(Atualizado em 10 de outubro de 2026.)
Foi publicado, em 19 de março de 2025, no Diário da República, o Decreto-Lei n.º 22/2025, que transpõe para a ordem jurídica portuguesa a Diretiva (UE) 2022/2557, de 14 de dezembro de 2022, relativa à resiliência das entidades críticas, habitualmente identificada pela sigla CER, de Critical Entities Resilience.
O diploma estabelece os procedimentos de identificação e designação das entidades críticas e das respetivas infraestruturas, define responsabilidades das autoridades e prevê medidas destinadas a assegurar a continuidade dos serviços essenciais perante incidentes de origem natural ou humana.
O decreto-lei entrou em vigor em 24 de março de 2025. Não contendo uma disposição específica sobre a entrada em vigor, aplica-se a regra do quinto dia após a publicação, prevista no artigo 2.º da Lei n.º 74/98, de 11 de novembro.
Atualizado em 2 de outubro de 2026: este artigo inclui o enquadramento posterior introduzido pela Resolução do Conselho de Ministros n.º 135/2026, que aprova a avaliação nacional de risco e a Estratégia Nacional de Reforço da Resiliência das Entidades Críticas, e a articulação com o regime português de cibersegurança. Estas referências posteriores são identificadas nas secções respetivas. O presente texto é uma explicação do regime, não uma versão consolidada oficial do diploma.
A resiliência corresponde à capacidade de prevenir, proteger, responder, resistir, atenuar, absorver, adaptar-se e recuperar de incidentes que possam comprometer a prestação de serviços essenciais. Não se limita à segurança informática, à existência de cópias de segurança ou à proteção física de instalações.
O regime considera, entre outros, riscos naturais, catástrofes, emergências de saúde pública, acidentes, ameaças terroristas e híbridas e dependências entre setores e entidades. A avaliação deve considerar tanto os recursos próprios como os serviços e infraestruturas de terceiros de que depende a continuidade da atividade.
Uma entidade crítica pode ser pública ou privada. Uma infraestrutura crítica pode compreender instalações, equipamentos, redes, sistemas ou partes destes necessários à prestação de um serviço essencial. A qualificação jurídica depende do procedimento e dos critérios previstos no diploma, e não apenas da importância que a organização atribui aos seus próprios sistemas (artigos 1.º e 2.º).
O anexo do decreto-lei identifica os setores, subsetores e serviços essenciais relevantes para a identificação de entidades críticas:
Esta lista deve ser lida em conjunto com os serviços e delimitações constantes do anexo. Não significa, por exemplo, que todas as empresas alimentares, todos os prestadores de saúde ou todas as entidades públicas sejam automaticamente entidades críticas.
O artigo 1.º, n.º 3, exclui as entidades da Administração Pública que exerçam atividades nos domínios da segurança nacional, da segurança pública e da defesa, bem como as demais entidades excluídas no anexo. Estas exclusões de âmbito não devem ser confundidas com o regime especial do artigo 18.º.
A pertença a um setor não basta para determinar a aplicação de todas as obrigações. É necessário verificar os critérios de identificação, a designação concreta e as exceções legais, em especial a do artigo 18.º.
O setor das infraestruturas digitais abrange, nos termos do anexo, serviços relacionados com:
O alojamento de sítios Web, o fornecimento de correio eletrónico ou a prestação de serviços informáticos não permitem, por si só, concluir que uma empresa está designada como entidade crítica. É necessário analisar as atividades efetivamente exercidas, o seu enquadramento nos serviços do anexo e a decisão das autoridades competentes. Um registo de domínio de topo também não deve ser confundido com qualquer empresa que comercialize registos de domínios.
Nos termos do artigo 13.º, a identificação assenta cumulativamente nos seguintes critérios:
A avaliação do impacto considera, designadamente, o número de utilizadores, a dependência de outros setores, a intensidade e duração da perturbação, os efeitos na economia, na sociedade, no ambiente, na segurança e na saúde, a quota de mercado, a área geográfica afetada e a existência de alternativas (artigo 14.º).
