⚠ Em vigor desde 3 de abril de 2026. O Decreto-Lei n.º 125/2025 entrou em plena aplicação. As entidades abrangidas têm obrigações imediatas de registo, gestão de risco e notificação de incidentes. O período de carência de coimas termina 12 meses após a entrada em vigor para quem demonstre procedimento interno de adaptação.
A Diretiva NIS2 (Diretiva UE 2022/2555) foi transposta para o direito português através do Decreto-Lei n.º 125/2025, publicado no Diário da República n.º 234/2025, Série I, de 4 de dezembro de 2025. O diploma aprova o novo Regime Jurídico da Cibersegurança (RJC) e entrou em aplicação a 3 de abril de 2026 — 120 dias após a publicação.
Para os administradores de sistemas, o impacto é direto: é necessário implementar, documentar e manter um conjunto de medidas técnicas, operacionais e organizacionais — e estar pronto para notificar incidentes dentro de prazos muito curtos. Este artigo é um guia prático para perceber o que muda, quem é abrangido e o que fazer imediatamente.
Neste artigo
1. O que é a NIS2 e o que muda em Portugal
A NIS2 substitui a Diretiva NIS1 de 2016 e representa um salto qualitativo nas exigências de cibersegurança a nível europeu. As principais diferenças face ao regime anterior são:
| Dimensão | NIS1 (anterior) | NIS2 / DL 125/2025 |
|---|---|---|
| Âmbito | Setores críticos limitados | 18 setores + administração pública |
| Categorias | Operadores de serviços essenciais | Essenciais / Importantes / Públicas Relevantes |
| Responsabilidade | Organizacional | Organizacional + pessoal dos gestores |
| Notificação de incidentes | 72 horas (genérico) | 24h alerta inicial + 72h relatório + 1 mês final |
| Coimas máximas | Variável por Estado-Membro | €10M ou 2% volume de negócios mundial |
| Autoridade nacional | CNCS (papel limitado) | CNCS + autoridades setoriais (ANACOM, Banco de Portugal, etc.) |
2. Quem é abrangido — as três categorias do modelo português
Ao contrário de outros Estados-Membros que adoptaram apenas dois grupos, Portugal introduziu três categorias no Decreto-Lei n.º 125/2025:
⚠ Atenção — MSPs e fornecedores de TI: Se a tua empresa presta serviços geridos de TI (helpdesk, suporte Microsoft 365, gestão de infraestrutura) a entidades essenciais ou importantes, podes ser classificado como entidade importante independentemente da dimensão da tua empresa. Verifica a qualificação junto do CNCS.
3. Obrigações técnicas e organizacionais
O Decreto-Lei n.º 125/2025 exige a implementação de medidas proporcionadas ao perfil de risco da entidade. Do ponto de vista técnico, as obrigações agrupam-se em seis domínios:
3.1 Gestão de Risco e Políticas de Segurança
- Realizar avaliação de risco periódica e documentada dos sistemas de informação
- Mapear activos digitais: redes, sistemas, cadeia de fornecimento ICT, fornecedores externos
- Implementar e manter políticas internas de segurança (Política de Segurança da Informação)
- Efectuar análise de vulnerabilidades com periodicidade definida
- Definir plano de continuidade de negócio e de recuperação de desastres (BCP/DRP)
3.2 Controlo de Acesso e Autenticação
- Implementar autenticação multi-factor (MFA) para todos os acessos críticos
- Adoptar princípio de menor privilégio (Least Privilege) em contas de utilizador e administração
