NIS2 en Portugal: ¿está incluida su empresa?

¿Qué tiene que hacer y hasta cuándo?

• Ya en vigorMarco jurídico de la ciberseguridadEl Decreto-Ley n.º 125/2025, de 4 de diciembre, entró en vigor el 4 de mayo de 2026. El Reglamento n.º 756/2026, de 22 de junio, lo hizo aplicable.
• ~15 de septiembre de 2026Autoidentificación y registro en MyCiber60 días laborables a partir del 23 de junio, fecha en la que se puso en marcha la plataforma del CNCS. Quienes hayan iniciado su actividad después disponen de 30 días laborables. El incumplimiento de este plazo constituye, por sí solo, una infracción.
• 20 días después de la clasificaciónResponsable de ciberseguridad y persona de contactoUna vez que el CNCS confirme la clasificación de la entidad, hay que comunicar quién es el responsable de la ciberseguridad y quién es la persona de contacto permanente.
• 31 de enero de 2027Inventario de activosSeis meses después de la notificación de la clasificación definitiva, lo que ocurra primero.
• Junio de 2028Requisitos mínimos e informe anualDos años para aplicar las medidas de seguridad del nivel asignado y presentar el primer informe.

Las multas ascienden a 10 millones de euros o el 21 % del volumen de negocio mundial del tercer trimestre para entidades esenciales, y a 7 millones o el 1,41 TP3T para entidades importantes. El régimen responsabiliza directamente a los órganos de dirección.

Lo que hace DataRoad — y lo que no hace

No somos abogados y no nos encargamos del registro por ti: la autoevaluación y el envío a través de MyCiber son trámites que debe realizar la propia entidad. Lo que hacemos es todo lo que viene después, que es donde está el verdadero trabajo.

• Inventario de activosInventario de servidores, puestos de trabajo, equipos de red, servicios en la nube y accesos: el documento que el régimen exige para enero de 2027 y que casi nadie tiene preparado.
• Medidas mínimas del nivel asignadoImplantación y pruebas documentales: control de accesos, cifrado, segmentación de la red, cortafuegos, protección de terminales, copias de seguridad comprobadas y gestión de actualizaciones.
• Detección y registroMonitorización 24/7 con registros archivados. Sin esto, es imposible cumplir con el plazo de notificación de 24 horas, porque ni siquiera se sabe que se ha producido un incidente.
• Gestión de incidentesProcedimiento por escrito, responsables designados y simulacro. Cuando ocurre, el reloj de las 24 horas ya está en marcha.
• Continuidad y recuperaciónCopias verificadas y plazos de recuperación definidos — no la promesa de que existen copias en algún lugar.
• Formación del equipo y de la direcciónEl régimen responsabiliza a los órganos de dirección. Sesiones breves y simulacros de phishing, con registro de los participantes.

Preguntas frecuentes sobre la NIS2

Esta página tiene carácter informativo y no constituye asesoramiento jurídico. La clasificación de su entidad se determina mediante la autoevaluación realizada en la plataforma MyCiber del CNCS.