As entidades setoriais apresentam propostas fundamentadas. Antes da decisão, as entidades candidatas são notificadas para se pronunciarem, querendo, num prazo não inferior a 10 dias. A designação é efetuada pelo Conselho Nacional de Planeamento Civil de Emergência, que notifica a entidade no prazo máximo de 10 dias após a designação, indicando as obrigações a cumprir (artigos 15.º a 17.º).
O diploma não estabelece uma exclusão geral de todas as micro, pequenas ou médias empresas baseada apenas na sua dimensão. Por outro lado, uma organização não se torna entidade crítica apenas por se autodeclarar como tal ou por fornecer serviços a uma entidade já designada.
O processo de identificação é revisto pelas entidades setoriais de quatro em quatro anos, a contar do prazo de 17 de julho de 2026, sem prejuízo da monitorização permanente de alterações relevantes. A designação não deve, por isso, ser tratada como uma lista imutável (artigo 19.º).
As principais responsabilidades distribuem-se entre:
Existe articulação com as autoridades competentes em matéria de cibersegurança. Contudo, não se deve atribuir ao Centro Nacional de Cibersegurança a competência geral de designação das entidades críticas ao abrigo deste decreto-lei (artigos 3.º a 9.º).
O artigo 18.º estabelece que às entidades críticas dos setores dos serviços bancários, das infraestruturas do mercado financeiro, do setor segurador e dos fundos de pensões e das infraestruturas digitais não se aplicam os capítulos III, IV e V do Decreto-Lei n.º 22/2025.
A exclusão abrange os capítulos relativos ao reforço da resiliência, às entidades críticas de especial relevância europeia e à supervisão, fiscalização e regime sancionatório. Por isso, não é correto aplicar automaticamente a estas entidades os deveres desses capítulos, como os prazos de nove e dez meses para a avaliação de risco e a submissão do plano, ou o regime de reporte de incidentes do artigo 28.º.
Não se trata de uma exclusão integral do decreto-lei. Estas entidades podem continuar sujeitas aos procedimentos de identificação e designação e às demais disposições aplicáveis fora dos capítulos excluídos.
Para as infraestruturas digitais, o artigo 18.º, n.º 2, remete a adoção de medidas de reforço da resiliência para a legislação em vigor em matéria de cibersegurança. Nos setores financeiros, devem igualmente ser verificados os regimes setoriais próprios, incluindo o DORA quando aplicável.
As obrigações dos capítulos III a V descritas nas secções seguintes devem, portanto, ser lidas com esta ressalva.
As entidades sujeitas ao capítulo III devem realizar uma avaliação de risco no prazo de nove meses a contar da receção da notificação da sua designação (artigo 23.º).
A avaliação deve abranger os riscos relevantes para a prestação dos serviços essenciais e para cada infraestrutura crítica, considerando a informação pertinente da avaliação nacional de risco, as dependências de outras entidades e setores e os possíveis efeitos transfronteiriços.
Podem ser aproveitadas avaliações de risco e documentação já existentes, quando sejam relevantes e satisfaçam os requisitos legais. Este aproveitamento não dispensa a verificação de que estão cobertos os serviços, infraestruturas, ameaças e interdependências exigidos pelo regime.
A avaliação deve ser atualizada sempre que se justifique e, pelo menos, de quatro em quatro anos.
Com base na avaliação de risco, a entidade deve elaborar um plano de resiliência que identifique as medidas técnicas, de segurança e organizativas adequadas e proporcionadas. O plano inclui a avaliação de risco e os planos de segurança das infraestruturas críticas, nos termos dos artigos 23.º, 24.º e 30.º.
As medidas devem permitir, designadamente:
Uma certificação ou um plano de continuidade já existente pode apoiar o cumprimento, mas não equivale automaticamente à aprovação do plano exigido por este decreto-lei.
O SGSSI pode dispensar a elaboração do plano ou de algumas das suas componentes nas condições do artigo 24.º, considerando os instrumentos exigidos pela legislação setorial e a intervenção da autoridade reguladora competente. A dispensa não pode ser decidida unilateralmente pela entidade.
