(Atualizado em 23 de agosto de 2026.)
A Diretiva (UE) 2022/2555, de 14 de dezembro de 2022, relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União, é habitualmente designada por Diretiva NIS2 e, na versão oficial portuguesa, por Diretiva SRI 2.
A diretiva foi publicada no Jornal Oficial da União Europeia em 27 de dezembro de 2022 e entrou em vigor em 16 de janeiro de 2023.
Ao contrário de um regulamento europeu, uma diretiva exige a adoção de medidas nacionais de transposição. Os Estados-Membros deveriam adotar e publicar essas medidas até 17 de outubro de 2024 e aplicá-las a partir de 18 de outubro de 2024.
A NIS2 estabelece regras mínimas destinadas a reforçar a cibersegurança e a reduzir as divergências entre os Estados-Membros.
O regime abrange:
A diretiva alargou substancialmente o âmbito da anterior Diretiva (UE) 2016/1148, conhecida como NIS1 ou SRI 1, e substituiu a distinção entre operadores de serviços essenciais e prestadores de serviços digitais pelas categorias de entidades essenciais e entidades importantes.
A Diretiva (UE) 2016/1148 foi revogada com efeitos a partir de 18 de outubro de 2024. As remissões para a diretiva revogada devem ser entendidas de acordo com a tabela de correspondência constante do anexo III da NIS2.
Nos termos do artigo 2.º, como regra geral, a NIS2 aplica-se às entidades públicas ou privadas dos tipos referidos nos anexos I e II que sejam consideradas médias empresas ou que excedam os limiares das médias empresas previstos na Recomendação 2003/361/CE.
Para efeitos da regra geral de dimensão da NIS2, as microempresas e pequenas empresas ficam, em princípio, fora do âmbito de aplicação, sem prejuízo das situações abrangidas independentemente da dimensão. A qualificação como média empresa exige a aplicação conjugada dos limiares da Recomendação 2003/361/CE: menos de 250 pessoas e volume de negócios anual não superior a 50 milhões de euros ou balanço total anual não superior a 43 milhões de euros, sem que estejam preenchidos os critérios de pequena empresa — menos de 50 pessoas e volume de negócios anual ou balanço total anual não superior a 10 milhões de euros. Devem ainda ser consideradas as regras aplicáveis às empresas parceiras e associadas.
A inclusão num setor referido nos anexos não basta, por si só, para concluir que qualquer entidade desse setor está abrangida. Devem ser analisados o tipo concreto de entidade e de serviço, a dimensão, a localização da atividade e as exceções ou decisões de identificação aplicáveis.
A diretiva abrange determinadas entidades independentemente da sua dimensão, nomeadamente quando:
Os Estados-Membros podem ainda incluir entidades da administração pública local e instituições de ensino, especialmente quando realizem atividades críticas de investigação.
Para efeitos do artigo 3.º, são consideradas entidades essenciais, designadamente:
São consideradas entidades importantes as entidades abrangidas dos anexos I ou II que não sejam qualificadas como entidades essenciais.
As duas categorias estão sujeitas às obrigações fundamentais de governação, gestão dos riscos e notificação. A principal diferença encontra-se no modelo de supervisão: as entidades essenciais podem ser objeto de supervisão prévia e posterior, enquanto as entidades importantes são, em regra, sujeitas a supervisão posterior quando existam provas, indícios ou informações de incumprimento.
O anexo I inclui os seguintes setores:
Nos domínios das infraestruturas digitais e da gestão de serviços TIC entre empresas, a diretiva identifica expressamente:
Um prestador de serviços geridos é uma entidade que presta assistência ou administração ativa, local ou remotamente, relativamente à instalação, gestão, operação ou manutenção de produtos, redes, infraestruturas, aplicações ou outros sistemas de rede e informação. Um prestador de serviços de segurança geridos é um prestador de serviços geridos que realiza ou apoia atividades relacionadas com a gestão dos riscos de cibersegurança.
