DataRoad · Serviços e Consultoria IT
NIS2 em Portugal
Quem está abrangido?
O registo no MyCiber tem prazo, e termina em meados de setembro de 2026.
O Decreto-Lei n.º 125/2025 está em vigor, as coimas chegam a 10 milhões de euros e o regime responsabiliza diretamente os órgãos de gestão. Veja quem está abrangido, o que tem de fazer e até quando.
Pedir diagnóstico NIS2
60 dias úteis no MyCiber desde 23 de junho de 2026.
Ou 2% do volume de negócios mundial, para entidades essenciais.
O regime responsabiliza diretamente os órgãos de gestão.
NIS2 em Portugal: a sua empresa está abrangida?
O Decreto-Lei n.º 125/2025 está em vigor desde 4 de maio de 2026 e a plataforma MyCiber do CNCS abriu a 23 de junho. As entidades já em atividade têm 60 dias úteis para se identificarem e registarem — o prazo termina em meados de setembro de 2026. Não se registar é, por si só, uma contraordenação.
O que tem de fazer, e até quando
- Já em vigorRegime Jurídico da CibersegurançaO Decreto-Lei n.º 125/2025, de 4 de dezembro, entrou em vigor a 4 de maio de 2026. O Regulamento n.º 756/2026, de 22 de junho, veio operacionalizá-lo.
- ~15 de setembro de 2026Autoidentificação e registo no MyCiber60 dias úteis a contar de 23 de junho, data em que a plataforma do CNCS ficou disponível. Quem iniciou atividade depois tem 30 dias úteis. Falhar este prazo é, por si só, uma contraordenação.
- 20 dias após a qualificaçãoResponsável de cibersegurança e ponto de contactoDepois de o CNCS confirmar a qualificação da entidade, há que comunicar quem responde pela cibersegurança e o ponto de contacto permanente.
- 31 de janeiro de 2027Inventário de ativosOu seis meses após a notificação de qualificação final, consoante o que ocorrer primeiro.
- Junho de 2028Medidas mínimas e relatório anualDois anos para aplicar as medidas de segurança do nível atribuído e entregar o primeiro relatório.
As coimas chegam a 10 milhões de euros ou 2% do volume de negócios mundial para entidades essenciais, e a 7 milhões ou 1,4% para entidades importantes. O regime responsabiliza diretamente os órgãos de gestão.
O que a DataRoad faz — e o que não faz
Não somos advogados e não fazemos o registo por si: a autoavaliação e a submissão no MyCiber são atos da própria entidade. O que fazemos é tudo o que vem depois, que é onde está o trabalho a sério.
- Inventário de ativosLevantamento de servidores, postos, equipamentos de rede, serviços cloud e acessos — o documento que o regime exige até janeiro de 2027 e que quase ninguém tem feito.
- Medidas mínimas do nível atribuídoImplementação e prova documental: controlo de acessos, cifra, segmentação de rede, firewall, proteção de endpoints, cópias de segurança testadas e gestão de atualizações.
- Deteção e registoMonitorização 24/7 com registos guardados. Sem isto não há como cumprir a notificação em 24 horas, porque não se sabe que houve incidente.
- Resposta a incidentesProcedimento escrito, responsáveis definidos e ensaio. Quando acontece, o relógio das 24 horas já está a contar.
- Continuidade e recuperaçãoBackups testados e tempos de recuperação definidos — não a promessa de que existem cópias algures.
- Formação da equipa e da gestãoO regime responsabiliza os órgãos de gestão. Sessões curtas e simulações de phishing, com registo de quem participou.
Perguntas frequentes sobre a NIS2
A minha empresa está abrangida pela NIS2?
Regra geral, ficam abrangidas as médias e grandes entidades dos setores listados no regime — energia, transportes, banca, saúde, água, infraestrutura digital, gestão de serviços TIC, administração pública, correios, resíduos, químicos, alimentar, fabrico e investigação, entre outros. Há casos em que a dimensão não conta e a entidade é abrangida na mesma. A determinação oficial faz-se pela autoavaliação na plataforma MyCiber, e o ónus dessa avaliação é da própria organização — não do CNCS.
E se a minha empresa não estiver abrangida?
