NIS2 explicada para PME: aplica-se à minha empresa e o que fazer já

8 min de leitura · DataRoad

A NIS2 explicada para PME resume-se a uma pergunta e a uma tarefa. A pergunta: a minha empresa está abrangida? A tarefa: se estiver, provar que tem medidas de cibersegurança adequadas — e saber notificar um incidente em 24 horas. Este guia responde às duas, em linguagem de gestão, com os números confirmados no texto da lei e no regulamento do Centro Nacional de Cibersegurança (CNCS).

Uma nota antes de começar: a DataRoad não presta consultoria jurídica. Implementamos as medidas técnicas. A qualificação da sua empresa deve ser validada com o seu jurista.

O que é a NIS2 e o que mudou em Portugal

A NIS2 é uma diretiva europeia que obriga empresas e entidades de setores importantes para a sociedade a gerir o risco de cibersegurança de forma estruturada. Em Portugal foi transposta pelo Decreto-Lei n.º 125/2025, publicado a 4 de dezembro de 2025, que criou o novo Regime Jurídico da Cibersegurança. O diploma entrou em vigor 120 dias após a publicação, em abril de 2026.

O CNCS publicou depois o Regulamento n.º 756/2026, de 22 de junho, que pôs o regime a funcionar e abriu a plataforma MyCiber a 23 de junho de 2026. Segundo o CNCS, citado pela agência Lusa, o novo regime deverá abranger cerca de seis mil entidades — contra cerca de 450 no regime anterior.

Aplica-se à minha empresa? 6 perguntas

Se responder “sim” a qualquer uma das três primeiras, é provável que esteja abrangido — e a decisão deve ser formalizada com apoio jurídico.

1. O seu setor está nos anexos da lei? Incluem, entre outros, energia, transportes, banca, saúde, água, infraestruturas digitais, gestão de serviços de TIC, administração pública, serviços postais, resíduos, químicos, alimentar, indústria transformadora e investigação.
2. A sua empresa é média ou grande? Pela definição europeia, deixa de ser pequena empresa quem tem 50 ou mais trabalhadores, ou volume de negócios e balanço anuais ambos acima de 10 milhões de euros.
3. Presta algum serviço abrangido independentemente da dimensão? Por exemplo, comunicações eletrónicas, serviços de confiança, serviços de DNS, ou ser o único prestador de um serviço essencial.
4. Pertence a um grupo? Na definição europeia de PME, uma empresa ligada a um grupo pode ter de somar os trabalhadores e os valores do grupo. Uma empresa “pequena” pode, assim, contar como média.
5. É fornecedor de uma entidade abrangida? Mesmo que não esteja abrangido, os seus clientes estão obrigados a gerir o risco dos fornecedores. Vai receber questionários, cláusulas contratuais e pedidos de evidências.
6. Já fez a autoavaliação na MyCiber? A responsabilidade de se identificar é da empresa, não do CNCS. Se está abrangido e ainda não o fez, trate disso de imediato, com o seu jurista.

Os prazos que contam

As medidas mínimas estão organizadas em três níveis, atribuídos conforme o risco da entidade: básico (39 medidas), substancial (75) e elevado (91).

Incidentes: o relógio das 24 horas

É a obrigação que mais exige preparação técnica. Perante um incidente com impacto significativo, a lei (artigos 42.º a 44.º) define:

• Até 24 horas após a verificação: notificação inicial.
• Até 72 horas, quando necessário: atualização com a avaliação inicial da gravidade e do impacto.
• Até 24 horas após o fim do impacto significativo: notificação de fim de impacto.
• 30 dias úteis após essa notificação: relatório final.

Notificar em 24 horas só é possível se alguém der pelo incidente a tempo. Isso exige monitorização, registos (logs) guardados e um procedimento escrito que diga quem decide e quem comunica. Um incidente detetado na segunda-feira de manhã, depois de um fim de semana sem vigilância, já começa atrasado. É por isso que, em empresas abrangidas, recomendamos o IT Unlimited Premium 365, o único plano com cobertura a noites, fins de semana e feriados.

