A maioria dos gestores de PME ouviu falar da NIS2 como “aquela lei europeia de cibersegurança para as grandes empresas”. Metade dessa frase está errada. A NIS2 é de facto uma diretiva europeia, mas em Portugal já é lei nacional — o Decreto-Lei n.º 125/2025, em vigor desde 4 de maio de 2026 — e abrange muitas médias empresas e um número relevante de pequenas, diretamente ou através dos clientes a quem fornecem. Este artigo explica, sem jargão jurídico, quem está abrangido, o que tem de ser feito e até quando, e por onde uma PME deve começar. Para o detalhe completo e atualizado, temos a página NIS2 em Portugal: a sua empresa está abrangida?.
O que é a NIS2, em três frases
É o regime europeu que obriga as organizações de setores considerados críticos a gerir o risco de cibersegurança de forma demonstrável: saber o que têm, protegê-lo com medidas mínimas, comunicar incidentes e responder pelo cumprimento. Em Portugal chama-se Regime Jurídico da Cibersegurança e é fiscalizado pelo Centro Nacional de Cibersegurança (CNCS). A grande diferença para a versão anterior é a abrangência — muito mais setores e dimensões de empresa — e a responsabilização direta dos órgãos de gestão.
Quem está abrangido
Duas categorias: entidades essenciais (energia, transportes, banca, saúde, água, infraestrutura digital, administração pública, entre outras, sobretudo de média e grande dimensão) e entidades importantes (serviços postais, gestão de resíduos, químicos, alimentar, fabrico de vários tipos, serviços digitais, investigação, e as empresas dos setores essenciais de dimensão mais pequena). A regra geral de dimensão são 50 ou mais trabalhadores ou 10 milhões de euros de faturação, mas há exceções em que a dimensão não conta. E há um efeito indireto que apanha muitas PME: fornecedores de entidades abrangidas passam a ter de demonstrar as suas próprias medidas de segurança, porque a segurança da cadeia de fornecimento é uma das obrigações do cliente.
O ponto mais importante: ninguém o vem qualificar
O CNCS não vai enviar uma carta a dizer “a sua empresa está abrangida”. O ónus da autoavaliação é da organização: cada entidade tem de verificar se se enquadra, identificar-se e registar-se na plataforma MyCiber. Não se registar quando se devia é, por si só, uma contraordenação. É isto que torna a NIS2 diferente de quase todas as obrigações a que uma PME está habituada — não se espera pela notificação.
Os prazos que já estão a correr
- Meados de setembro de 2026: autoidentificação e registo no MyCiber, para as entidades já em atividade (60 dias úteis desde 23 de junho, data em que a plataforma abriu). Quem iniciou atividade depois tem 30 dias úteis.
- 20 dias após a qualificação: comunicar o responsável de cibersegurança e o ponto de contacto permanente.
- 31 de janeiro de 2027 (ou seis meses após a qualificação final): inventário de ativos — servidores, postos, equipamentos de rede, serviços cloud e acessos.
- Junho de 2028: medidas mínimas do nível atribuído implementadas e primeiro relatório anual entregue.
As medidas mínimas, traduzidas
O regime define níveis de medidas consoante a classificação da entidade, mas o núcleo é o mesmo que qualquer empresa bem gerida devia ter: inventário do que existe; políticas escritas de segurança; controlo de acessos e autenticação multifator; cifra de dados; segmentação de rede; cópias de segurança e plano de continuidade; gestão de vulnerabilidades e atualizações; monitorização e registo de eventos; procedimento de resposta e notificação de incidentes; segurança na cadeia de fornecimento; e formação — incluindo dos órgãos de gestão. Se leu os nossos artigos sobre MFA, Zero Trust para PME e as sete políticas internas, já conhece a maior parte.
As coimas e a responsabilidade da gestão
Até 10 milhões de euros ou 2% do volume de negócios mundial para entidades essenciais, e até 7 milhões ou 1,4% para entidades importantes. Mais relevante para uma PME do que o valor máximo é o princípio: o regime responsabiliza diretamente os órgãos de gestão pelo cumprimento. A cibersegurança deixa de ser um assunto “da informática” e passa a ser um assunto da administração — com aprovação das medidas, formação obrigatória e supervisão.
Por onde começar esta semana
- Verificar o enquadramento: setor, dimensão e clientes. Se há dúvida, a dúvida resolve-se agora, não em outubro.
- Registar no MyCiber se abrangido. É um ato da própria entidade — nós não o fazemos por si, mas ajudamos a reunir a informação.
- Fazer o inventário: é o documento exigido até janeiro de 2027 e o que quase nenhuma PME tem. A nossa checklist de auditoria ao parque informático é o ponto de partida.
- Fechar as três medidas com mais retorno: MFA em todos os acessos, cópias de segurança fora do edifício e testadas, firewall com gestão ativa.
- Nomear o responsável e envolver a gerência — a formação dos órgãos de gestão é uma obrigação, não uma sugestão.
E se não estiver abrangido?
Duas coisas. Primeira: confirme-o e guarde a análise, porque um cliente abrangido pode pedir-lhe prova. Segunda: as medidas mínimas são boas práticas independentemente da lei — a maioria dos ataques a PME portuguesas exploraria exatamente as falhas que a NIS2 obriga a corrigir. Fazer o essencial sem ser obrigado custa menos do que fazê-lo à pressa quando um cliente o exigir.
O que a DataRoad faz — e o que não faz
Não somos advogados e não fazemos o registo por si. O que fazemos é o que vem depois: o inventário de ativos, a implementação das medidas mínimas com prova documental (acessos, cifra, segmentação, backups, monitorização com registos guardados), o plano de resposta a incidentes e o acompanhamento anual, dentro do serviço de cibersegurança gerida. Para as entidades abrangidas, o primeiro passo é um diagnóstico escrito com o que tem, o que falta, prazos e custos — peça-o na página da NIS2.
Perguntas frequentes
Uma empresa com 30 pessoas pode estar abrangida?
Diretamente, só em casos específicos onde a dimensão não conta. Indiretamente, sim: se fornece serviços a entidades abrangidas, estas vão exigir prova das suas medidas de segurança.
O que acontece se não me registar até setembro?
A falta de registo é, por si só, uma contraordenação. Se está abrangido e não se registou, o conselho é registar-se de imediato e documentar a razão do atraso.
A NIS2 substitui o RGPD?
Não. São regimes diferentes: o RGPD protege dados pessoais; a NIS2 protege a continuidade e a segurança dos serviços. Muitas medidas coincidem, e cumprir uma ajuda a cumprir a outra.
Quanto custa cumprir a NIS2 numa PME?
Depende do que já existe. Empresas com MFA, backups testados e firewall gerida têm grande parte do trabalho feito; o custo concentra-se no inventário, na documentação e na monitorização com registos. Um diagnóstico dá um valor fechado.
Não sabe se a sua empresa está abrangida?
Fazemos o levantamento, dizemos-lhe por escrito o que tem, o que falta e até quando, e implementamos as medidas dentro do contrato. Veja a nossa página sobre a NIS2 em Portugal ou ligue 211 459 950.
