O primeiro passo não é comprar ferramentas: é determinar o enquadramento jurídico e operacional. O Decreto-Lei n.º 125/2025 transpõe a Diretiva NIS2 e estabelece o regime jurídico português da cibersegurança.
A aplicabilidade depende do setor, do tipo de atividade, da dimensão da organização, das regras especiais e dos critérios territoriais. Por isso, determinar se uma empresa está abrangida pela NIS2 exige uma análise individualizada.
Como verificar o enquadramento
1. Identifique o serviço efetivamente prestado. Compare a atividade da organização com os setores e tipos de entidades previstos nos anexos I e II do Decreto-Lei n.º 125/2025. O CAE, isoladamente, não é suficiente para determinar a classificação.
2. Avalie a dimensão e as exceções. O regime estabelece critérios associados à dimensão das organizações, mas também prevê situações de aplicação independentemente da dimensão, designadamente para determinados prestadores de serviços e atividades críticas.
3. Determine a categoria da entidade. A legislação distingue entidades essenciais, entidades importantes e, no setor público, entidades públicas relevantes. As obrigações e os regimes de supervisão aplicáveis devem ser analisados de acordo com a categoria concreta.
4. Confirme os critérios territoriais. As organizações com atividade internacional devem identificar a jurisdição aplicável, considerando os serviços transfronteiriços e as regras específicas previstas na legislação.
5. Documente a decisão. Registe a fundamentação do enquadramento, os serviços prestados, os critérios de dimensão e as evidências utilizadas. Esta análise deve ser revista sempre que ocorram alterações relevantes na atividade ou estrutura da organização.
Que setores de atividade estão abrangidos pela NIS2?
A aplicação da NIS2 em Portugal, através do Decreto-Lei n.º 125/2025, depende de vários critérios, incluindo o setor de atividade, a dimensão da organização e a natureza dos serviços prestados.
Os anexos da legislação identificam diferentes setores e tipos de entidades potencialmente abrangidos.
Setores de elevada criticidade
- Energia;
- Transportes;
- Setor bancário e infraestruturas dos mercados financeiros;
- Saúde;
- Água potável e águas residuais;
- Infraestruturas digitais;
- Gestão de serviços TIC entre empresas;
- Administração pública;
- Espaço.
Outros setores críticos
- Serviços postais e de estafeta;
- Gestão de resíduos;
- Produção, transformação e distribuição de produtos químicos;
- Produção, transformação e distribuição de alimentos;
- Determinadas atividades de fabrico;
- Prestadores de serviços digitais;
- Investigação.
A inclusão de um setor na legislação não significa que todas as organizações que nele operam estejam automaticamente abrangidas. É necessário verificar os tipos de entidades definidos nos anexos e os critérios legais de aplicabilidade.
Importa também considerar a existência de regimes setoriais específicos. No setor financeiro, por exemplo, o Regulamento DORA estabelece requisitos próprios de resiliência operacional digital, cuja articulação com o regime da cibersegurança deve ser analisada.
Qual é a diferença entre entidades essenciais e entidades importantes na NIS2?
O Decreto-Lei n.º 125/2025 estabelece diferentes categorias de entidades abrangidas pelo regime jurídico da cibersegurança, incluindo entidades essenciais e entidades importantes.
A classificação depende dos critérios legais aplicáveis, designadamente do setor de atividade, da dimensão da organização, da natureza dos serviços prestados e de situações específicas previstas na legislação.
Entidades essenciais
As entidades essenciais incluem organizações que, de acordo com os critérios legais, assumem particular relevância para a continuidade de serviços e atividades críticas.
Estas entidades estão sujeitas a mecanismos de supervisão preventiva e reativa, nos termos previstos na legislação aplicável.
Entidades importantes
As entidades importantes também estão sujeitas a obrigações de cibersegurança, incluindo medidas de gestão de riscos e notificação de incidentes, nos termos legalmente aplicáveis.
Uma das principais diferenças relativamente às entidades essenciais encontra-se no modelo de supervisão, que assume predominantemente uma natureza reativa.
As entidades importantes têm menos obrigações de cibersegurança?
A classificação como entidade importante não significa que a organização esteja dispensada de implementar medidas adequadas de gestão dos riscos de cibersegurança.
As obrigações concretas devem ser determinadas segundo o enquadramento legal aplicável, considerando a proporcionalidade, a exposição aos riscos e a criticidade dos serviços prestados.
A identificação correta da categoria é, por isso, fundamental para compreender as obrigações e o regime de supervisão a que a organização está sujeita.
A dimensão da empresa determina a aplicação da NIS2?
A dimensão da organização é um dos critérios relevantes para determinar a aplicação do regime jurídico da cibersegurança em Portugal.
