Módulo 9 · 9.1
NIS2 e o Decreto-Lei n.º 125/2025
Módulo 9: Regras e organização · Tempo de leitura: 11 minutos
Objetivo de aprendizagem: No final desta lição, saberá explicar o que a transposição nacional da NIS2 regula, a quem se aplica e o que pode significar, através da cadeia de fornecimento, para as pequenas empresas.
Conceitos-chave: NIS2, Decreto-Lei n.º 125/2025, entidade essencial e importante, setor, dimensão, dever de cuidado, dever de notificação (24 horas, 72 horas, 1 mês), dever de registo, cadeia de fornecimento, autoavaliação
De diretiva europeia a lei nacional
A NIS2 é uma diretiva europeia de 2022 (Diretiva (UE) 2022/2555) que visa reforçar a resiliência digital das organizações importantes em toda a UE. Uma diretiva não se aplica diretamente: cada país transpõe-na para uma lei própria. Em Portugal, essa transposição é feita pelo Decreto-Lei n.º 125/2025, que estabelece o regime jurídico da cibersegurança e transpõe a Diretiva NIS2 para a ordem jurídica nacional. Consulte sempre o texto oficial para saber a partir de quando as obrigações concretas se aplicam à sua organização.
Na Holanda, a lei nacional que transpõe a NIS2 chama-se Cyberbeveiligingswet (Cbw). Segundo o NCSC neerlandês (o centro nacional de cibersegurança dos Países Baixos), mais de 8.000 organizações estão abrangidas por essa lei no território neerlandês. Trata-se de uma pequena parte do total de empresas na Holanda. Para a maioria das pequenas empresas, a pergunta mais relevante não é por isso "estou obrigado por esta lei?", mas sim "o que me vão exigir os meus clientes, porque eles próprios estão abrangidos?". Voltaremos a este ponto mais adiante.
Em cada país, o centro nacional de cibersegurança é o ponto de contacto para a transposição da NIS2, incluindo para as pequenas e médias empresas.
A sua organização está abrangida? Setor e dimensão
Saber se uma organização está abrangida depende de duas perguntas.
1. Trabalha num setor abrangido pela lei? A lei prevê dois anexos de setores.
| Anexo 1 (11 setores) | Anexo 2 (7 setores) |
|---|---|
| energia, transportes, setor bancário, água potável, infraestruturas digitais, gestão de serviços de TIC, espaço, infraestruturas dos mercados financeiros, saúde, águas residuais, administração pública | fornecedores digitais, serviços postais e de correio expresso, gestão de resíduos, produtos alimentares, substâncias químicas, investigação, fabrico (indústria transformadora) |
Para alguns setores aplicam-se condições adicionais definidas pelo ministério responsável. Nem toda a organização que lida com "produtos alimentares", por exemplo, fica automaticamente abrangida.
2. A sua organização tem dimensão suficiente? A sua organização conta se:
- tiver 50 ou mais trabalhadores (ETI), ou
- tiver menos de 50 trabalhadores, mas o volume de negócios anual e o balanço total forem ambos superiores a 10 milhões de euros.
Empresas parceiras e empresas associadas são tidas em conta. Uma empresa com 20 trabalhadores que pertença a um grupo de 200 pode, por isso, estar abrangida.
Exceções: independentemente da dimensão. Alguns tipos de organizações estão sempre abrangidos, por muito pequenos que sejam: fornecedores de DNS, registos de domínios de topo, fornecedores de redes e serviços públicos de comunicações eletrónicas, prestadores de serviços de confiança e organizações da administração pública. Também os fornecedores de serviços de registo de nomes de domínio têm de se registar.
Essencial ou importante
As organizações abrangidas pela lei são entidades essenciais ou entidades importantes. Em termos gerais: as grandes organizações nos setores do anexo 1 e alguns tipos sempre designados, independentemente da dimensão, são essenciais; as restantes são importantes. A diferença está, sobretudo, na supervisão: no caso das entidades essenciais, a autoridade competente pode fiscalizar por iniciativa própria, por exemplo através de inspeções e auditorias; no caso das entidades importantes, intervém sobretudo a posteriori, quando há indícios de incumprimento. Os deveres em si são, em grande parte, iguais. Para saber se a sua organização é essencial ou importante, utilize a autoavaliação indicada mais abaixo.
