Se anda a ouvir falar de NIS2 e não sabe se lhe diz respeito, este artigo é para si. Não tem termos técnicos e demora três minutos a ler.
Duas coisas, uma europeia e uma portuguesa
A NIS2 é uma directiva da União Europeia. Uma directiva não se aplica directamente: define o que os Estados-membros têm de garantir, e cada país escreve depois a sua própria lei.
O Regime Jurídico da Cibersegurança, ou RJC, é essa lei portuguesa. Foi aprovado pelo Decreto-Lei n.º 125/2025, de 4 de Dezembro, e entrou em vigor a 3 de Abril de 2026.
Na prática: a NIS2 diz o que tem de acontecer, o RJC diz como acontece em Portugal, quem fiscaliza e quanto custa não cumprir. É no RJC que deve olhar — e não na directiva.
Em Junho de 2026 juntou-se-lhe o Regulamento n.º 756/2026, publicado pelo Centro Nacional de Cibersegurança, que explica o funcionamento prático: como comunicar com o CNCS, o que reportar e em que prazos.
Porque é que isto apareceu agora
A regra anterior cobria um punhado de sectores muito específicos. Entretanto tornou-se evidente que um ataque a uma empresa média de logística, de águas ou de saúde pode parar meio país — e que a cadeia de fornecedores é muitas vezes a porta de entrada.
A NIS2 alargou consideravelmente o âmbito. Muitas organizações que nunca se viram como infra-estrutura crítica passaram a estar abrangidas.
Quem está abrangido
O RJC classifica as entidades como essenciais, importantes ou relevantes. A categoria depende do sector de actividade e da dimensão da organização, e determina o grau de exigência e de fiscalização.
Abrange organismos públicos e empresas privadas, em sectores como energia, transportes, saúde, águas, banca, infra-estruturas digitais, administração pública, gestão de resíduos, produção alimentar e fabrico. As autarquias também estão no âmbito.
Há aqui um pormenor que apanha muita gente desprevenida: a responsabilidade de perceber se está abrangido é sua. A lei assenta em auto-identificação. Ninguém lhe manda uma carta a avisar que agora tem obrigações.
O que a lei passa a exigir
Alguém com nome e cara. É preciso nomear um responsável de cibersegurança e comunicá-lo ao CNCS. Deixa de ser algo que «o informático trata».
A administração responde. É talvez a mudança mais importante: a responsabilidade é do órgão de gestão, não do departamento de informática. A gerência tem de aprovar e acompanhar as medidas.
Saber o que se tem. Um inventário dos sistemas e uma avaliação dos riscos. É difícil proteger aquilo cuja existência se desconhece.
Comunicar incidentes, depressa. Quando acontece alguma coisa séria, há prazos curtos para avisar as autoridades — o primeiro conta-se em horas, não em dias.
Olhar para os fornecedores. A segurança de quem lhe presta serviços passa a ser assunto seu.
O que acontece a quem não cumpre
O regime prevê coimas que podem chegar aos 10 milhões de euros ou a 2% do volume de negócios mundial, conforme o que for mais elevado.
Convirá, ainda assim, guardar as proporções. Esses tectos existem para os casos graves e para organizações de grande dimensão. O risco real, para a maioria, não é uma coima recorde — é ser apanhado sem nada feito no dia em que houver um incidente ou uma fiscalização.
Uma nota sobre a palavra «certificação»
Vale a pena desfazer uma confusão comum: o RJC não é uma certificação. Não há um selo que se compre, nem um certificado que se pendure na parede e fique resolvido por três anos.
É conformidade legal, e é permanente. Identificar-se, registar-se, nomear quem responde, manter as medidas em funcionamento e prestar contas quando for pedido. Quem lhe vender um «certificado NIS2» chave-na-mão está a vender-lhe uma ideia errada.
Por onde começar
A primeira pergunta não é técnica: estamos abrangidos? Depende do sector e da dimensão, e responde-se em pouco tempo.
Se a resposta for sim, o caminho seguinte é conhecido: perceber em que categoria cai, nomear o responsável, levantar o que tem, avaliar o que falta e pôr as medidas a andar por fases.
Se a resposta for não, continua a valer a pena olhar. Muitas destas exigências são simplesmente boas práticas — e se prestar serviços a quem está abrangido, mais tarde ou mais cedo vão perguntar-lhe como está a sua segurança.
Acompanhamos todo o processo de conformidade, do primeiro diagnóstico à manutenção corrente: verificar se está abrangido e em que categoria, tratar do registo e das comunicações ao CNCS, levantar sistemas e riscos, implementar as medidas e manter tudo em ordem ao longo do tempo. Trabalhamos com empresas e com autarquias há mais de vinte e cinco anos, e conhecemos as duas realidades.
Fale connosco e começamos pela pergunta mais simples: se isto lhe diz respeito, ou não. Veja também o que fazemos em cibersegurança.