Continua a ser afetada, por via da cadeia de fornecimento. As entidades abrangidas são obrigadas a gerir o risco dos seus fornecedores, o que significa questionários de segurança, exigências contratuais e, cada vez mais, provas documentais. Se vende a hospitais, banca, energia, administração pública ou indústria, a NIS2 vai bater-lhe à porta pelo lado do cliente.
Quais são as coimas?
Para entidades essenciais, até 10 milhões de euros ou 2% do volume de negócios anual mundial, consoante o que for mais elevado. Para entidades importantes, até 7 milhões de euros ou 1,4%. Além disso, o regime responsabiliza diretamente os órgãos de gestão.
Em quanto tempo tenho de comunicar um incidente?
Alerta inicial em 24 horas, notificação com avaliação em 72 horas e relatório final em 30 dias. Na prática, isto obriga a ter deteção e registo — sem monitorização não há forma de cumprir 24 horas, porque nem sequer se dá pelo incidente.
Que medidas técnicas são exigidas?
O regime define três níveis — básico, substancial e elevado — com 39, 75 e 91 medidas, atribuídos conforme o perfil de risco da entidade. A metodologia assenta no Quadro Nacional de Referência para a Cibersegurança, alinhado com o NIST CSF 2.0.
A DataRoad trata do registo por nós?
O registo e a autoavaliação são atos da própria entidade e ninguém os pode fazer no seu lugar — acompanhamos e preparamos a informação, mas a submissão é sua. O que fazemos por inteiro é a parte técnica: inventário de ativos, medidas de segurança, monitorização, registos e capacidade de responder a um incidente dentro dos prazos.
Esta página é informativa e não constitui aconselhamento jurídico. A qualificação da sua entidade é determinada pela autoavaliação na plataforma MyCiber do CNCS.
Últimas Notícias
Os nossos projetos
Como ajudamos empresas a cumprir a NIS2 dentro do prazo.
Conformidade NIS2 Sem Complicações Diagnóstico, plano e acompanhamento para cumprir o Decreto-Lei 125/2025 dentro do prazo — sem surpresas.
Ver também: Cibersegurança gerida para empresas · Firewalls geridas · Backup gerido · Disaster Recovery e continuidade de negócio · Monitorização 24×7 e NOC · Checklist de cibersegurança para PME
France Affiches em Paris escolhe a DataRoad para auditoria de IT e consultadoria informática em 2 localizações em Paris
A France Affiches escolheu a DataRoad para uma auditoria de IT completa à rede e aos sistemas. O trabalho é feito em Paris, na sede do grupo.
Embaixadas, organismos internacionais e empresas de prestígio escolhem a DataRoad em Portugal
Embaixada da Coreia, Consulado do Brasil, DCIAP, Grupo Mitrelli, Harlan & Poston, ReStream, Forward College, beQom — os projetos que fazem da DataRoad o parceiro de IT de organizações internacionais em Portugal.
DataRoad lança o site em cinco línguas para apoiar empresas Internacionais em Portugal e Internacionalmente em Serviços IT Premium MSP
O www.dataroad.pt passa a estar disponível em português, inglês, espanhol, francês e alemão — uma consequência direta dos clientes internacionais, organismos e embaixadas que já servimos em Portugal.
Seis hotéis nos Restauradores e no Rossio: a infraestrutura de IT que a DataRoad instalou e mantém – Serviços IT Premium para Hotéis
BePoet, BeHotel, Rossio Plaza, Nicola Rossio, LX Arch e Ouro Rossio: seis hotéis numa das melhores zonas de Lisboa, com rede, Wi-Fi de hóspedes, firewall, videovigilância, PMS e Microsoft 365 instalados e mantidos pela DataRoad.
Algumas das empresas que confiam a sua infraestrutura à DataRoad, setores onde uma paragem custa muito mais do que o suporte IT
Projetos e casos de sucesso da DataRoad
Artigos e notícias do blog DataRoad
- Ventask: IT Unlimited para 350 postos, firewalls e switches
- Velv by OnRising escolhe a DataRoad: contrato IT Unlimited para 90 postos, firewall e rede wireless (2023)
- Backup e Recuperação de Desastres: o que uma PME Precisa de Saber
- FreshDesign: firewall, VPN SSL e redundância de internet
- Videovigilância IP para Empresas: Projeto, Rede e Obrigações
- Harland & Poston: rede, firewall e Wi‑Fi na Av. da Liberdade