Como verificar
Na Holanda, a Rijksinspectie Digitale Infrastructuur (RDI, a autoridade competente neerlandesa) disponibiliza uma autoavaliação NIS2 gratuita em https://regelhulpenvoorbedrijven.nl/NIS-2-NL/ (fonte oficial neerlandesa). Responde-se a uma série de perguntas sobre setor, dimensão e serviços e obtém-se um resultado. Em Portugal, consulte a autoridade competente para confirmar se a sua organização está abrangida pelo Decreto-Lei n.º 125/2025, sobretudo se a sua empresa pertencer a um grupo ou operar em vários países.
O que a lei exige
Se a sua organização estiver abrangida, aplicam-se três deveres.
Dever de registo
A organização regista-se junto da entidade competente, em Portugal através do registo junto da autoridade nacional de cibersegurança. Assim, o Estado sabe quem está abrangido e consegue contactar a organização em caso de ameaça.
Dever de cuidado
Elabora-se uma análise de risco e tomam-se, com base nela, medidas adequadas e proporcionadas para a segurança dos sistemas de redes e de informação. O NCSC neerlandês identifica pelo menos dez temas, que foram todos abordados ao longo deste curso:
- análise de risco (lição 1.1 e 9.3);
- gestão de incidentes com um plano de incidentes (lição 8.1);
- preparação para situações de indisponibilidade: cópias de segurança, planos de recuperação, gestão de crises (módulo 6);
- segurança da cadeia de fornecimento, incluindo os riscos associados a fornecedores (lição 7.2);
- higiene cibernética e formação (lição 9.2);
- aquisição, desenvolvimento e manutenção seguros de sistemas, incluindo atualizações (lição 5.1);
- pessoal, política de acessos e gestão de equipamentos e software (lição 7.1);
- passkeys ou autenticação multifator e comunicações seguras (módulo 2);
- uma política de criptografia (cifragem);
- avaliação da eficácia das medidas, por exemplo através de testes periódicos (lição 6.3 e 9.3).
O órgão de administração é responsável: aprova as medidas e fiscaliza a sua execução. Segundo a diretiva europeia, os membros do órgão de administração devem ainda receber formação sobre riscos de cibersegurança. A cibersegurança deixa, assim, de ser uma tarefa que se delega simplesmente no responsável de informática.
Dever de notificação
Um incidente significativo deve ser notificado, em Portugal, junto da autoridade competente; na Holanda, isso faz-se através do MijnNCSC. Trata-se de um incidente que perturba gravemente a prestação do serviço, causa danos financeiros ou pode causar grandes prejuízos a terceiros; os limiares exatos variam consoante o setor. Os prazos contam a partir do momento em que se tem conhecimento do incidente:
| Prazo | O que se envia |
|---|---|
| No prazo de 24 horas | Alerta precoce: se é presumivelmente malicioso, se há efeitos transfronteiriços, quem é o contacto |
| No prazo de 72 horas | Notificação do incidente: uma atualização com uma primeira avaliação da gravidade e do impacto |
| No prazo de 1 mês após a notificação | Relatório final: o que aconteceu, a causa e as medidas tomadas (se o incidente se prolongar: um relatório intercalar) |
Na Holanda, uma única notificação através do MijnNCSC chega tanto à equipa de resposta a incidentes (CSIRT) como à autoridade de supervisão. Além disso, segundo a diretiva, deve informar-se, sempre que necessário, os destinatários dos serviços sobre incidentes significativos que os possam afetar.
Notificação ao abrigo da NIS2 e notificação ao abrigo do RGPD: duas coisas diferentes
Isto pode parecer semelhante ao dever de notificação de fugas de dados previsto no RGPD (lição 8.2), e o prazo de "72 horas" surge em ambos. Ainda assim, são dois deveres distintos.
| Transposição da NIS2 | RGPD (fuga de dados) | |
|---|---|---|
| Para quem | Organizações abrangidas pela lei nacional de transposição da NIS2 | Qualquer pessoa ou entidade que trate dados pessoais, incluindo um trabalhador independente |
| Sobre o quê | Incidentes significativos relacionados com a prestação do serviço | Violações da segurança de dados pessoais |
| A quem | A autoridade competente (na Holanda, o NCSC através do MijnNCSC) | Comissão Nacional de Proteção de Dados (CNPD) |
| Prazos | 24 horas, 72 horas, 1 mês | Sem atraso injustificado, se possível no prazo de 72 horas |
Um ataque de ransomware a uma organização abrangida pela transposição da NIS2, no qual também sejam roubados dados de clientes, tem de ser notificado às duas entidades. E uma pequena empresa que não esteja abrangida pela transposição da NIS2 tem, mesmo assim, o dever de notificação do RGPD caso haja uma fuga de dados pessoais.
