{"id":32440,"date":"2026-09-09T16:49:56","date_gmt":"2026-09-09T16:49:56","guid":{"rendered":"https:\/\/www.dataroad.pt\/servicos-it\/nis2-explicada-para-pme\/"},"modified":"2026-09-09T16:49:56","modified_gmt":"2026-09-09T16:49:56","slug":"nis2-explicada-para-pme","status":"publish","type":"post","link":"https:\/\/www.dataroad.pt\/es\/manutencao-informatica\/nis2-explicada-para-pme\/","title":{"rendered":"NIS2 explicada para PME: quem est\u00e1 abrangido, o que muda e por onde come\u00e7ar"},"content":{"rendered":"

A maioria dos gestores de PME ouviu falar da NIS2 como “aquela lei europeia de ciberseguran\u00e7a para as grandes empresas”. Metade dessa frase est\u00e1 errada. A NIS2 \u00e9 de facto uma diretiva europeia, mas em Portugal j\u00e1 \u00e9 lei nacional \u2014 o Decreto-Lei n.\u00ba 125\/2025, em vigor desde 4 de maio de 2026 \u2014 e abrange muitas m\u00e9dias empresas e um n\u00famero relevante de pequenas, diretamente ou atrav\u00e9s dos clientes a quem fornecem. Este artigo explica, sem jarg\u00e3o jur\u00eddico, quem est\u00e1 abrangido, o que tem de ser feito e at\u00e9 quando, e por onde uma PME deve come\u00e7ar. Para o detalhe completo e atualizado, temos a p\u00e1gina NIS2 em Portugal: a sua empresa est\u00e1 abrangida?<\/a>.<\/p>\n

O que \u00e9 a NIS2, em tr\u00eas frases<\/h2>\n

\u00c9 o regime europeu que obriga as organiza\u00e7\u00f5es de setores considerados cr\u00edticos a gerir o risco de ciberseguran\u00e7a de forma demonstr\u00e1vel: saber o que t\u00eam, proteg\u00ea-lo com medidas m\u00ednimas, comunicar incidentes e responder pelo cumprimento. Em Portugal chama-se Regime Jur\u00eddico da Ciberseguran\u00e7a e \u00e9 fiscalizado pelo Centro Nacional de Ciberseguran\u00e7a (CNCS). A grande diferen\u00e7a para a vers\u00e3o anterior \u00e9 a abrang\u00eancia \u2014 muito mais setores e dimens\u00f5es de empresa \u2014 e a responsabiliza\u00e7\u00e3o direta dos \u00f3rg\u00e3os de gest\u00e3o.<\/p>\n

Quem est\u00e1 abrangido<\/h2>\n

Duas categorias: entidades essenciais<\/strong> (energia, transportes, banca, sa\u00fade, \u00e1gua, infraestrutura digital, administra\u00e7\u00e3o p\u00fablica, entre outras, sobretudo de m\u00e9dia e grande dimens\u00e3o) e entidades importantes<\/strong> (servi\u00e7os postais, gest\u00e3o de res\u00edduos, qu\u00edmicos, alimentar, fabrico de v\u00e1rios tipos, servi\u00e7os digitais, investiga\u00e7\u00e3o, e as empresas dos setores essenciais de dimens\u00e3o mais pequena). A regra geral de dimens\u00e3o s\u00e3o 50 ou mais trabalhadores ou 10 milh\u00f5es de euros de fatura\u00e7\u00e3o, mas h\u00e1 exce\u00e7\u00f5es em que a dimens\u00e3o n\u00e3o conta. E h\u00e1 um efeito indireto que apanha muitas PME: fornecedores de entidades abrangidas<\/strong> passam a ter de demonstrar as suas pr\u00f3prias medidas de seguran\u00e7a, porque a seguran\u00e7a da cadeia de fornecimento \u00e9 uma das obriga\u00e7\u00f5es do cliente.<\/p>\n

