NIS2 em 2026: Como Implementar a Checklist em 90 Dias — Guia Prático para Sysadmins
NIS2 Portugal DL 125/2025 CNCS CERT.PT cibersegurança sysadmin PME MSP checklist PowerShell GPO Intune Azure Policy Conditional Access MFA ISO 27001 90 dias implementação compliance | ✎ Duarte Spínola | 2026-06-15
A Diretiva NIS2 está em plena aplicação em Portugal desde 3 de abril de 2026 (transposta pelo Decreto-Lei n.º 125/2025 de 4 de dezembro de 2025). O artigo guia técnico NIS2 para sysadmins cobriu o o quê — quem é abrangido, quais os 6 domínios obrigacionais, prazos legais. Este artigo é o como — um roadmap prático de 90 dias com scripts PowerShell prontos a copiar, GPO templates, políticas Intune/Azure Policy JSON, FAQ para MSPs e checklist imprimível que o sysadmin pode entregar à gestão para assinatura. Foco em PMEs (10-250 colaboradores) e MSPs que servem entidades essenciais/importantes — o tecido empresarial português mais afectado pelo diploma.
Conteúdos
- 1. 1. O que Está a Acontecer — O “Compliance Gap” de 90 dias
- 2. 2. Cenários em que este setup se aplica
- 3. 3. Dias 1-15: Diagnóstico — Inventário, Classificação e Gap Analysis
- 4. 4. Dias 16-45: Quick Wins — MFA, GPO, Intune, Conditional Access
- 5. 5. Dias 46-75: Operacional — SIEM, IR Plan, BCP/DRP, Logging Centralizado
- 6. 6. Dias 76-90: Notificação, Compliance e Designação Formal
- 7. 7. FAQ para Sysadmins e PMEs
- 8. 8. Outras Causas Comuns de Atraso na Implementação NIS2
- 9. 9. Como Evitar Problemas — Boas-Práticas de Sustentabilidade
- 10. 10. Anexos
1. O que Está a Acontecer — O “Compliance Gap” de 90 dias
O DL 125/2025 entrou em vigor a 3 de abril de 2026, com período de carência de 12 meses para coimas a quem demonstre procedimento interno de adaptação (CNCS). Isto significa, na prática, que qualquer entidade abrangida que mostre evidência de trabalho estruturado até abril de 2027 tem carência de penalização — mas as obrigações de notificação, registo e gestão de risco são imediatas. O “compliance gap” entre o estado actual da maioria das PMEs portuguesas (que herdaram controlos NIS1 de 2018) e o estado esperado pela NIS2 (defesa em profundidade, MFA universal, logging centralizado, BCP testado) é tipicamente de 6 a 12 meses de trabalho efectivo. Por isso um roadmap de 90 dias não é “tempo legal” — é tempo realista para uma PME fazer o mínimo aceitável e entrar no período de carência em condições.
A primeira coisa a entender é a mecânica de penalização (Tabela 1.1).
Tabela 1.1 — Penalizações NIS2 em Portugal (DL 125/2025)
| Tipo de Entidade | Coima Máxima | Critério | Quem Aplica |
|---|---|---|---|
| Entidades Essenciais | €10.000.000 ou 2% do volume de negócios mundial (o mais elevado) | Incumprimento de medidas de gestão de risco; notificação tardia de incidentes | CNCS + autoridade setorial |
| Entidades Importantes | €7.000.000 ou 1,4% do volume de negócios mundial | Idem | CNCS + autoridade setorial |
| Entidades Públicas Relevantes | Até €5.000.000 (ajustado ao orçamento) | Idem | CNCS |
| Responsabilidade pessoal dos gestores | Suspensão de funções, inabilitação até 5 anos | Não implementação de controlos mínimos; não designação de Responsável de Cibersegurança | CNCS + Tribunal |
💡 Nota — exemplos ilustrativos
Os valores da Tabela 1.1 são os máximos legais previstos no DL 125/2025 (alinhados com o artigo 34.º da Diretiva NIS2). Não há ainda jurisprudência nacional sobre aplicação concreta destes montes em PME. O histórico da GDPR (que tem tetos similares: €20M ou 4% do volume de negócios) mostra que as coimas iniciais (2018-2021) foram tipicamente entre 0,1% e 1% do máximo para PMEs em primeira infração, com coimas pesadas reservadas para reincidentes ou negligência grosseira. Para referência actualizada, consulte o CNCS e a tabela oficial do CNCS.
A segunda coisa é o regime de notificação de incidentes (Tabela 1.2) — que é imediato (24h) e imprescindível para entrar no período de carência.
Tabela 1.2 — Prazos de notificação de incidentes (DL 125/2025)
| Fase | Prazo | Conteúdo Mínimo | Canal |
|---|---|---|---|
| Alerta inicial | 24 horas após detecção | Indicação de suspeita de incidente; impacto preliminar; sectores afectados | CERT.PT — formulário web + email [email protected] |
| Relatório intermédio | 72 horas após alerta | Avaliação detalhada; causa-raiz preliminar; severidade; medidas mitigadoras | Idem + autoridade setorial |
| Relatório final | 1 mês após alerta | Análise pós-incidente completa; lições aprendidas; controlos atualizados | Idem |
⚠️ Atenção
O prazo de 24h conta a partir da detecção (não da ocorrência). Para MSPs, isto significa que o relógio começa quando o cliente vos reporta (não quando o incidente começou). É obrigatório ter um canal de comunicação 24/7 com clientes para reportar incidentes relevantes. Veja o CNCS.
