(Atualizado em 24 de agosto de 2026.)
O Decreto-Lei n.º 125/2025, de 4 de dezembro, transpõe para a ordem jurídica portuguesa a Diretiva (UE) 2022/2555, conhecida como Diretiva NIS2, e aprova em anexo o novo Regime Jurídico da Cibersegurança.
O diploma foi publicado no Diário da República em 4 de dezembro de 2025 e entrou em vigor em 3 de abril de 2026, 120 dias após a publicação.
O novo regime alarga substancialmente o universo de entidades abrangidas, distingue entidades essenciais, entidades importantes e entidades públicas relevantes, reforça a responsabilidade dos órgãos de gestão e estabelece regras sobre gestão dos riscos, cadeia de abastecimento, registo, governação, comunicação de incidentes, vulnerabilidades, supervisão e sanções.
O decreto-lei executa ainda, na ordem jurídica interna, obrigações decorrentes do Regulamento (UE) 2019/881 em matéria de certificação da cibersegurança, altera a Lei de Segurança Interna, a Lei do Cibercrime e a Lei das Comunicações Eletrónicas e cria um regime específico para determinadas atividades de investigação de vulnerabilidades realizadas no interesse público da cibersegurança.
O adiamento até 22 de junho de 2028 não constitui uma suspensão geral do regime. O decreto-lei determina especificamente que apenas os n.os 1 e 2 do artigo 27.º, os artigos 28.º a 30.º, o artigo 33.º e as correspondentes infrações previstas nas alíneas b), c) e f) do artigo 61.º, n.º 1, produzem efeitos 24 meses após a publicação da regulamentação do CNCS.
Consequentemente, as regras relativas ao enquadramento e qualificação das entidades, à responsabilidade dos órgãos de gestão, ao sistema de gestão dos riscos previsto no artigo 26.º, à autoidentificação e ao registo, ao responsável de cibersegurança, ao ponto de contacto permanente, à comunicação de incidentes, à informação aos destinatários dos serviços, à supervisão e às demais obrigações não abrangidas pelo adiamento seguem os respetivos prazos próprios.
As disposições do Regulamento n.º 756/2026 que dependam de instruções técnicas ou de outros normativos da autoridade competente produzem efeitos quando esses instrumentos forem publicados. Esta regra não dispensa, contudo, a comunicação da informação que já seja determinável com base na legislação e regulamentação em vigor.
O Decreto-Lei n.º 125/2025 revoga o anterior Regime Jurídico da Segurança do Ciberespaço, aprovado pela Lei n.º 46/2018, de 13 de agosto, e a respetiva regulamentação, aprovada pelo Decreto-Lei n.º 65/2021, de 30 de julho.
São igualmente revogados o artigo 2.º-A do Decreto-Lei n.º 3/2012 e determinadas disposições da Lei das Comunicações Eletrónicas relativas à segurança e integridade das redes e serviços. Esta última revogação só produz efeitos depois da substituição ou revogação dos regulamentos e atos da ANACOM adotados ao abrigo do regime anterior. Até esse momento, os atos que não sejam incompatíveis com o novo regime mantêm-se em vigor.
As decisões da anterior Comissão de Avaliação de Segurança mantiveram-se válidas durante 180 dias após 3 de abril de 2026, período durante o qual deveria ser realizada uma nova avaliação de segurança ao abrigo do novo regime.
Em regra, o regime aplica-se às entidades privadas de um dos tipos enumerados nos anexos I ou II que sejam, pelo menos, empresas médias ou que excedam os limiares das empresas médias e que prestem serviços ou exerçam atividades na União Europeia.
O anexo III considera PME as empresas com menos de 250 trabalhadores cujo volume de negócios anual não exceda 50 milhões de euros ou cujo balanço total anual não exceda 43 milhões de euros. Uma pequena empresa emprega menos de 50 pessoas e não excede 10 milhões de euros de volume de negócios anual ou de balanço total. A aplicação destes critérios deve atender à situação concreta da entidade e à informação exigida no procedimento de autoidentificação.