A simples utilização de tecnologias da informação ou a designação comercial de um serviço como alojamento, correio eletrónico, suporte, consultoria ou manutenção não determina automaticamente a qualificação. Devem ser consideradas as funções efetivamente prestadas e as definições legais de computação em nuvem, centro de dados, comunicações eletrónicas, serviços geridos, serviços de segurança geridos, DNS e registo de domínios.
O anexo II inclui:
O artigo 28.º determina que os Estados-Membros exijam aos registos de nomes de domínio de topo e às entidades que prestam serviços de registo de nomes de domínio a recolha e manutenção de dados de registo exatos e completos, com respeito pelo direito da União em matéria de proteção de dados.
Devem existir políticas e procedimentos públicos, incluindo mecanismos proporcionados de verificação, destinados a assegurar a exatidão e a integridade dos dados. Os dados de registo que não sejam dados pessoais devem ser disponibilizados publicamente sem demora injustificada após o registo.
Os requerentes legítimos de acesso podem solicitar dados específicos mediante pedido lícito e devidamente fundamentado. A resposta deve ser prestada sem demora injustificada e, em qualquer caso, no prazo máximo de 72 horas após a receção do pedido.
Nos termos do artigo 20.º, os órgãos de direção das entidades essenciais e importantes devem aprovar as medidas de gestão dos riscos de cibersegurança, supervisionar a respetiva aplicação e podem ser responsabilizados por infrações, nos termos definidos pelo direito nacional.
Os membros dos órgãos de direção devem frequentar ações de formação que lhes permitam adquirir conhecimentos e competências suficientes para identificar riscos, avaliar as práticas de gestão da cibersegurança e compreender o respetivo impacto nos serviços prestados.
As entidades devem também ser incentivadas a proporcionar regularmente formação semelhante aos seus trabalhadores.
O artigo 21.º exige que as entidades essenciais e importantes adotem medidas técnicas, operacionais e organizativas adequadas e proporcionadas. As medidas devem basear-se numa abordagem que abranja todos os riscos e proteger os sistemas de rede e informação e o respetivo ambiente físico.
O nível de segurança deve ser adequado ao risco e considerar o estado da técnica, as normas europeias e internacionais aplicáveis, os custos de execução, a dimensão da entidade, a exposição ao risco e a probabilidade e gravidade dos incidentes.
As medidas devem abranger, pelo menos:
Quando uma entidade conclua que não cumpre estas medidas, deve adotar as medidas corretivas necessárias, adequadas e proporcionadas sem demora injustificada.
A externalização da gestão ou manutenção dos sistemas não transfere a responsabilidade pelo cumprimento. As medidas da NIS2 continuam a aplicar-se quando os sistemas sejam geridos internamente ou por terceiros.
As entidades devem avaliar as vulnerabilidades específicas dos fornecedores e prestadores de serviços diretos, a qualidade e a resiliência dos produtos e serviços, as práticas de cibersegurança e os procedimentos de desenvolvimento seguro utilizados.
Os riscos associados a serviços de computação em nuvem, centros de dados, software, serviços geridos, serviços de segurança geridos, armazenamento e tratamento de dados devem ser integrados na gestão do risco e, quando adequado, refletidos nos contratos, níveis de serviço, mecanismos de auditoria, obrigações de notificação e planos de continuidade e saída.
Nos termos do artigo 23.º, as entidades essenciais e importantes devem notificar a CSIRT ou a autoridade competente de qualquer incidente que tenha um impacto significativo na prestação dos seus serviços.
Um incidente é considerado significativo quando:
A comunicação segue, em regra, as seguintes fases:
Para os prestadores de serviços de confiança, a notificação do incidente que, em regra, seria apresentada em 72 horas deve ser efetuada no prazo máximo de 24 horas após o conhecimento do incidente significativo que afete a prestação dos serviços de confiança.
Quando adequado, os destinatários dos serviços devem ser informados dos incidentes significativos suscetíveis de afetar negativamente a prestação dos serviços e das medidas que podem adotar perante uma ciberameaça significativa.
A mera notificação não sujeita a entidade notificadora a responsabilidades acrescidas.
As entidades essenciais e importantes podem comunicar voluntariamente incidentes, ciberameaças e quase incidentes. Outras entidades, ainda que não abrangidas pela diretiva, podem comunicar voluntariamente incidentes significativos, ciberameaças e quase incidentes.