O plano de resiliência deve ser submetido ao SGSSI para aprovação no prazo de 10 meses a contar da receção da notificação de designação. A aprovação abrange os planos de segurança das infraestruturas críticas nele integrados (artigo 25.º).
No procedimento de aprovação intervêm, nos termos legais, as autoridades reguladoras competentes, as forças de segurança e as autoridades de proteção civil. O diploma prevê um prazo de 90 dias para a emissão dos pareceres solicitados e a decisão do SGSSI nos 20 dias seguintes ao termo desse prazo. Em caso de não aprovação, é fixado um prazo não inferior a 30 dias para apresentação de um novo plano.
A entidade deve distinguir a submissão dentro do prazo da aprovação pela autoridade. A entrega do documento não significa, por si só, que o plano tenha sido aprovado.
O plano é revisto, em regra, no prazo máximo de quatro anos após a sua aprovação e antes disso quando existam alterações relevantes ou outras circunstâncias que justifiquem a revisão. O artigo 26.º admite a prorrogação excecional do prazo mediante pedido fundamentado, nas condições aí previstas; não se trata de uma extensão automática.
A entidade crítica deve designar um agente de ligação para assegurar a articulação com as autoridades. A identidade e os contactos são comunicados ao SGSSI, ao CNPCE e à respetiva entidade setorial no prazo de 10 dias após a designação como entidade crítica, devendo ser mantidos atualizados (artigo 27.º).
É também prevista a designação de um agente de ligação para cada infraestrutura crítica, com comunicação da identidade e dos contactos ao SGSSI no prazo indicado no artigo 31.º. O diploma permite a acumulação de funções nas condições aí previstas, desde que sejam asseguradas as funções e a disponibilidade de contacto exigidas.
Os prazos destes artigos referem-se à designação como entidade crítica. Não devem ser confundidos com os prazos de nove e dez meses, que o diploma conta expressamente a partir da receção da notificação.
Perante incidentes que perturbem significativamente, ou sejam suscetíveis de perturbar, a prestação de serviços essenciais ou o funcionamento das infraestruturas críticas que os asseguram, a entidade deve ativar imediatamente os planos aplicáveis e comunicar o incidente ao SGSSI (artigo 28.º).
A informação complementar deve ser transmitida logo que possível, no prazo máximo de 24 horas, incluindo, designadamente:
Quando não seja possível determinar de imediato os dados, devem ser comunicadas as estimativas disponíveis. O artigo 28.º prevê ainda a apresentação de um relatório detalhado no prazo máximo de um mês.
O prazo de 24 horas não autoriza a entidade a adiar o aviso inicial. O primeiro dever é de comunicação imediata, seguindo-se a informação mais detalhada.
Se houver suspeita de crime, o incidente deve ser comunicado imediatamente ao órgão de polícia criminal competente. A comunicação ao SGSSI também não substitui eventuais notificações exigidas por outros regimes, como a legislação de cibersegurança ou de proteção de dados pessoais, quando sejam aplicáveis.
Durante a vigência do plano de resiliência aprovado, a entidade deve realizar pelo menos um exercício para testar as medidas, os procedimentos e as ações previstos. Durante esse período, devem ser obrigatoriamente testados todos os planos de segurança, envolvendo as forças de segurança e os serviços municipais de proteção civil territorialmente competentes (artigo 29.º).
A realização do exercício deve ser comunicada ao SGSSI com, pelo menos, 20 dias de antecedência. O respetivo relatório deve ser remetido no prazo máximo de 30 dias após a realização.
O decreto-lei não estabelece neste artigo uma obrigação geral de exercício anual. A realização de exercícios mais frequentes pode resultar dos riscos, de outros regimes aplicáveis ou das necessidades operacionais da entidade.
O plano de segurança de cada infraestrutura deve identificar os elementos e áreas relevantes, as medidas permanentes e as medidas graduais a adotar em função da ameaça, bem como os procedimentos de deteção, alerta, proteção, mitigação e recuperação (artigo 30.º).
O artigo 32.º prevê medidas de segurança e de controlo de acessos, incluindo, nos termos e condições aí estabelecidos, a proteção do perímetro, a videovigilância dos acessos, o registo de acessos físicos e remotos e a manutenção de informação atualizada sobre as pessoas autorizadas.