Independentemente da natureza ou dimensão, o regime pode ainda abranger:
A simples pertença genérica a um setor não é suficiente. É necessário confirmar o tipo de entidade ou atividade descrito nos anexos, os critérios de dimensão, as exceções aplicáveis e a conexão territorial com Portugal.
O regime abrange a administração direta e indireta do Estado e das Regiões Autónomas, a administração autónoma, organismos e entidades administrativas independentes, determinadas estruturas constitucionais e judiciais, entidades críticas e instituições de ensino superior.
Existem exclusões específicas, designadamente para redes e sistemas diretamente relacionados com comando e controlo militar, investigação criminal, segurança pública, produção de informações, defesa, informação classificada ou segredo de Estado. A exclusão pode igualmente abranger entidades privadas, mas apenas quando prestem serviços exclusivamente às entidades indicadas na lei e relativamente às atividades protegidas.
O Banco de Portugal, a Comissão do Mercado de Valores Mobiliários e a Autoridade de Supervisão de Seguros e Fundos de Pensões não são abrangidos como entidades da Administração Pública para este efeito, sem prejuízo das funções que exercem como autoridades nacionais especiais de cibersegurança no domínio da resiliência operacional digital do setor financeiro.
Nas infraestruturas digitais e na gestão de serviços de TIC encontram-se, entre outros, os pontos de troca de tráfego, DNS, registos de TLD, computação em nuvem, centros de dados, redes de distribuição de conteúdos, serviços de confiança, redes e serviços de comunicações eletrónicas, prestadores de serviços geridos e prestadores de serviços de segurança geridos.
Os anexos identificam tipos concretos de entidades dentro de cada setor. A lista setorial deve, por isso, ser lida em conjunto com a descrição legal da atividade efetivamente exercida.
Em geral, o regime aplica-se às entidades estabelecidas em Portugal. Às empresas que oferecem redes públicas de comunicações eletrónicas ou serviços de comunicações eletrónicas acessíveis ao público aplica-se quando disponibilizem esses serviços em território nacional.
Para prestadores de DNS, TLD, registo de domínios, computação em nuvem, centros de dados, CDN, serviços geridos, serviços de segurança geridos, mercados em linha, motores de pesquisa e plataformas de redes sociais, a competência portuguesa depende, em regra, de o estabelecimento principal se localizar em Portugal ou, não existindo estabelecimento na União, de o representante estar estabelecido em Portugal.
O estabelecimento principal é determinado sucessivamente pelo local onde sejam predominantemente tomadas as decisões sobre as medidas de gestão dos riscos, pelo local das operações de cibersegurança ou, se os critérios anteriores não permitirem a determinação, pelo estabelecimento com maior número de trabalhadores.
O CNCS pode ainda adotar medidas corretivas ou restritivas, incluindo a suspensão do serviço em Portugal, relativamente a prestadores sem estabelecimento ou representação no território nacional que não ofereçam medidas adequadas de cibersegurança e representem uma ciberameaça significativa para um grande número de utilizadores.
São entidades essenciais, nomeadamente:
São entidades importantes as entidades dos tipos enumerados nos anexos I e II que estejam abrangidas pelo regime e não sejam consideradas essenciais. Podem ainda ser qualificadas como importantes as entidades de um dos tipos constantes dos anexos I ou II abrangidas pelas alíneas b) a e) do artigo 3.º, n.º 2, com base nos critérios de risco e impacto previstos na lei.
As entidades públicas abrangidas que não sejam qualificadas como essenciais ou importantes são entidades públicas relevantes. O Grupo A inclui, em termos gerais, serviços e entidades de maior dimensão, entidades administrativas independentes e determinadas estruturas constitucionais e judiciais. O Grupo B abrange, em geral, serviços e entidades com 75 a 249 trabalhadores e entidades públicas empresariais qualificadas como empresas médias.
Quando uma entidade reúna simultaneamente mais de uma qualificação, aplica-se o regime mais exigente, segundo a ordem: entidade essencial, entidade importante, entidade pública relevante do Grupo A e entidade pública relevante do Grupo B.
