Guia NIS2
Quem está abrangido pela NIS2 em Portugal
Se o Regime Jurídico da Cibersegurança se aplica à sua organização depende de duas perguntas: a atividade cabe num dos setores dos anexos I ou II, e a organização atinge o limiar de média empresa? Para alguns tipos de entidade, a dimensão não conta. Portugal acrescenta ainda regras próprias para o setor público e o ensino superior.
Atualizado: outubro de 2026 · Base legal: Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025)
A base legal em resumo
A NIS2 é a Diretiva (UE) 2022/2555. Portugal transpôs a diretiva com o Decreto-Lei n.º 125/2025, de 4 de dezembro, que aprova em anexo o Regime Jurídico da Cibersegurança (RJC). O decreto-lei entrou em vigor a 3 de abril de 2026, 120 dias após a publicação (art. 11.º). Revogou a Lei n.º 46/2018 e o Decreto-Lei n.º 65/2021, que regulavam a matéria desde a primeira diretiva NIS (art. 9.º).
A autoridade nacional de cibersegurança é o Centro Nacional de Cibersegurança (CNCS), que funciona junto do Gabinete Nacional de Segurança (art. 15.º RJC). O CNCS concretizou o regime com o Regulamento n.º 756/2026, em vigor desde 23 de junho de 2026. É esse regulamento que define a plataforma MyCiber, os níveis de conformidade e as medidas mínimas.
O RJC conhece três qualificações: entidades essenciais, entidades importantes e, como figura nacional, entidades públicas relevantes. Todas têm de se registar e notificar incidentes significativos. As diferenças estão sobretudo nas medidas exigidas, na forma de supervisão e no valor das coimas.
Que setores estão abrangidos
Os setores constam de dois anexos ao decreto-lei. O anexo I reúne os setores de importância crítica, o anexo II os outros setores críticos.
| Anexo I (importância crítica) | Anexo II (outros setores críticos) |
|---|---|
| Energia (eletricidade, aquecimento e arrefecimento urbano, petróleo, gás, hidrogénio) | Serviços postais e de estafeta |
| Transportes (aéreo, ferroviário, aquático, rodoviário) | Gestão de resíduos |
| Setor bancário | Produção, fabrico e distribuição de produtos químicos |
| Infraestruturas do mercado financeiro | Produção, transformação e distribuição de produtos alimentares |
| Saúde | Indústria transformadora: dispositivos médicos, equipamento informático, eletrónico e ótico, equipamento elétrico, máquinas, veículos automóveis, outro equipamento de transporte |
| Água potável e águas residuais | Prestação de serviços digitais (mercados em linha, motores de pesquisa, redes sociais) |
| Infraestruturas digitais e gestão de serviços TIC entre empresas | Investigação |
| Espaço |
Decisiva é a atividade que a organização exerce, não o código de atividade que tem registado. Um fabricante de equipamento elétrico que também presta serviços geridos de TI a clientes deve analisar as duas atividades: a segunda cabe no anexo I.
Limiar de dimensão e qualificação
As entidades privadas dos anexos I e II ficam abrangidas a partir da dimensão de média empresa, segundo a Recomendação 2003/361/CE, que o anexo III do RJC reproduz (art. 3.º, n.º 1). Em termos práticos, uma empresa deixa de ser pequena com 50 ou mais trabalhadores, ou com volume de negócios anual e balanço total ambos acima de 10 milhões de euros. É grande a partir de 250 trabalhadores, ou com volume de negócios acima de 50 milhões e balanço total acima de 43 milhões de euros.
O art. 6.º RJC distingue depois as duas qualificações:
- Entidades essenciais: entidades do anexo I acima dos limiares de média empresa; prestadores qualificados de serviços de confiança, registos de domínios de topo e prestadores de DNS, independentemente da dimensão; fornecedores de comunicações eletrónicas a partir de média empresa; entidades críticas segundo a Diretiva (UE) 2022/2557, independentemente da dimensão; e certas entidades da Administração Pública com funções de infraestrutura TIC ou forte integração digital.
- Entidades importantes: as restantes entidades dos anexos I e II abrangidas pelo regime.
Um exemplo: um fabricante de máquinas com 120 trabalhadores está no anexo II e acima do limiar de média empresa, logo é entidade importante. Um hospital privado com 400 trabalhadores está no anexo I e acima do limiar de média empresa, logo é entidade essencial. Uma empresa de gestão de resíduos com 30 trabalhadores e 6 milhões de euros de volume de negócios fica, em regra, fora do âmbito.