Sem prejuízo da investigação e repressão de infrações penais, uma notificação voluntária não pode originar obrigações adicionais às quais a entidade não estaria sujeita se não tivesse apresentado a notificação.
Nos termos dos artigos 3.º e 27.º, os Estados-Membros devem manter uma lista de entidades essenciais e importantes e de entidades que prestam serviços de registo de nomes de domínio, revista pelo menos de dois em dois anos, e fornecer à ENISA os elementos destinados ao registo europeu de determinados prestadores digitais.
Para a elaboração dessa lista, as entidades devem comunicar, pelo menos, o nome, o endereço e os contactos atualizados, incluindo endereços de correio eletrónico, gamas de endereços IP e números de telefone, bem como, quando aplicável, o setor e subsetor pertinentes e os Estados-Membros onde prestam serviços. As alterações devem ser comunicadas sem demora e, em qualquer caso, no prazo máximo de duas semanas.
A ENISA mantém ainda um registo específico de prestadores de DNS, registos de nomes de domínio de topo, entidades de registo de domínios, cloud, centros de dados, redes de distribuição de conteúdos, serviços geridos, serviços de segurança geridos, mercados em linha, motores de pesquisa e plataformas de redes sociais. As alterações às informações fornecidas para este registo devem ser comunicadas sem demora e, em qualquer caso, no prazo máximo de três meses.
Nos termos do artigo 26.º, determinados prestadores digitais de natureza transfronteiriça ficam, em regra, sob a jurisdição do Estado-Membro onde se situa o seu estabelecimento principal na União.
Os prestadores de DNS, registos de TLD, entidades de registo de domínios, cloud, centros de dados, redes de distribuição de conteúdos, serviços geridos, serviços de segurança geridos, mercados em linha, motores de pesquisa e plataformas de redes sociais que não estejam estabelecidos na União, mas aí ofereçam serviços, devem designar um representante num Estado-Membro onde os serviços sejam oferecidos.
A designação de representante não impede que sejam intentadas ações diretamente contra a própria entidade.
Ao abrigo dos artigos 31.º a 33.º, as autoridades competentes devem controlar o cumprimento e podem exercer poderes de inspeção, supervisão remota, auditoria, verificação de segurança, pedido de informação, acesso a documentos e recolha de provas da aplicação das políticas de cibersegurança.
Relativamente às entidades essenciais, a supervisão pode ocorrer antes ou depois da identificação de um incumprimento. Relativamente às entidades importantes, a supervisão é, em regra, posterior e desencadeada por provas, indícios ou informações de alegado incumprimento.
As medidas de execução podem incluir advertências, instruções vinculativas, ordens de correção ou cessação, comunicação pública da infração, imposição de auditorias e, nos casos aplicáveis, coimas. Em situações graves relativas a entidades essenciais, o direito nacional pode prever a suspensão temporária de certificações ou autorizações e a proibição temporária do exercício de funções de direção.
O artigo 34.º não fixa uma coima automática para cada infração. Obriga os Estados-Membros a estabelecer sanções efetivas, proporcionadas e dissuasivas e determina os limites máximos mínimos que os regimes nacionais devem assegurar para as violações das obrigações de gestão dos riscos e notificação.
Para as entidades essenciais, o limite máximo previsto pelo direito nacional não pode ser inferior ao montante mais elevado entre:
Para as entidades importantes, o limite máximo previsto pelo direito nacional não pode ser inferior ao montante mais elevado entre:
Quando o mesmo comportamento constitua também uma violação de dados pessoais e tenha sido objeto de coima ao abrigo do Regulamento Geral sobre a Proteção de Dados, não deve ser aplicada uma segunda coima NIS2 pelo mesmo comportamento. Permanecem, contudo, possíveis outras medidas de execução previstas na diretiva.
Nos termos do artigo 4.º, quando um ato jurídico setorial da União imponha medidas de gestão dos riscos ou obrigações de notificação que sejam, na prática, pelo menos equivalentes às da NIS2, as disposições correspondentes da NIS2 deixam de se aplicar às entidades abrangidas por esse ato setorial.