As entidades abrangidas devem autoidentificar-se através da plataforma MyCiber. O preenchimento do formulário cria um registo provisório e inicia o procedimento de qualificação.
As entidades que já se encontravam em atividade quando o regime entrou em vigor devem autoidentificar-se no prazo previsto no artigo 8.º, n.º 1. O CNCS comunicou publicamente que este prazo corresponde a 60 dias úteis após a disponibilização da MyCiber. Tendo a plataforma entrado em funcionamento em 23 de junho de 2026, o prazo termina em 15 de setembro de 2026. Para as entidades que iniciem posteriormente a atividade, o CNCS indica o prazo de 30 dias úteis após o início da atividade.
O CNCS disponibiliza um simulador de enquadramento, mas o resultado é meramente informativo: não vincula a Administração nem dispensa a autoidentificação quando esta seja obrigatória.
Depois da autoidentificação, a entidade é notificada do projeto de decisão de qualificação e dispõe de 10 dias úteis para exercer o direito de audiência. A decisão final consolida o registo definitivo, identifica a qualificação e pode indicar o nível de conformidade e as medidas de cibersegurança aplicáveis. A qualificação pode ser alterada quando mudem as circunstâncias ou características da entidade.
As notificações administrativas são disponibilizadas na área reservada e acompanhadas de aviso para o endereço de correio eletrónico registado. Consideram-se efetuadas na data da consulta ou, se esta não ocorrer, no termo do terceiro dia após a receção. É, por isso, necessário monitorizar regularmente a conta e manter os contactos atualizados.
O registo deve incluir, entre outros elementos, o nome, NIF, endereço, contactos, endereços de correio eletrónico, gamas de endereços IP, setor e subsetor aplicáveis e Estados-Membros onde sejam prestados os serviços abrangidos. Determinados prestadores digitais devem comunicar também o estabelecimento principal e os restantes estabelecimentos na União ou, quando aplicável, o representante designado.
Em regra, as alterações aos dados registados devem ser comunicadas no prazo de 30 dias úteis. Para TLD, DNS, registo de domínios, cloud, centros de dados, CDN, MSP, MSSP, mercados em linha, motores de pesquisa e plataformas de redes sociais, a lei prevê o prazo específico de três meses.
O Regulamento n.º 756/2026 exige ainda a elaboração e comunicação de uma lista atualizada dos ativos diretamente acessíveis através da Internet, baseada no inventário de ativos. A lista inclui, quando aplicável, o serviço suportado, equipamento ou software, versão, sistema operativo, servidor aplicacional, endereço IP, FQDN, fabricante e dependências. A lista tem o grau de informação classificada «Reservado» e segue os prazos previstos no regulamento.
Os órgãos de gestão, direção e administração das entidades essenciais e importantes devem:
Os titulares destes órgãos podem responder, por ação ou omissão, quando atuem com dolo ou culpa grave. A responsabilidade e os poderes necessários ao cumprimento destas obrigações não podem ser delegados fora do próprio órgão, embora possam ser atribuídos a um dos seus titulares.
As entidades essenciais e importantes são responsáveis pela segurança das redes e sistemas de informação que utilizam nas suas operações. Devem adotar medidas técnicas, operacionais e organizativas adequadas para gerir os riscos e impedir ou minimizar o impacto dos incidentes nos destinatários dos seus serviços e noutros serviços.
A abordagem deve ser sistémica e abranger todos os riscos e todos os ativos que assegurem a continuidade das redes, sistemas e serviços essenciais, incluindo o ambiente físico. As medidas devem atender ao estado da técnica, às normas europeias e internacionais aplicáveis, aos custos e à viabilidade financeira e ser proporcionais à exposição ao risco, dimensão, probabilidade e gravidade dos incidentes e respetivo impacto social e económico.
O Regulamento n.º 756/2026 aprova o novo Quadro Nacional de Referência para a Cibersegurança, a matriz de risco e os níveis de conformidade básico, substancial e elevado. A qualificação setorial, a dimensão e a matriz de risco determinam as medidas mínimas aplicáveis. Quando coexistam vários níveis, prevalece o mais exigente.