Administração Pública e entidades públicas relevantes
O RJC vai além da diretiva no setor público. Aplica-se à administração direta e indireta do Estado e das Regiões Autónomas, à administração autónoma e às entidades administrativas independentes, com exceção do Banco de Portugal, da CMVM e da ASF (art. 3.º, n.º 3). Abrange também a Provedoria de Justiça, o Conselho Económico e Social e os serviços técnicos e administrativos da Presidência da República, da Assembleia da República e dos tribunais (art. 3.º, n.º 4). Todas as instituições de ensino superior estão abrangidas (art. 3.º, n.º 6).
As entidades públicas que não sejam essenciais nem importantes são entidades públicas relevantes (art. 7.º). O Grupo A reúne os serviços da administração direta com 250 ou mais trabalhadores, as entidades da administração indireta e autónoma com mais de 250, as entidades públicas empresariais acima dos limiares de média empresa, as entidades administrativas independentes e os órgãos do art. 7.º, n.º 2, alínea h). O Grupo B reúne os serviços e entidades com 75 a 249 trabalhadores e as entidades públicas empresariais de média dimensão. Se uma entidade cumprir várias qualificações, aplica-se a mais exigente, pela ordem essencial, importante, Grupo A, Grupo B (art. 9.º).
Casos especiais e exclusões
Algumas entidades ficam abrangidas independentemente da dimensão (art. 3.º, n.º 2): fornecedores de redes públicas ou serviços de comunicações eletrónicas acessíveis ao público, prestadores de serviços de confiança, registos de domínios de topo e prestadores de serviços de registo de nomes de domínio e de DNS. O mesmo vale quando a entidade é o único prestador de um serviço essencial, quando uma perturbação pode afetar a segurança ou a saúde públicas ou criar riscos sistémicos, ou quando a entidade é crítica pela sua importância nacional ou regional. As entidades críticas designadas ao abrigo da Diretiva (UE) 2022/2557 estão sempre abrangidas (art. 3.º, n.º 5).
Ficam excluídas, quanto às redes e sistemas diretamente ligados ao comando e controlo ou à informação classificada, as Forças Armadas, as polícias, os serviços de informações e entidades semelhantes (art. 3.º, n.º 7). Para o setor financeiro, o Regulamento DORA mantém-se aplicável (art. 3.º, n.º 9).
Quanto ao território, o RJC aplica-se a entidades com estabelecimento em Portugal. Para prestadores de nuvem, centros de dados, serviços geridos, DNS e serviços digitais conta o estabelecimento principal, ou seja, onde são tomadas predominantemente as decisões de gestão de riscos (art. 4.º).
Como confirmar a qualificação
O CNCS disponibiliza na plataforma MyCiber um instrumento de apoio para verificar se a entidade está abrangida e com que qualificação (art. 4.º, n.º 6, do Regulamento n.º 756/2026). A resposta não é vinculativa e não dispensa a autoidentificação (art. 4.º, n.º 7). A qualificação definitiva resulta da decisão do CNCS depois do registo na MyCiber.
Documente a sua análise mesmo que conclua não estar abrangido: setores considerados, números de trabalhadores e financeiros, data e responsável. Se a situação mudar, por exemplo após uma aquisição, repita a análise. Para uma primeira orientação, a avaliação NIS2 estima a qualificação e mostra em que ponto está face aos deveres do Decreto-Lei n.º 125/2025.
Perguntas frequentes
Uma pequena empresa pode estar abrangida?
Sim, nos casos do art. 3.º, n.º 2, RJC, por exemplo prestadores de serviços de confiança, de DNS ou de comunicações eletrónicas, e quando o CNCS considera a entidade crítica. As entidades críticas segundo a Diretiva (UE) 2022/2557 estão abrangidas independentemente da dimensão.
O que são entidades públicas relevantes?
Uma qualificação nacional para entidades públicas que não são essenciais nem importantes (art. 7.º RJC). Dividem-se nos Grupos A e B conforme o número de trabalhadores e têm medidas e coimas próprias.
As universidades estão abrangidas?
Sim. O art. 3.º, n.º 6, RJC aplica o regime a todas as instituições de ensino superior, sem limiar de dimensão.
O instrumento de apoio do CNCS substitui a autoidentificação?
Não. A resposta do instrumento não é vinculativa e o formulário de autoidentificação continua obrigatório (art. 4.º, n.º 7, do Regulamento n.º 756/2026).