A concretização destas medidas deve atender à viabilidade técnica, à avaliação de risco e à legislação aplicável. A previsão de videovigilância ou de registos de acesso não dispensa o cumprimento das regras de proteção de dados pessoais, nem estabelece uma autorização ilimitada de vigilância de trabalhadores ou visitantes.
Os artigos 33.º e 34.º preveem que as entidades críticas solicitem a verificação de antecedentes das pessoas que integrem, ou possam vir a integrar, as categorias identificadas no plano como necessariamente sujeitas a essa verificação, bem como das pessoas que necessitem de autorização de acesso, direto ou remoto, às áreas sujeitas às medidas especiais de segurança do artigo 32.º.
A verificação depende de pedido fundamentado ao SGSSI, deve ser necessária e proporcionada e exige a autorização da pessoa, prestada por escrito ou por via eletrónica, nos termos do diploma.
A verificação incide sobre a identidade, os países de residência nos últimos 10 anos, a documentação relativa ao emprego, estudos e interrupções dos últimos cinco anos e o registo criminal dos países de residência identificados. Os comprovativos são apresentados pela pessoa visada. Antes de formular o pedido, a entidade deve desenvolver os esforços de confirmação previstos no artigo 33.º, n.º 4.
Compete ao SGSSI apreciar a admissibilidade do pedido, recorrer aos elementos pertinentes disponíveis junto das autoridades competentes e comunicar o resultado à entidade. O diploma prevê também que possa promover verificações quando tenha conhecimento de informação relativa a um potencial risco de segurança.
Não se trata de uma autorização genérica para a empresa investigar livremente todos os trabalhadores. Devem ser respeitados os pressupostos, as competências das autoridades, a limitação das finalidades, a confidencialidade e o regime de proteção de dados, incluindo as regras específicas sobre dados relativos a condenações penais e infrações.
A autorização exigida pelo decreto-lei para este procedimento não deve ser confundida com a conclusão de que qualquer tratamento de dados no contexto laboral fica legitimado por um consentimento genérico.
O artigo 10.º sujeita a informação relativa à designação das entidades e infraestruturas críticas e à avaliação nacional de risco, no todo ou em parte, à classificação de segurança mínima de Reservado. A classificação deve ser comunicada às entidades envolvidas.
Os agentes de ligação e as restantes pessoas que, no exercício das suas funções, tenham necessidade de aceder a informação classificada de grau Confidencial ou superior devem dispor da credenciação de segurança exigida, emitida pela Autoridade Nacional de Segurança, nos termos aplicáveis.
Não se deve concluir que todos os trabalhadores necessitam de credenciação, nem que qualquer documento pode circular por correio eletrónico comum. Os acessos, o tratamento, o armazenamento e a transmissão devem respeitar o grau de classificação e as regras de segurança pertinentes.
O artigo 55.º prevê uma plataforma eletrónica de registo e partilha de informação, sob responsabilidade do SGSSI, destinada às entidades e utilizadores autorizados. Não corresponde a um diretório público das entidades críticas nem a uma obrigação geral de autorregisto de todas as empresas.
O regime articula os planos das entidades críticas com os planos de intervenção das forças de segurança e com o planeamento de emergência de proteção civil (artigos 35.º e 36.º). O plano de intervenção da força de segurança não deve ser confundido com o plano de resiliência que compete à entidade elaborar.
O artigo 37.º prevê a possibilidade de estabelecer restrições ao sobrevoo de infraestruturas críticas, nos termos aí definidos. A designação de uma infraestrutura não cria, por si só, uma proibição automática de sobrevoo nem autoriza a entidade a aplicar medidas de neutralização de aeronaves ou drones fora do quadro legal.
A alteração da natureza jurídica da entidade ou a venda ou cedência da prestação do serviço essencial constitui uma situação de substituição da entidade crítica. Deve ser comunicada às entidades competentes e à entidade setorial com, pelo menos, 10 dias de antecedência relativamente à produção de efeitos, identificando a entidade que a substitui (artigo 20.º).