As entidades essenciais e importantes devem realizar e documentar a análise dos riscos e dos riscos residuais sobre os ativos relevantes. O regulamento prevê uma análise pelo menos anual e sempre que a autoridade notifique um risco, ameaça ou vulnerabilidade emergente com elevada probabilidade de causar um incidente relevante, sem prejuízo da data de produção de efeitos das obrigações especificamente diferidas pelo decreto-lei.
As medidas previstas no artigo 27.º, cujos n.os 1 e 2 produzem efeitos em 22 de junho de 2028 por força do regime transitório, abrangem, designadamente:
As medidas mínimas não substituem a análise de riscos. Se subsistirem riscos que exijam controlos adicionais, a entidade deve adotar medidas adequadas e proporcionais. As falhas ou omissões detetadas devem ser corrigidas sem demora injustificada.
A avaliação da cadeia de abastecimento deve considerar as vulnerabilidades específicas de cada fornecedor ou prestador direto, a qualidade global dos produtos na componente de cibersegurança, as práticas de segurança e desenvolvimento seguro dos fornecedores, as avaliações coordenadas europeias de cadeias de abastecimento críticas e as decisões nacionais de restrição ou exclusão de equipamentos, componentes ou serviços de TIC.
Na prática, o cumprimento exige identificar fornecedores críticos, avaliar dependências e concentração, integrar requisitos de segurança nos contratos, definir deveres de notificação e cooperação, controlar a subcontratação, gerir vulnerabilidades e atualizações, estabelecer continuidade e saída e conservar prova das avaliações e decisões adotadas.
As entidades essenciais e importantes devem elaborar e manter um relatório anual com a descrição das principais atividades de segurança, estatísticas trimestrais dos incidentes, análise agregada dos incidentes de impacto significativo, recomendações de melhoria e problemas e medidas identificados.
Depois de a obrigação produzir efeitos, as entidades essenciais remetem o relatório anual à autoridade competente, assinado pelo responsável de cibersegurança, segundo os prazos do artigo 30.º. Em regra, os relatórios subsequentes são entregues até ao último dia útil de janeiro do ano seguinte ao período a que respeitam. As entidades importantes devem conservar o relatório e comunicá-lo ao CNCS quando solicitado.
As entidades essenciais e importantes devem designar um responsável de cibersegurança. Essa pessoa deve integrar os órgãos de gestão, direção ou administração ou responder-lhes organicamente e de forma direta.
Compete-lhe, pelo menos, propor as medidas de gestão dos riscos, informar o órgão responsável pela supervisão, apoiar o cumprimento das medidas de supervisão e execução, promover a cultura e a formação, assegurar a gestão dos riscos e o relatório anual e coordenar o ponto de contacto permanente quando não acumule essa função.
A designação deve ser comunicada à autoridade competente no prazo de 20 dias úteis a contar do início de funções. Para as entidades já em atividade, o Regulamento n.º 756/2026 determina que o prazo seja contado da notificação da respetiva qualificação. A substituição deve ser comunicada sem demora injustificada.
A função pode ser acumulada com outras funções na mesma entidade. Nos grupos empresariais pode existir um responsável comum, desde que cada empresa disponha de um elemento de contacto sob a sua coordenação.
As entidades essenciais e importantes devem comunicar pelo menos um ponto de contacto permanente, assegurado por uma pessoa ou equipa, com meios de contacto principais e alternativos.
A disponibilidade contínua de 24 horas por dia e sete dias por semana é exigida durante os períodos de ativação comunicados pela autoridade competente. O ponto recebe orientações, recomendações, instruções e ordens, assegura fluxos operacionais e técnicos e apoia a resposta a incidentes e a execução de planos de emergência.
A composição e os contactos devem ser comunicados no prazo de 20 dias úteis a contar do início de funções. Para entidades já em atividade, o Regulamento n.º 756/2026 conta o prazo desde a notificação da qualificação. Qualquer alteração deve ser comunicada imediatamente.