Insight chave: os 90 dias que se seguem não são opcionais — são o mínimo para uma PME portuguesa entrar no período de carência de coimas em abril de 2027. O roadmap abaixo assume uma PME de 10-50 colaboradores com Active Directory on-premises + Microsoft 365 Business Premium (cenário mais comum em Portugal em 2026).
2. Cenários em que este setup se aplica
- [S] PME 10-50 colaboradores (TI interna) — Empresa de serviços (consultoria, advocacia, contabilidade) com 1-2 pessoas de TI, AD on-premises, Microsoft 365 Business Premium, 20-80 endpoints. Cenário-alvo deste artigo. Tem 90 dias para implementar MFA universal, GPO password policy, Intune compliance, logging centralizado, BCP/DRP testado.
- [S] PME 50-250 colaboradores (TI dedicada) — Empresa industrial, distribuição ou retalho com equipa de TI de 3-8 pessoas, AD/Azure AD híbrido (joined), Microsoft 365 E3/E5, 80-300 endpoints. Precisa de Azure AD Connect sincronizado, Conditional Access policies, Microsoft Defender for Business ou for Endpoint P2, Sentinel ou SIEM terceiro.
- [S] MSP a servir entidades essenciais/importantes — Empresa de TI que gere helpdesk, suporte Microsoft 365, infraestrutura de cliente em sector crítico (saúde, banca, energia). Cai automaticamente no regime de entidade importante independentemente da sua dimensão. Precisa de cláusulas contratuais NIS2-compatíveis com clientes, due diligence técnica anual, capacidade de notificação 24/7.
- [S] Entidade pública local (câmara municipal, instituto público) — Administração pública regional/local com sistemas legados, orçamento limitado, equipas pequenas. Responsável de Cibersegurança tem de ser designado e comunicado ao CNCS. ISO 27001 ou ENS (Esquema Nacional de Seguridad) é a framework de referência.
- [S] Hospital privado / clínica — Entidade essencial do sector saúde. Precisa de plano de continuidade testado, backup imutável (ver Ransomware 2026: Backup 3-2-1), segmentação de rede clínica vs administrativa, MFA em todos os acessos a dados de utentes.
⚠️ Nota
empresas commenos de 10 colaboradores e volume de negócios inferior a €2M estão geralmentefora do âmbito da NIS2 (excepto se operarem em sectores críticos ou prestarem serviços a entidades abrangidas). Para dúvida sobre qualificação, aauto-avaliação começa pela resposta a 3 perguntas: (1) O sector está na lista das 18 categorias NIS2? (2) A empresa tem mais de 50 colaboradores OU mais de €10M de volume de negócios? (3) A empresa é fornecedor crítico de serviços de entidades essenciais/importantes? Se2 em 3 forem “sim”, consulta um DPO ou o CNCS.
3. Dias 1-15: Diagnóstico — Inventário, Classificação e Gap Analysis
Os primeiros 15 dias são diagnóstico puro — sem implementar controlos novos, só mapear o que existe. A maioria das PMEs portuguesas salta esta fase e vai directa para “comprar uma firewall” — erro clássico que custa 6 meses e €50K. O diagnóstico custa 2 semanas de uma pessoa e dá a base de tudo o que se segue.
3.1 Inventário de ativos digitais (rede, sistemas, dados)
O primeiro entregável é uma lista consolidada de ativos em 4 categorias:
Categoria A — Infraestrutura: servidores físicos e VMs, cloud (Azure, AWS, GCP, OVH, Webcity), routers/firewalls (pfSense, Fortigate, Meraki), switches, APs Wi-Fi, links internet (fibra + 4G/5G failover), on-premises Exchange, file servers, AD DC, DNS, DHCP, print servers, NAS/SAN, appliances de backup (Veeam, Acronis, Datto).
Categoria B — Endpoints: workstations Windows 10/11, macOS, Linux, dispositivos móveis (iOS, Android), IoT (câmaras IP, sensores, impressoras inteligentes), equipamentos BYOD.
Categoria C — Aplicações e dados: Microsoft 365 tenants, Google Workspace, ERP (SAP, Primavera, PHC, Microsoft Dynamics), CRM (Salesforce, HubSpot), bases de dados com dados pessoais (SQL Server, PostgreSQL, MySQL, MongoDB), ferramentas de desenvolvimento (GitHub, GitLab, Azure DevOps), file shares com dados confidenciais (RH, financeiro, jurídico).
Categoria D — Pessoas e acessos: lista de colaboradores (actuais e últimos 6 meses — ex-colaboradores com acessos ativos), contas privilegiadas (Domain Admin, Enterprise Admin, root, sudoers, cloud Owner/Contributor), contas de serviço (Service Accounts), acessos de terceiros (fornecedores com VPN, RDP, accesso a portais), fornecedores com dados (subcontratados, freelancers, BPO).