a avaliação formal produz.
As duas coisas, e são contratadas em separado. A avaliação pode ser entregue para ser executada pela equipa interna ou por outro fornecedor. Quando a execução fica com a Ferdav, acontece por fases, com as medidas técnicas integradas na cibersegurança gerida e na operação de suporte.
Não. A Ferdav trata da parte técnica e organizativa: enquadramento, medidas, processos e evidências. Quando a questão é de interpretação jurídica, articulamos com o advogado ou o encarregado de proteção de dados da empresa.
Também pode interessar
Risco, políticas, NIS2 e proteção de dados, com evidências organizadas e revisão periódica.
Ver o serviço → Serviços geridosEndpoints, identidade e correio protegidos, com deteção e resposta a incidentes.
Ver o serviço → ConsultoriaDireção técnica a tempo parcial para levar o plano de conformidade até ao fim.
Ver o serviço →Avaliação NIS2
Uma avaliação escrita diz o que se aplica, o que falta e em que ordem tratar. Depois disso, a conformidade deixa de ser um problema em aberto e passa a ser um plano.