DataRoad · IT-Dienstleistungen und Beratung
NIS2 in Portugal
Wer ist betroffen?
Die Registrierung bei MyCiber ist befristet – sie endet Mitte September 2026.
Das Gesetzesdekret 125/2025 ist in Kraft getreten, die Bußgelder betragen bis zu 10 Millionen Euro und die Geschäftsleitung haftet unmittelbar. Erfahren Sie, wer davon betroffen ist, was zu tun ist und bis wann.
NIS2-Bestandsaufnahme anfordern
60 Werktage im MyCiber seit dem 23. Juni 2026.
Oder 2% des weltweiten Umsatzes für systemrelevante Unternehmen.
Das Regime macht die Leitungsorgane direkt verantwortlich.
NIS2 in Portugal: Fällt Ihr Unternehmen darunter?
Das Gesetzesdekret Nr. 125/2025 ist seit dem 4. Mai 2026 in Kraft, die Plattform „MyCiber“ des CNCS ist seit dem 23. Juni zugänglich. Bereits tätige Einrichtungen haben 60 Werktage, sich zu identifizieren und zu registrieren – die Frist endet Mitte September 2026. Die Versäumnis der Registrierung stellt an sich bereits eine Ordnungswidrigkeit dar.
Was Sie tun müssen – und bis wann
- Bereits in KraftCybersicherheitsgesetzDas Gesetzesdekret Nr. 125/2025 vom 4. Dezember trat am 4. Mai 2026 in Kraft. Die Verordnung Nr. 756/2026 vom 22. Juni regelt die Umsetzung.
- ~15. September 2026Anmeldung und Registrierung bei MyCiber60 Werktage ab dem 23. Juni, dem Tag, an dem die CNCS-Plattform verfügbar wurde. Wer die Tätigkeit später aufgenommen hat, hat 30 Werktage Zeit. Das Versäumen dieser Frist stellt an sich bereits eine Ordnungswidrigkeit dar.
- 20 Tage nach der EinstufungCybersicherheitsbeauftragter und AnsprechpartnerSobald die CNCS die Einstufung der Einrichtung bestätigt hat, müssen der Verantwortliche für Cybersicherheit und eine ständige Kontaktstelle gemeldet werden.
- 31. Januar 2027Bestandsverzeichnis der VermögenswerteOder sechs Monate nach der endgültigen Einstufungsmitteilung, je nachdem, was zuerst eintritt.
- Juni 2028Mindestmaßnahmen und JahresberichtZwei Jahre, um die Sicherheitsmaßnahmen der zugewiesenen Stufe umzusetzen und den ersten Bericht einzureichen.
Die Bußgelder belaufen sich auf 10 Millionen Euro oder 2 % des weltweiten Umsatzes für wesentliche Einrichtungen und 7 Millionen oder 1,4 % für wichtige Einrichtungen. Das Gesetz verpflichtet die Leitungsorgane unmittelbar.
Was DataRoad kann – und was nicht
Wir sind keine Rechtsanwälte und übernehmen die Registrierung nicht für Sie: Die Selbstbewertung und die Einreichung bei MyCiber sind Aufgaben der Einrichtung selbst. Wir kümmern uns um alles, was danach kommt – darin liegt die eigentliche Arbeit.
- Bestandsverzeichnis der VermögenswerteErfassung von Servern, Arbeitsplätzen, Netzwerktechnik, Cloud-Diensten und Zugängen – das Dokument, das bis Januar 2027 vorgelegt werden muss und das fast niemand vorbereitet hat.
- Mindestmaßnahmen der zugewiesenen StufeUmsetzung und dokumentierter Nachweis: Zugriffskontrolle, Verschlüsselung, Netzwerksegmentierung, Firewall, Endgeräteschutz, getestete Sicherungen und Patch-Management.
- Erkennung und ProtokollierungRund-um-die-Uhr-Überwachung mit gespeicherten Protokollen. Ohne diese ist die 24-Stunden-Meldepflicht nicht einzuhalten, da der Vorfall gar nicht auffällt.
- Reaktion auf VorfälleEin schriftliches Verfahren, benannte Verantwortliche und eine Übung. Wenn es passiert, läuft die 24-Stunden-Uhr bereits.
- Fortführung und WiederherstellungGetestete Sicherungen und festgelegte Wiederherstellungszeiten – nicht das Versprechen, dass irgendwo Kopien vorhanden sind.
- Schulung des Teams und der LeitungDas Gesetz verpflichtet die Leitungsorgane. Kurze Sitzungen und Phishing-Simulationen mit Nachweis der Teilnehmer.
Häufig gestellte Fragen zu NIS2
Fällt mein Unternehmen unter NIS2?
In der Regel fallen mittlere und große Einrichtungen der im Gesetz aufgeführten Sektoren darunter – Energie, Verkehr, Bankwesen, Gesundheitswesen, Wasserversorgung, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung, Post, Abfallwirtschaft, Chemie, Lebensmittelindustrie, Fertigung und Forschung, unter anderem. Es gibt Fälle, in denen die Größe keine Rolle spielt und die Einrichtung dennoch erfasst ist. Die offizielle Feststellung erfolgt über die Selbstbewertung auf der Plattform MyCiber, und die Last dieser Bewertung trägt die Organisation selbst – nicht das CNCS.