O CNCS pode exigir às entidades essenciais, importantes e públicas relevantes certificação nacional, europeia ou internacional que demonstre o cumprimento das medidas aplicáveis, bem como a utilização de produtos, serviços e processos de TIC certificados ao abrigo de sistemas nacionais ou europeus.
A decisão que imponha certificação deve ser fundamentada, estar sujeita a audiência dos interessados e fixar um prazo de adaptação não superior a 24 meses.
As entidades podem também apresentar voluntariamente certificações para beneficiar de uma presunção de cumprimento das medidas correspondentes. O Regulamento n.º 756/2026 refere, entre outros, o esquema de certificação do QNRCS e a ISO/IEC 27001 quando o âmbito abranja integralmente os sistemas e redes associados aos serviços abrangidos. Uma certificação não elimina obrigações que fiquem fora do respetivo âmbito nem impede a supervisão pela autoridade competente.
Os registos de TLD e as entidades que prestam serviços de registo de nomes de domínio devem recolher e manter dados exatos e completos numa base de dados própria. A informação abrange o nome de domínio, a data de registo e os contactos do titular e, quando diferente, da pessoa que administra o nome de domínio.
Devem existir políticas e procedimentos de verificação da exatidão e completude. Os dados que não sejam pessoais nem estejam protegidos por legislação aplicável devem ser acessíveis ao público.
Quem apresente um pedido devidamente fundamentado e preencha os requisitos legais tem direito a acesso gratuito a dados específicos, em conformidade com a legislação de proteção de dados. O pedido deve ser satisfeito no prazo de 72 horas.
O CERT.PT é a entidade coordenadora nacional da divulgação coordenada de vulnerabilidades. Atua como intermediário de confiança entre quem comunica a vulnerabilidade e o fabricante, fornecedor de produtos de TIC ou prestador de serviços de TIC, apoia os notificantes e pode negociar o calendário de divulgação.
Quando solicitado, o CERT.PT preserva o anonimato do notificante, sem prejuízo da Lei do Cibercrime. Os dados incluídos na comunicação devem ser eliminados no prazo de 10 dias após a correção da vulnerabilidade e mantidos confidenciais durante o procedimento.
O decreto-lei aditou à Lei do Cibercrime uma causa de não punibilidade para determinados factos suscetíveis de constituir acesso ilegítimo ou interceção ilegítima praticados no interesse público da cibersegurança. A proteção exige o cumprimento cumulativo de condições rigorosas: finalidade exclusiva de identificação e divulgação responsável, ausência de propósito de vantagem indevida, comunicação imediata ao proprietário ou gestor e, quando aplicável, ao titular dos dados protegidos, bem como à autoridade nacional de cibersegurança, atuação estritamente necessária e proporcional, inexistência de dano proibido e respeito pela proteção de dados.
Não são admitidas práticas como DoS ou DDoS, engenharia social, phishing, roubo de credenciais, alteração dolosa de dados, dano intencional ou instalação e distribuição de software malicioso. Esta disposição não constitui uma autorização geral para testar sistemas de terceiros.
As entidades essenciais, importantes e públicas relevantes devem notificar à autoridade de cibersegurança competente qualquer incidente significativo.
Um incidente é significativo quando cause ou possa causar graves perturbações operacionais ou perdas financeiras à entidade, ou quando afete ou possa afetar outras pessoas, causando danos materiais ou imateriais consideráveis. Devem ser considerados o número absoluto e relativo de utilizadores afetados, a duração, a gravidade da perturbação e a dimensão do impacto económico e social.
Para DNS, TLD, cloud, centros de dados, CDN, MSP, MSSP, mercados em linha, motores de pesquisa, plataformas de redes sociais e serviços de confiança abrangidos, aplicam-se também os critérios gerais e setoriais do Regulamento de Execução (UE) 2024/2690. Para as restantes entidades, os critérios gerais nacionais podem ser densificados por instrução técnica do CNCS.