O regime prevê a transmissão à entidade sucessora da informação relevante em matéria de segurança, a notificação do seu estatuto e, nos casos aplicáveis, a atualização dos contactos e a submissão do plano de resiliência atualizado, no prazo máximo de 10 meses previsto no artigo 20.º.
A venda ou cedência de uma infraestrutura crítica deve ser comunicada com, pelo menos, 30 dias de antecedência relativamente à produção de efeitos, nos termos do artigo 21.º.
A entidade não deixa de estar sujeita ao regime apenas por entender que já não reúne os critérios. A revogação da designação depende do procedimento legal, e as obrigações cessam a partir da receção da respetiva notificação, nos termos do artigo 22.º.
O artigo 38.º prevê um enquadramento específico para entidades críticas que prestem serviços essenciais idênticos ou semelhantes em seis ou mais Estados-Membros, quando estejam preenchidos os restantes requisitos e seja efetuada a determinação pela Comissão Europeia.
Ter clientes em seis países não basta para obter essa qualificação. O estatuto depende dos critérios e do procedimento legal, incluindo a comunicação e notificação pelas autoridades competentes.
Esta matéria integra o capítulo IV, pelo que deve ser respeitada a exclusão dos setores identificados no artigo 18.º.
Nas entidades sujeitas ao capítulo V, o SGSSI dispõe de poderes de supervisão e fiscalização, incluindo inspeções no local, supervisão à distância, pedidos de informação e verificação dos planos e das medidas de resiliência (artigos 39.º a 44.º).
As inspeções são, em regra, comunicadas com uma antecedência mínima de sete dias, sem prejuízo das exceções fundamentadas previstas no diploma. Podem ser determinadas medidas corretivas necessárias e proporcionadas, com acompanhamento da sua execução.
A autoridade pode solicitar elementos que demonstrem o cumprimento, incluindo resultados de auditorias realizadas por peritos independentes e qualificados, escolhidos e custeados pela entidade, nos termos do artigo 44.º.
Esta possibilidade não equivale à imposição, pelo decreto-lei, de uma certificação anual obrigatória e indistinta para todas as organizações.
O decreto-lei distingue contraordenações leves, graves e muito graves (artigos 48.º a 50.º). Entre os incumprimentos tipificados encontram-se:
Os valores das coimas não são fixados neste decreto-lei. O artigo 51.º remete os montantes, escalões e limites das sanções pecuniárias compulsórias para diploma próprio. Não é correto atribuir a este regime, por analogia, os valores previstos na NIS2, no DORA ou no RGPD.
A determinação de uma sanção concreta exige a consulta das normas sancionatórias aplicáveis e dos respetivos pressupostos. O pagamento da coima não dispensa a prática do ato ou o cumprimento do dever omitido quando ainda seja possível, podendo ser aplicáveis os mecanismos previstos no artigo 52.º.
O artigo 53.º admite a advertência e a fixação de um prazo para sanar a irregularidade, nas condições legais. Não se trata de um direito automático a incumprir sem consequências até à primeira advertência.
Também nesta matéria deve ser respeitada a exclusão do capítulo V estabelecida pelo artigo 18.º.
É importante distinguir a entrada em vigor da lei, os prazos dirigidos às autoridades e os prazos individuais das entidades:
A referência a 17 de julho de 2026 não constitui uma data universal para todas as empresas terem concluído os seus planos, nem permite presumir que uma determinada entidade já foi designada. Os prazos individuais devem ser apurados a partir dos atos e notificações relevantes.
O artigo 56.º prevê a manutenção transitória dos procedimentos do Decreto-Lei n.º 20/2022 até à aprovação dos instrumentos nacionais aí referidos. Os planos de segurança anteriormente aprovados mantêm-se válidos até à designação das entidades críticas e à aprovação dos respetivos planos de resiliência, nos termos desse artigo.
O artigo 57.º revoga os capítulos I e II do Decreto-Lei n.º 20/2022, sem prejuízo da salvaguarda transitória. Não deve, por isso, afirmar-se que o Decreto-Lei n.º 20/2022 foi integralmente revogado por este diploma.