O ponto mais importante: ningu\u00e9m o vem qualificar<\/h2>\n

O CNCS n\u00e3o vai enviar uma carta a dizer “a sua empresa est\u00e1 abrangida”. O \u00f3nus da autoavalia\u00e7\u00e3o \u00e9 da organiza\u00e7\u00e3o: cada entidade tem de verificar se se enquadra, identificar-se e registar-se na plataforma MyCiber. N\u00e3o se registar quando se devia \u00e9, por si s\u00f3, uma contraordena\u00e7\u00e3o. \u00c9 isto que torna a NIS2 diferente de quase todas as obriga\u00e7\u00f5es a que uma PME est\u00e1 habituada \u2014 n\u00e3o se espera pela notifica\u00e7\u00e3o.<\/p>\n

Os prazos que j\u00e1 est\u00e3o a correr<\/h2>\n
    \n
  • Meados de setembro de 2026<\/strong>: autoidentifica\u00e7\u00e3o e registo no MyCiber, para as entidades j\u00e1 em atividade (60 dias \u00fateis desde 23 de junho, data em que a plataforma abriu). Quem iniciou atividade depois tem 30 dias \u00fateis.<\/li>\n
  • 20 dias ap\u00f3s a qualifica\u00e7\u00e3o<\/strong>: comunicar o respons\u00e1vel de ciberseguran\u00e7a e o ponto de contacto permanente.<\/li>\n
  • 31 de janeiro de 2027<\/strong> (ou seis meses ap\u00f3s a qualifica\u00e7\u00e3o final): invent\u00e1rio de ativos \u2014 servidores, postos, equipamentos de rede, servi\u00e7os cloud e acessos.<\/li>\n
  • Junho de 2028<\/strong>: medidas m\u00ednimas do n\u00edvel atribu\u00eddo implementadas e primeiro relat\u00f3rio anual entregue.<\/li>\n<\/ul>\n

    As medidas m\u00ednimas, traduzidas<\/h2>\n

    O regime define n\u00edveis de medidas consoante a classifica\u00e7\u00e3o da entidade, mas o n\u00facleo \u00e9 o mesmo que qualquer empresa bem gerida devia ter: invent\u00e1rio do que existe; pol\u00edticas escritas de seguran\u00e7a; controlo de acessos e autentica\u00e7\u00e3o multifator; cifra de dados; segmenta\u00e7\u00e3o de rede; c\u00f3pias de seguran\u00e7a e plano de continuidade; gest\u00e3o de vulnerabilidades e atualiza\u00e7\u00f5es; monitoriza\u00e7\u00e3o e registo de eventos; procedimento de resposta e notifica\u00e7\u00e3o de incidentes; seguran\u00e7a na cadeia de fornecimento; e forma\u00e7\u00e3o \u2014 incluindo dos \u00f3rg\u00e3os de gest\u00e3o. Se leu os nossos artigos sobre MFA<\/a>, Zero Trust para PME<\/a> e as sete pol\u00edticas internas<\/a>, j\u00e1 conhece a maior parte.<\/p>\n

    As coimas e a responsabilidade da gest\u00e3o<\/h2>\n

    At\u00e9 10 milh\u00f5es de euros ou 2% do volume de neg\u00f3cios mundial para entidades essenciais, e at\u00e9 7 milh\u00f5es ou 1,4% para entidades importantes. Mais relevante para uma PME do que o valor m\u00e1ximo \u00e9 o princ\u00edpio: o regime responsabiliza diretamente os \u00f3rg\u00e3os de gest\u00e3o pelo cumprimento. A ciberseguran\u00e7a deixa de ser um assunto “da inform\u00e1tica” e passa a ser um assunto da administra\u00e7\u00e3o \u2014 com aprova\u00e7\u00e3o das medidas, forma\u00e7\u00e3o obrigat\u00f3ria e supervis\u00e3o.<\/p>\n