Se o incidente for resolvido nas duas horas seguintes à deteção, é exigida apenas a notificação do fim do impacto significativo. As notificações são efetuadas através da MyCiber. Quando exista impossibilidade operacional temporária devidamente justificada ou indisponibilidade da plataforma, o Regulamento n.º 756/2026 admite, a título excecional, correio eletrónico ou telefone, devendo ser observados os procedimentos definidos pela autoridade competente.
A notificação ao abrigo deste regime não substitui outras comunicações legalmente exigidas, designadamente à CNPD em caso de violação de dados pessoais, às autoridades judiciárias ou policiais quando exista relevância criminal, ou às autoridades setoriais competentes.
As entidades abrangidas devem informar os destinatários dos seus serviços, sem demora injustificada, dos incidentes significativos suscetíveis de os afetar negativamente.
Devem também comunicar aos destinatários potencialmente afetados por uma ciberameaça significativa as medidas ou soluções que estes possam adotar e, quando apropriado, a própria ameaça. A informação deve ser gratuita e apresentada em linguagem facilmente compreensível.
Esta comunicação não dispensa a entidade de adotar, a expensas suas, medidas adequadas e imediatas para prevenir ou remediar a ameaça e repor o nível normal de segurança do serviço.
O CNCS é a autoridade nacional de cibersegurança, ponto de contacto único para a cooperação europeia e internacional e autoridade nacional de certificação da cibersegurança. Integra ainda a equipa nacional de resposta a incidentes.
O Gabinete Nacional de Segurança atua como autoridade nacional setorial relativamente aos serviços de confiança. A ANACOM é a autoridade nacional setorial para as comunicações eletrónicas e os serviços postais.
A ASF, a CMVM e o Banco de Portugal são autoridades nacionais especiais no domínio da resiliência operacional digital do setor financeiro. O regime não prejudica a aplicação do Regulamento (UE) 2022/2554, ou DORA. As entidades financeiras abrangidas por ambos os regimes devem observar as regras especiais de comunicação e cooperação previstas na legislação aplicável.
As entidades essenciais estão sujeitas a supervisão preventiva e reativa, incluindo inspeções presenciais ou remotas, controlos aleatórios, auditorias regulares, direcionadas ou ad hoc, verificações de segurança, pedidos de informação e acesso a dados e prova das políticas e procedimentos adotados.
As entidades importantes e públicas relevantes estão, em regra, sujeitas a supervisão ex post, quando existam provas, indícios ou informações de incumprimento. Os custos das auditorias direcionadas são suportados pela entidade auditada, salvo decisão contrária fundamentada da autoridade de cibersegurança competente.
A autoridade competente pode emitir advertências e ordens vinculativas, exigir medidas corretivas, informação aos destinatários, execução de recomendações de auditoria, designar temporariamente um supervisor, ordenar a publicitação da infração e aplicar coimas.
Perante incumprimento de uma entidade essencial, pode ainda suspender ou promover a suspensão de certificações, autorizações ou licenças relativas aos serviços ou atividades relevantes até à correção das deficiências. Estas medidas de suspensão não se aplicam às entidades públicas.
O regime permite também ordens de bloqueio ou redirecionamento de nomes de domínio ou endereços IP, na medida estritamente necessária para neutralizar determinados abusos, ciberameaças, ciberataques ou incidentes. Estas medidas são excecionais e fundamentadas, não podem exceder 60 dias e apenas podem ser renovadas por igual período quando uma avaliação fundamentada demonstre uma forte probabilidade de os ciberataques ou incidentes persistirem ou serem retomados.
Pode ser cobrada às entidades essenciais e importantes uma taxa pelos atos de supervisão, proporcional aos custos e assente em critérios objetivos e transparentes. O respetivo regime e montantes dependem de portaria dos membros do Governo responsáveis pelas finanças e pela cibersegurança.
Constituem contraordenações muito graves, entre outras, o incumprimento das medidas de cibersegurança, dos deveres relativos ao responsável de cibersegurança, ponto de contacto, certificação, registo de domínios, notificação de incidentes e comunicação aos destinatários.