A Resolução do Conselho de Ministros n.º 135/2026, publicada em 26 de junho de 2026, aprovou a avaliação nacional de risco e a Estratégia Nacional de Reforço da Resiliência das Entidades Críticas.
A resolução foi aprovada em Conselho de Ministros em 14 de maio de 2026 e determina a produção de efeitos a partir da data da sua aprovação. Estas datas não devem ser confundidas com o prazo de 17 de janeiro de 2026 que tinha sido fixado no artigo 56.º do decreto-lei.
A estratégia inclui um plano de ação para 2026–2029, organizado em torno do reforço da resiliência, da cooperação e coordenação e do desenvolvimento do conhecimento, da formação e da cultura de segurança.
A avaliação nacional de risco está sujeita à classificação de segurança mínima de Reservado. A estratégia é pública, mas isso não torna pública toda a informação usada na avaliação de risco nem os elementos classificados das entidades e infraestruturas.
Esta resolução concretiza instrumentos previstos no Decreto-Lei n.º 22/2025. Não substitui o decreto-lei, não designa automaticamente todas as entidades dos setores e não afasta as exceções do artigo 18.º.
O regime CER e a NIS2 são complementares, mas têm âmbitos e mecanismos próprios. A CER adota uma abordagem à continuidade dos serviços essenciais perante um conjunto alargado de riscos. A NIS2 centra-se na segurança das redes e dos sistemas de informação. Esta distinção não elimina as interdependências nem permite tratar a resiliência física e a digital como realidades isoladas.
Em Portugal, o Decreto-Lei n.º 125/2025, de 4 de dezembro, publicado posteriormente ao diploma CER, aprovou o Regime Jurídico da Cibersegurança e transpôs a NIS2. O seu enquadramento, classificação de entidades, obrigações e prazos devem ser analisados autonomamente.
Nos setores financeiros, o Regulamento (UE) 2022/2554, conhecido como DORA, estabelece requisitos próprios de resiliência operacional digital para as entidades por ele abrangidas. A aplicação desse regulamento e a exceção do artigo 18.º do Decreto-Lei n.º 22/2025 devem ser avaliadas separadamente.
Não estar sujeito a um determinado capítulo do regime CER não significa estar dispensado de deveres de cibersegurança, continuidade, proteção de dados ou supervisão setorial. Do mesmo modo, o cumprimento de um regime não demonstra automaticamente o cumprimento de todos os restantes.
Para uma entidade designada e sujeita às obrigações do capítulo III, a preparação deve contemplar, de acordo com os requisitos aplicáveis:
Como organização prática, é igualmente recomendável manter um calendário de obrigações, os comprovativos das notificações recebidas e enviadas, as decisões de aprovação ou dispensa, as evidências de formação e a execução das medidas corretivas. Esta recomendação de arquivo não cria um prazo uniforme de conservação nem autoriza a retenção ilimitada de dados pessoais.
Os documentos devem ser tratados de acordo com a sua classificação e com o princípio da necessidade de conhecer. A preparação destes elementos não deve conduzir à divulgação pública de infraestruturas, vulnerabilidades, contactos operacionais ou planos sujeitos a proteção.
Uma abordagem inicial consiste em:
Este artigo tem natureza informativa. A determinação das obrigações de uma organização exige a análise dos serviços efetivamente prestados, dos atos de designação, das notificações recebidas, das exceções e da legislação setorial e regulamentar aplicável.
A BITWOCI utiliza IA na elaboração ou revisão dos seus conteúdos, sempre com revisão humana substantiva e sob a sua responsabilidade editorial [artigo 50.º do Regulamento (UE) 2024/1689 (AI Act)].
Diário da República — Decreto-Lei n.º 22/2025, de 19 de março
Diário da República — Texto oficial e anexo do Decreto-Lei n.º 22/2025 (PDF)
EUR-Lex — Diretiva (UE) 2022/2557, relativa à resiliência das entidades críticas (CER)
Diário da República — Decreto-Lei n.º 125/2025, de 4 de dezembro: Regime Jurídico da Cibersegurança
EUR-Lex — Regulamento (UE) 2022/2554: resiliência operacional digital do setor financeiro (DORA)