O Regulamento (UE) 2022/2554, conhecido como DORA, funciona como regime setorial específico para as entidades financeiras abrangidas nas matérias de gestão do risco associado às tecnologias da informação e comunicação, notificação de incidentes e correspondente supervisão e execução. Esta relação não deve ser interpretada como uma exclusão automática de todas as disposições da NIS2.
As Orientações 2023/C 328/02 da Comissão Europeia esclarecem a aplicação do artigo 4.º, incluindo a avaliação da equivalência entre a NIS2 e os atos jurídicos setoriais da União e as consequências dessa equivalência para a gestão dos riscos, a notificação de incidentes, a supervisão e a execução.
A NIS2 aplica-se sem prejuízo do Regulamento Geral sobre a Proteção de Dados e da Diretiva 2002/58/CE, relativa à privacidade nas comunicações eletrónicas. Um incidente pode, por isso, exigir notificações paralelas a diferentes autoridades, com fundamentos, destinatários e prazos distintos.
A NIS2 articula-se com a Diretiva (UE) 2022/2557, relativa à resiliência das entidades críticas. A primeira concentra-se na cibersegurança dos sistemas de rede e informação; a segunda abrange a resiliência das entidades críticas perante riscos de natureza mais ampla.
O Regulamento de Execução (UE) 2024/2690 concretiza os requisitos técnicos e metodológicos das medidas de gestão dos riscos e especifica os critérios de incidente significativo para:
O regulamento de execução é diretamente aplicável e deve ser lido em conjunto com a NIS2 e com a legislação nacional. Será objeto de publicação autónoma e detalhada.
Em Portugal, a NIS2 foi transposta pelo Decreto-Lei n.º 125/2025, de 4 de dezembro, que aprovou o Regime Jurídico da Cibersegurança. O diploma foi publicado em 4 de dezembro de 2025 e entrou em vigor em 3 de abril de 2026.
O Regulamento n.º 756/2026, publicado em 22 de junho de 2026 e em vigor desde 23 de junho de 2026, concretiza matérias como a plataforma eletrónica nacional, designada MyCiber pelo CNCS, a identificação e qualificação das entidades, as comunicações, as notificações de incidentes, os níveis de conformidade, as medidas mínimas de cibersegurança, o responsável de cibersegurança e o ponto de contacto permanente.
Para uma análise específica do regime nacional e das suas regras de execução, podem ser consultados os artigos Decreto-Lei n.º 125/2025 (NIS2) — Regime Jurídico da Cibersegurança e Regulamento n.º 756/2026 — regras de execução do Regime Jurídico da Cibersegurança.
A qualificação concreta de uma entidade, as autoridades competentes, os procedimentos de registo, as medidas nacionais, os prazos de produção de efeitos e as sanções aplicáveis em Portugal devem ser confirmados no Regime Jurídico da Cibersegurança e na respetiva regulamentação, não apenas no texto da diretiva.
As organizações devem, de acordo com o respetivo enquadramento:
Diretiva (UE) 2022/2555 — Diretiva NIS2 ou SRI 2
Diretiva (UE) 2016/1148 — Diretiva NIS1 ou SRI 1
Recomendação 2003/361/CE — definição de micro, pequenas e médias empresas
Regulamento de Execução (UE) 2024/2690 — requisitos técnicos e metodológicos da NIS2
Orientações 2023/C 328/02 da Comissão Europeia — aplicação do artigo 4.º da NIS2
Regulamento (UE) 2022/2554 — DORA
Regulamento (UE) 2016/679 — Regulamento Geral sobre a Proteção de Dados
Diretiva 2002/58/CE — privacidade nas comunicações eletrónicas
Diretiva (UE) 2022/2557 — resiliência das entidades críticas
Decreto-Lei n.º 125/2025, de 4 de dezembro — Regime Jurídico da Cibersegurança
Regulamento n.º 756/2026 — execução do Regime Jurídico da Cibersegurança
Centro Nacional de Cibersegurança — novo regime e plataforma MyCiber