Para pessoas coletivas, as contraordenações muito graves podem ser punidas:
As contraordenações graves têm limites inferiores, mas podem alcançar 5 milhões de euros ou 1 % do volume de negócios anual mundial nas entidades essenciais e 3,5 milhões de euros ou um montante máximo não inferior a 0,7 % nas entidades importantes. As contraordenações leves podem atingir 45 000 euros quando praticadas por pessoas coletivas.
A negligência é punível nas situações expressamente previstas, com redução a metade dos limites mínimo e máximo. Exceto em caso de dolo, a instauração do processo contraordenacional depende de advertência prévia para que a obrigação seja cumprida ou a proibição reintegrada em prazo razoável.
Em função da gravidade e da culpa, podem ser aplicadas sanções acessórias, incluindo publicação da decisão, proibição de participação em contratação pública, obrigação de formação ou de adoção de um plano de segurança, suspensão do serviço e interdição temporária de titulares dos órgãos de gestão. O atraso no cumprimento de uma decisão da autoridade pode ainda originar uma sanção pecuniária compulsória de 500 euros por dia para pessoas coletivas ou de 100 euros por dia para pessoas singulares. Os montantes diários podem aumentar por cada dia de incumprimento, mas a sanção não pode ultrapassar 30 dias.
O pagamento de uma coima não dispensa o cumprimento do dever omitido quando este ainda seja possível.
Até 3 de abril de 2027, as entidades essenciais, importantes e públicas relevantes podem solicitar, mediante pedido fundamentado, a dispensa de aplicação das coimas relativas às contraordenações muito graves e graves, quando demonstrem a inexistência de um procedimento interno de adaptação ao novo regime. Esta possibilidade não é automática, não elimina a obrigação de cumprir e não impede medidas de supervisão ou execução.
Uma entidade potencialmente abrangida deve, em termos gerais:
Os fornecedores que não sejam diretamente abrangidos podem continuar a ser afetados contratualmente. As entidades sujeitas ao regime têm de gerir o risco da cadeia de abastecimento e podem exigir aos seus fornecedores controlos, evidências, notificações, auditorias e condições de continuidade e segurança.
O Decreto-Lei n.º 125/2025 deve ser lido em conjunto com a Diretiva NIS2, com o Regulamento n.º 756/2026 do CNCS e, para os prestadores especificamente enumerados, com o Regulamento de Execução (UE) 2024/2690.
O Regulamento n.º 756/2026 concretiza a plataforma MyCiber, a autoidentificação e qualificação, as comunicações, o QNRCS, a matriz de risco, os níveis de conformidade, as medidas mínimas, a gestão dos riscos residuais, os incidentes e a lista de ativos acessíveis pela Internet.
O Regulamento de Execução (UE) 2024/2690 estabelece requisitos técnicos e metodológicos detalhados e critérios específicos de incidente significativo para DNS, TLD, cloud, centros de dados, CDN, MSP, MSSP, mercados em linha, motores de pesquisa, plataformas de redes sociais e serviços de confiança. Sendo um regulamento europeu, é diretamente aplicável às entidades que reúnam o respetivo âmbito.
As obrigações NIS2 coexistem ainda com outros regimes, incluindo o RGPD, a legislação das comunicações eletrónicas, o DORA, a resiliência das entidades críticas, a proteção de infraestruturas críticas, o cibercrime, o segredo de Estado e as regras setoriais aplicáveis.
Diário da República — Decreto-Lei n.º 125/2025, de 4 de dezembro
EUR-Lex — Diretiva (UE) 2022/2555 (Diretiva NIS2)
Diário da República — Regulamento n.º 756/2026, de 22 de junho
Centro Nacional de Cibersegurança — Plataforma MyCiber
Centro Nacional de Cibersegurança — Diretiva NIS2 e novo Regime Jurídico da Cibersegurança
EUR-Lex — Regulamento de Execução (UE) 2024/2690
EUR-Lex — Regulamento (UE) 2019/881 (Regulamento Cibersegurança)
Centro Nacional de Cibersegurança — Comunicação sobre os prazos da plataforma MyCiber