Und was ist, wenn mein Unternehmen nicht erfasst ist?
Es ist dennoch betroffen, und zwar über die Lieferkette. Betroffene Einrichtungen müssen das Risiko ihrer Lieferanten steuern, was Sicherheitsfragebögen, vertragliche Anforderungen und zunehmend dokumentierte Nachweise bedeutet. Wer an Krankenhäuser, Banken, Energieversorger, die öffentliche Verwaltung oder die Industrie verkauft, wird NIS2 auf Kundenseite zu spüren bekommen.
Wie hoch sind die Bußgelder?
Für wesentliche Einrichtungen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 %. Darüber hinaus sieht das Gesetz eine unmittelbare Haftung der Leitungsorgane vor.
Wie schnell muss ich einen Vorfall melden?
Frühwarnung innerhalb von 24 Stunden, Meldung mit Bewertung innerhalb von 72 Stunden und Abschlussbericht innerhalb von 30 Tagen. In der Praxis setzt dies die Erkennung und Protokollierung voraus – ohne Überwachung lassen sich 24 Stunden nicht einhalten, da der Vorfall gar nicht bemerkt wird.
Welche technischen Maßnahmen werden verlangt?
Das Gesetz definiert drei Stufen – grundlegend, wesentlich und hoch – mit 39, 75 bzw. 91 Maßnahmen, die entsprechend dem Risikoprofil der Einrichtung zugeordnet werden. Die Methodik stützt sich auf den portugiesischen nationalen Referenzrahmen für Cybersicherheit, der auf NIST CSF 2.0 abgestimmt ist.
Übernimmt DataRoad die Registrierung für uns?
Die Registrierung und Selbstbewertung erfolgen durch die Einrichtung selbst; niemand kann dies an Ihrer Stelle übernehmen – wir begleiten Sie und bereiten die Informationen auf, die Einreichung bleibt jedoch Ihre Aufgabe. Wir übernehmen vollständig die technische Seite: Bestandsverzeichnis, Sicherheitsmaßnahmen, Überwachung, Protokollierung und die Fähigkeit, fristgerecht auf einen Vorfall zu reagieren.
Diese Seite dient der Information und stellt keine Rechtsberatung dar. Die Einstufung Ihrer Einrichtung ergibt sich aus der Selbstbewertung auf der Plattform. MyCiber des CNCS.
Neueste Nachrichten
Unsere Projekte
Wie wir Unternehmen helfen, NIS2 fristgerecht umzusetzen.
NIS2-Konformität ohne Komplikationen Diagnostik, Plan und Begleitung zur Einhaltung des Gesetzesdekrets 125/2025 fristgerecht – ohne Überraschungen.
Siehe auch: Managed Cybersecurity für Unternehmen · Verwaltete Firewalls · Managed Backup · Notfallwiederherstellung und Geschäftskontinuität · 24×7-Überwachung und NOC · Cybersicherheits-Checkliste für KMU
24 contratos públicos: RTP, Instituto Superior Técnico, Faculdade de Medicina de Lisboa e SSAP escolhem a DataRoad para suporte informático e gestão e instalação de redes informáticas
RTP, Instituto Superior Técnico, Faculdade de Medicina de Lisboa, ANQEP, SSAP e três autarquias: 24 contratos públicos desde 2017 em suporte informático, redes informáticas e redes wireless.
Serviços Sociais da Administração Pública voltam a escolher a DataRoad para instalação de uma rede wireless business com 14 pontos de acesso num edifício em Lisboa
Os SSAP voltam a confiar na DataRoad: 14 pontos de acesso wireless, bastidor, firewall e gestão da rede com alarmística, depois de vários projetos de rede em Lisboa, Évora, Aljubarrota e São Pedro do Sul.
France Affiches em Paris escolhe a DataRoad para auditoria de IT e consultadoria informática em 2 localizações em Paris
A France Affiches escolheu a DataRoad para uma auditoria de IT completa à rede e aos sistemas. O trabalho é feito em Paris, na sede do grupo.
Botschaften, internationale Organisationen und renommierte Unternehmen wählen DataRoad in Portugal
Botschaft von Korea, Brasilianisches Konsulat, DCIAP, Mitrelli Group, Harlan & Poston, ReStream, Forward College, beQom – die Projekte, die DataRoad zum IT-Partner internationaler Organisationen in Portugal machen.
Einige der Unternehmen, die DataRoad ihre Infrastruktur anvertrauen, Branchen, in denen ein Ausfall viel mehr kostet als der IT-Support
Projekte und Erfolgsgeschichten von DataRoad
Artikel und Nachrichten aus dem DataRoad-Blog
- Ventask: IT Unlimited für 350 Arbeitsplätze, Firewalls und Switches
- Velv by OnRising wählt DataRoad: IT-Unlimited-Vertrag für 90 Arbeitsplätze, Firewall und WLAN-Netzwerk (2023)
- Backup und Notfallwiederherstellung: Was KMU wissen müssen
- FreshDesign: Firewall, SSL-VPN und Internet-Redundanz
- IP-Videoüberwachung für Unternehmen: Projekt, Netzwerk und Verpflichtungen
- Harland & Poston: Netzwerk, Firewall und WLAN an der Av. da Liberdade