Coimas e responsabilidade da gestão

Mais importante do que o valor máximo: a lei coloca a responsabilidade nos órgãos de gestão. São eles que aprovam e supervisionam as medidas de cibersegurança e promovem formação regular — e esta responsabilidade não é livremente delegável. A formação abrange os titulares dos órgãos de gestão e os trabalhadores. A NIS2 deixou de ser um tema “do informático”.

O que fazer amanhã: as medidas técnicas

Esta é a parte em que a DataRoad entra. Independentemente do nível atribuído, há medidas que aparecem sempre — e que qualquer empresa com mais de 10 postos deveria ter, abrangida ou não:

1. Inventário de ativos: servidores, computadores, rede, serviços cloud e acessos. Comece pela nossa checklist de auditoria ao parque informático.
2. Controlo de acessos com MFA em email, cloud e acesso remoto. Veja como em autenticação multifator na empresa.
3. Backups fora do local e testados, com tempos de recuperação definidos — ver soluções de backup.
4. Firewall gerida e segmentação da rede.
5. Proteção de endpoints e gestão de atualizações.
6. Políticas escritas e formação com registo de presenças — temos um ponto de partida em 7 políticas internas de cibersegurança.
7. Procedimento de resposta a incidentes, com responsáveis definidos e simulações.

Cada medida tem de ficar documentada. Na NIS2, não chega estar seguro: é preciso conseguir demonstrá-lo. O detalhe do nosso serviço está na página NIS2 — implementação técnica.

Um caso real: segurança gerida num parque de 350 postos

A Ventask é cliente da DataRoad desde 2016 e tem mais de 350 postos de trabalho em IT Unlimited. A DataRoad gere toda a área de networking, administra e mantém as firewalls corporativas, implementa e gere a proteção de endpoints, as soluções de trabalho remoto seguro e a rede wireless — com monitorização e alarmística proativa no plano Premium 365.

São as camadas técnicas que a NIS2 pede — perímetro, endpoints, acessos remotos e vigilância contínua — num único contrato. Leia o caso Ventask.

Perguntas frequentes

A NIS2 aplica-se a empresas com menos de 50 trabalhadores?

Em regra, não, salvo se o volume de negócios e o balanço ultrapassarem ambos 10 milhões de euros, se a empresa pertencer a um grupo que a faça contar como média, ou se prestar um serviço abrangido independentemente da dimensão. Mesmo fora do âmbito, pode ser afetada como fornecedor de entidades abrangidas.

Quais são os prazos para notificar um incidente?

Notificação inicial até 24 horas após a verificação de um incidente significativo, atualização até 72 horas quando necessário, notificação de fim de impacto até 24 horas depois de este terminar e relatório final em 30 dias úteis.

Qual é o valor máximo das coimas?

Para entidades essenciais, até 10 milhões de euros ou 2% do volume de negócios anual mundial; para entidades importantes, até 7 milhões de euros ou 1,4%, aplicando-se o valor mais elevado.

A DataRoad faz o registo na MyCiber pela minha empresa?

Não. A autoidentificação e o registo são atos da própria entidade, e a qualificação deve ser validada juridicamente. A DataRoad prepara a informação técnica necessária e implementa as medidas de segurança exigidas.

Diagnóstico técnico NIS2 em 10 dias úteis

Avaliamos a sua infraestrutura face às medidas técnicas da NIS2 e entregamos um documento escrito com as lacunas, a urgência de cada uma e o custo de as resolver. Para empresas com mais de 10 postos · contrato de assistência · suporte remoto, local e telefónico. Explore também os nossos serviços de cibersegurança para empresas.

Fontes

• Decreto-Lei n.º 125/2025, de 4 de dezembro — Diário da República: diariodarepublica.pt (texto integral também em EUR-Lex)
• Regulamento n.º 756/2026, de 22 de junho (CNCS) — Diário da República: diariodarepublica.pt
• Plataforma MyCiber (CNCS): myciber.gov.pt
• Comissão Europeia — Definição de PME: ec.europa.eu
• ECO/Lusa — Entidades têm 60 dias úteis para se registarem na MyCiber (24 de junho de 2026): eco.sapo.pt