- Implementar autenticação segura para acesso remoto (VPN com MFA, Zero Trust onde aplicável)
- Rever e auditar periodicamente contas privilegiadas e acessos de terceiros
3.3 Segurança da Cadeia de Fornecimento
- Avaliar a postura de segurança de fornecedores críticos de TI/ICT
- Incluir cláusulas de cibersegurança nos contratos com fornecedores de serviços geridos e cloud
- Monitorizar a cadeia de fornecimento para vulnerabilidades de terceiros
- Definir procedimentos para gerir incidentes que envolvam fornecedores
3.4 Detecção, Resposta e Recuperação
- Implementar capacidade de detecção de incidentes (SIEM, logging centralizado, alertas)
- Definir e testar plano de resposta a incidentes (IR Plan) com papéis e responsabilidades claros
- Garantir backup regular, testado e com cópia offsite ou em cloud isolada
- Definir RTO/RPO documentados e testados periodicamente
3.5 Segurança das Comunicações e da Rede
- Segmentação de rede (VLANs, firewalls, micro-segmentação onde aplicável)
- Encriptação de dados em trânsito (TLS 1.2+) e em repouso para dados sensíveis
- Monitorização de tráfego de rede e detecção de anomalias
- Gestão de patches com SLA definido (ex: patches críticos em 72h)
3.6 Formação e Consciencialização
- Formação regular em cibersegurança para todos os colaboradores
- Formação específica para as equipas de TI e para os titulares de órgãos de gestão
- Simulações de phishing e exercícios de resposta a incidentes
4. Prazos e marcos críticos
| Data | Evento | Impacto |
|---|---|---|
| 4 dez 2025 | Publicação DL 125/2025 no DR | Início da contagem dos prazos |
| 3 abr 2026 ✓ | Entrada em vigor — medidas obrigatórias | Todas as medidas de cibersegurança são exigíveis |
| A definir | Prazo designação Responsável de Cibersegurança | Comunicar ao CNCS nome e contacto do responsável |
| A definir | Registo obrigatório de entidades na plataforma CNCS | Atualização bienal obrigatória após registo inicial |
| Abr 2027 | Fim do período de carência de coimas | Regime sancionatório aplicado na íntegra |
ℹ Notificação de incidentes significativos: O DL 125/2025 define prazos estritos — alerta inicial em 24 horas, relatório intermédio em 72 horas e relatório final em 1 mês após detecção do incidente. Estes prazos exigem que os procedimentos de detecção e escalamento estejam operacionais desde já.
5. Sanções e responsabilidade pessoal dos gestores
Uma das mudanças mais significativas do DL 125/2025 é a responsabilização pessoal dos titulares dos órgãos de gestão. A cibersegurança deixa de ser apenas uma responsabilidade de TI.
| Tipo de sanção | Entidades Essenciais | Entidades Importantes |
|---|---|---|
| Coima máxima (pessoa colectiva) | €10 000 000 ou 2% volume negócios | €7 000 000 ou 1,4% volume negócios |
| Coima pessoal (gestor singular) | Até €125 000 | Até €100 000 |
| Sanção acessória | Interdição temporária do exercício de funções de gestão, direcção ou administração | |
| Delegação de responsabilidade | Não é possível delegar para fora dos órgãos de gestão (só para outro titular de órgão de gestão) | |
6. Checklist técnica para sysadmins — o que fazer agora
Organizada por domínio de actuação. Prioriza os pontos assinalados com ⚠ CRÍTICO — são os que têm impacto imediato na conformidade e nos prazos de notificação de incidentes.