Como regra geral, o enquadramento abrange médias e grandes empresas que desenvolvam atividades nos setores previstos na legislação. A avaliação da dimensão deve considerar os critérios europeus aplicáveis, incluindo o número de trabalhadores e os indicadores financeiros.
Contudo, existem situações em que determinadas entidades podem estar abrangidas independentemente da sua dimensão, em função da natureza dos serviços prestados, da sua criticidade ou de critérios legais específicos.
Uma pequena empresa pode estar abrangida pela NIS2?
Sim. Uma pequena empresa ou mesmo uma microempresa pode estar sujeita ao regime quando se enquadre numa das situações de aplicação independentemente da dimensão previstas na legislação.
Por esse motivo, a análise não deve limitar-se ao número de trabalhadores ou ao volume de negócios. Deve considerar também a atividade desenvolvida, os serviços prestados, a eventual integração num grupo empresarial e as regras legais aplicáveis.
Uma avaliação de enquadramento permite identificar se a organização está sujeita ao regime e quais as obrigações de cibersegurança que lhe são aplicáveis.
O que fazer se estiver abrangida pela NIS2?
Quando uma organização confirma que está abrangida pelo regime jurídico da cibersegurança, deve identificar as obrigações concretamente aplicáveis e estabelecer um plano de conformidade.
Entre as principais atividades a considerar encontram-se:
- Identificar os responsáveis pela cibersegurança e os respetivos mecanismos de governação;
- Inventariar os ativos, sistemas, serviços e processos relevantes;
- Estabelecer ou rever a metodologia de avaliação e tratamento de riscos de cibersegurança;
- Implementar medidas técnicas, organizativas e operacionais adequadas;
- Definir procedimentos de deteção, resposta e notificação de incidentes;
- Promover a formação e sensibilização dos colaboradores;
- Documentar as medidas implementadas e manter evidências de conformidade;
- Verificar o cumprimento das disposições regulamentares aplicáveis.
A implementação destas medidas deve considerar a exposição ao risco, a criticidade dos serviços e os requisitos previstos na legislação e regulamentação aplicáveis.
Perguntas frequentes sobre a NIS2
Todas as PME estão excluídas da NIS2?
Não. Existem critérios e exceções que podem determinar a aplicação do regime a pequenas e microempresas. Cada situação exige uma análise individual.
Ter certificação ISO 27001 dispensa cumprir a NIS2?
Não automaticamente. Um Sistema de Gestão da Segurança da Informação (SGSI) alinhado com a ISO/IEC 27001 pode apoiar a conformidade, mas é necessário verificar e demonstrar o cumprimento dos requisitos legais e regulamentares concretamente aplicáveis.
A classificação é igual em todos os setores?
Não. O setor de atividade, o tipo de entidade, a dimensão e as regras especiais podem influenciar a classificação e o regime aplicável.
A minha empresa deve avaliar o enquadramento mesmo que não tenha certeza de estar abrangida?
Sim. Uma avaliação documentada de aplicabilidade permite fundamentar a decisão, identificar eventuais obrigações e reduzir o risco de interpretações incorretas sobre o enquadramento da organização.
Como preparar a sua organização para a NIS2?
O primeiro passo consiste em confirmar o enquadramento da organização no regime jurídico da cibersegurança e identificar as obrigações aplicáveis.
Após esta avaliação, recomenda-se realizar um diagnóstico de maturidade e uma análise de lacunas relativamente aos requisitos legais e regulamentares relevantes.
Os resultados devem apoiar a definição de um plano de implementação, com medidas prioritárias, responsáveis, prazos e evidências de execução.
A organização deve ainda estabelecer mecanismos de acompanhamento e revisão periódica, assegurando que as medidas de cibersegurança permanecem adequadas à evolução dos riscos e das suas atividades.
Como a CYBERNOW pode ajudar
A CYBERNOW apoia as organizações na análise de aplicabilidade da NIS2, no diagnóstico de lacunas, na avaliação e tratamento de riscos de cibersegurança e na preparação de evidências de conformidade.
Os serviços incluem também auditorias de cibersegurança e apoio à implementação de Sistemas de Gestão da Segurança da Informação alinhados com a ISO/IEC 27001.
Para conhecer as soluções disponíveis, consulte os serviços de cibersegurança da CYBERNOW ou solicite um diagnóstico de conformidade.
Leitura complementar
Para além do enquadramento legal da NIS2, as organizações devem acompanhar a evolução das boas práticas de segurança aplicáveis às novas tecnologias. Consulte também o artigo sobre a ISO/IEC 27090:2026 e a segurança dos sistemas de Inteligência Artificial.
Fontes oficiais
Nota editorial: este artigo tem natureza informativa e está sujeito a atualização legislativa e regulamentar. A aplicabilidade do regime depende da situação concreta de cada entidade.