    Por onde come\u00e7ar esta semana<\/h2>\n
      \n
    • Verificar o enquadramento<\/strong>: setor, dimens\u00e3o e clientes. Se h\u00e1 d\u00favida, a d\u00favida resolve-se agora, n\u00e3o em outubro.<\/li>\n
    • Registar no MyCiber<\/strong> se abrangido. \u00c9 um ato da pr\u00f3pria entidade \u2014 n\u00f3s n\u00e3o o fazemos por si, mas ajudamos a reunir a informa\u00e7\u00e3o.<\/li>\n
    • Fazer o invent\u00e1rio<\/strong>: \u00e9 o documento exigido at\u00e9 janeiro de 2027 e o que quase nenhuma PME tem. A nossa checklist de auditoria ao parque inform\u00e1tico<\/a> \u00e9 o ponto de partida.<\/li>\n
    • Fechar as tr\u00eas medidas com mais retorno<\/strong>: MFA em todos os acessos, c\u00f3pias de seguran\u00e7a fora do edif\u00edcio e testadas, firewall com gest\u00e3o ativa.<\/li>\n
    • Nomear o respons\u00e1vel<\/strong> e envolver a ger\u00eancia \u2014 a forma\u00e7\u00e3o dos \u00f3rg\u00e3os de gest\u00e3o \u00e9 uma obriga\u00e7\u00e3o, n\u00e3o uma sugest\u00e3o.<\/li>\n<\/ul>\n

      E se n\u00e3o estiver abrangido?<\/h2>\n

      Duas coisas. Primeira: confirme-o e guarde a an\u00e1lise, porque um cliente abrangido pode pedir-lhe prova. Segunda: as medidas m\u00ednimas s\u00e3o boas pr\u00e1ticas independentemente da lei \u2014 a maioria dos ataques a PME portuguesas exploraria exatamente as falhas que a NIS2 obriga a corrigir. Fazer o essencial sem ser obrigado custa menos do que faz\u00ea-lo \u00e0 pressa quando um cliente o exigir.<\/p>\n

      O que a DataRoad faz \u2014 e o que n\u00e3o faz<\/h2>\n

      N\u00e3o somos advogados e n\u00e3o fazemos o registo por si. O que fazemos \u00e9 o que vem depois: o invent\u00e1rio de ativos, a implementa\u00e7\u00e3o das medidas m\u00ednimas com prova documental (acessos, cifra, segmenta\u00e7\u00e3o, backups, monitoriza\u00e7\u00e3o com registos guardados), o plano de resposta a incidentes e o acompanhamento anual, dentro do servi\u00e7o de ciberseguran\u00e7a gerida<\/a>. Para as entidades abrangidas, o primeiro passo \u00e9 um diagn\u00f3stico escrito com o que tem, o que falta, prazos e custos \u2014 pe\u00e7a-o na p\u00e1gina da NIS2<\/a>.<\/p>\n

      Perguntas frequentes<\/h2>\n

      Uma empresa com 30 pessoas pode estar abrangida?<\/h3>\n

      Diretamente, s\u00f3 em casos espec\u00edficos onde a dimens\u00e3o n\u00e3o conta. Indiretamente, sim: se fornece servi\u00e7os a entidades abrangidas, estas v\u00e3o exigir prova das suas medidas de seguran\u00e7a.<\/p>\n

      O que acontece se n\u00e3o me registar at\u00e9 setembro?<\/h3>\n

      A falta de registo \u00e9, por si s\u00f3, uma contraordena\u00e7\u00e3o. Se est\u00e1 abrangido e n\u00e3o se registou, o conselho \u00e9 registar-se de imediato e documentar a raz\u00e3o do atraso.<\/p>\n

      A NIS2 substitui o RGPD?<\/h3>\n

      N\u00e3o. S\u00e3o regimes diferentes: o RGPD protege dados pessoais; a NIS2 protege a continuidade e a seguran\u00e7a dos servi\u00e7os. Muitas medidas coincidem, e cumprir uma ajuda a cumprir a outra.<\/p>\n

      Quanto custa cumprir a NIS2 numa PME?<\/h3>\n

      Depende do que j\u00e1 existe. Empresas com MFA, backups testados e firewall gerida t\u00eam grande parte do trabalho feito; o custo concentra-se no invent\u00e1rio, na documenta\u00e7\u00e3o e na monitoriza\u00e7\u00e3o com registos. Um diagn\u00f3stico d\u00e1 um valor fechado.<\/p>\n

      N\u00e3o sabe se a sua empresa est\u00e1 abrangida?<\/h2>\n

      Fazemos o levantamento, dizemos-lhe por escrito o que tem, o que falta e at\u00e9 quando, e implementamos as medidas dentro do contrato. Veja a nossa p\u00e1gina sobre a NIS2 em Portugal<\/strong><\/a> ou ligue 211 459 950.<\/p>\n