A — Identificação e Registo
| ☐ | Determinar se a organização é entidade essencial, importante ou pública relevante | CRÍTICO |
| ☐ | Registar a entidade na plataforma electrónica do CNCS quando disponível | CRÍTICO |
| ☐ | Designar Responsável de Cibersegurança e Ponto de Contacto Permanente | CRÍTICO |
| ☐ | Comunicar ao CNCS a designação do Responsável de Cibersegurança dentro do prazo | CRÍTICO |
B — Gestão de Risco e Documentação
| ☐ | Realizar inventário completo de activos (hardware, software, serviços cloud, dados) | CRÍTICO |
| ☐ | Efectuar avaliação de risco documentada e classificar activos por criticidade | ALTA |
| ☐ | Elaborar ou actualizar Política de Segurança da Informação (PSI) | ALTA |
| ☐ | Mapear cadeia de fornecimento ICT e avaliar postura de segurança de fornecedores críticos | ALTA |
| ☐ | Rever contratos com fornecedores de serviços geridos (MSPs, cloud) e incluir cláusulas NIS2 | NORMAL |
C — Controlo de Acesso e Autenticação
| ☐ | Activar MFA para todos os utilizadores em todos os sistemas críticos (M365, VPN, RDP, servidores) | CRÍTICO |
| ☐ | Auditar contas privilegiadas (administradores locais, Domain Admins, Global Admins M365) | CRÍTICO |
| ☐ | Implementar Conditional Access no Entra ID (acesso por localização, dispositivo, risco) | ALTA |
| ☐ | Eliminar ou desactivar contas de utilizador inactivas (>90 dias sem login) | ALTA |
| ☐ | Rever acessos de terceiros e fornecedores — aplicar MFA e tempo limitado | ALTA |
D — Detecção e Resposta a Incidentes
| ☐ | Definir e documentar Plano de Resposta a Incidentes (IRP) com procedimento de notificação ao CNCS | CRÍTICO |
| ☐ | Garantir logging centralizado de eventos de segurança com retenção mínima de 90 dias | CRÍTICO |
| ☐ | Testar o plano de recuperação (BCP/DRP) pelo menos uma vez por ano com registo documentado | ALTA |
| ☐ | Validar que os backups estão isolados da rede principal (offline ou cloud imutável) | ALTA |
| ☐ | Realizar exercício de resposta a incidente (tabletop exercise) com equipa de gestão | NORMAL |
E — Segurança de Rede e Sistemas
| ☐ | Definir SLA de aplicação de patches — críticos em 72h, importantes em 7 dias, normais em 30 dias | ALTA |
| ☐ | Implementar segmentação de rede com VLANs separadas para servidores, utilizadores e convidados | ALTA |
| ☐ | Garantir encriptação TLS 1.2+ em todos os serviços expostos; desactivar TLS 1.0/1.1 e SSL | ALTA |
| ☐ | Realizar vulnerability scan periódico (mínimo trimestral) com registo de remediações | NORMAL |
7. NIS2 e Microsoft 365 — o que configurar
Para organizações que utilizam Microsoft 365, existe um conjunto de controlos directamente mapeáveis às exigências do DL 125/2025:
| Exigência NIS2 | Funcionalidade M365 | Onde configurar |
|---|---|---|
| Autenticação forte (MFA) | Conditional Access + Security Defaults | Entra ID > Security > Conditional Access |
| Monitorização e detecção | Microsoft Defender, Audit Log, Sign-in Logs | security.microsoft.com / purview.microsoft.com |
| Avaliação de postura de segurança | Microsoft Secure Score | security.microsoft.com > Secure Score |
| Protecção do email | Defender for Office 365, SPF/DKIM/DMARC | security.microsoft.com > Email & collaboration |
| Protecção de endpoints | Microsoft Defender for Business / Endpoint | security.microsoft.com > Device inventory |
| Gestão de identidade privilegiada | Privileged Identity Management (PIM) | Entra ID > Identity Governance > PIM |
| Retenção e auditoria de logs | Microsoft Purview Audit (Standard/Premium) | purview.microsoft.com > Audit |
ℹ Microsoft Secure Score como ferramenta de conformidade NIS2
O Microsoft Secure Score em security.microsoft.com fornece uma pontuação de postura de segurança com recomendações específicas e priorizadas. É um excelente ponto de partida para o gap assessment exigido pela NIS2 — cobre MFA, Conditional Access, Defender, Purview e muitas outras áreas directamente mapeáveis ao DL 125/2025.
8. Recursos e referências
- Decreto-Lei n.º 125/2025 — Diário da República Electrónico (dre.pt)
- CNCS — Diretiva NIS 2 — cncs.gov.pt/pt/diretiva-nis-2
- NIS2 Portugal (referência independente) — nis2portugal.pt
- Microsoft Secure Score — security.microsoft.com
- ENISA — Directrizes de implementação NIS2 — enisa.europa.eu
Artigos relacionados no kbase.pt
- Configurar Conditional Access no Entra ID — passo a passo
- Microsoft Secure Score: como interpretar e melhorar o resultado
- SPF, DKIM e DMARC: implementação completa em domínio PT
- Defender for Business vs Defender for Endpoint: qual escolher para PME?
- Plano de Resposta a Ransomware: Guia para Empresas Portuguesas