Se não estiver abrangido: a cadeia de fornecimento
Para a maioria dos leitores deste curso, a resposta à primeira pergunta é: não, a minha empresa não está abrangida pela transposição da NIS2. A padaria com doze trabalhadores, o escritório de contabilidade com cinco, o criador de sites a trabalhar sozinho. Nesse caso, não tem deveres legais decorrentes dessa lei: sem registo, sem dever de notificação junto da autoridade competente, sem supervisão.
Mas a lei pode chegar até si através dos seus clientes. As organizações abrangidas têm de proteger a sua cadeia de fornecimento: têm de ter em conta as vulnerabilidades dos seus fornecedores e prestadores de serviços diretos. O NCSC neerlandês refere que, na Holanda, a lei não impõe obrigações diretas aos fornecedores, mas que as organizações abrangidas podem, ainda assim, exigir determinados requisitos de segurança digital aos seus fornecedores. Esses requisitos acabam por constar do contrato ou de um questionário.
Um exemplo (baseado na realidade neerlandesa). Uma pequena empresa de informática com seis trabalhadores gere os portáteis e a rede de uma empresa de transportes de média dimensão, com 140 trabalhadores. A empresa de transportes está abrangida pela Cyberbeveiligingswet neerlandesa (transporte, dimensão suficiente). A empresa de informática, por si só, não está: "gestão de serviços de TIC" consta do anexo 1, mas a empresa é demasiado pequena. Ainda assim, recebe um questionário: têm autenticação de dois fatores nas ferramentas de gestão, quem tem acesso aos nossos sistemas, com que rapidez notificam um incidente à nossa empresa, onde estão guardadas as cópias de segurança?
O que o NCSC neerlandês refere a este respeito, e o que isso pode significar para si:
- Os requisitos devem ser adequados. Um cliente deve avaliar o risco que o seu serviço representa para ele. Um fornecedor com acesso aos sistemas recebe requisitos mais exigentes do que, por exemplo, quem apenas entrega o almoço.
- O foco está nos fornecedores diretos. Os fornecedores dos seus fornecedores ficam fora do âmbito da lei.
- Um certificado não é obrigatório. A lei não impõe nenhum selo de certificação. Um certificado pode facilitar a conversa, mas não é uma garantia nem uma exigência legal.
- Comece a conversa cedo. Faça um levantamento das medidas que já tem implementadas nos pontos de contacto com o cliente e registe os acordos por escrito.
Por isso, não exagere. A transposição da NIS2 não transforma uma pequena empresa numa organização "obrigada pela NIS2", e um consultor que lhe diga isso para vender uma certificação cara está a contar apenas parte da história. Mas também não subestime a situação: quem fornece serviços a organizações maiores tem cada vez mais frequentemente de demonstrar que tem as bases em ordem. As medidas básicas abordadas neste curso são exatamente aquilo que esse tipo de questionário costuma pedir.
Esta lição dá uma explicação geral e não constitui aconselhamento jurídico. Consulte as regras atuais junto da autoridade competente em Portugal e no texto do Decreto-Lei n.º 125/2025; para a regulamentação neerlandesa (apenas como referência), veja https://www.ncsc.nl/cyberbeveiligingswet-nis2 (fonte oficial neerlandesa) e o texto legal em https://wetten.overheid.nl/BWBR0052872/2026-08-15/0 (fonte oficial neerlandesa).
Resumo
- Em Portugal, a transposição nacional da NIS2 é feita através do Decreto-Lei n.º 125/2025; na Holanda, a lei equivalente chama-se Cyberbeveiligingswet (Cbw).
- Está abrangido se pertencer a um setor do anexo 1 ou 2 e tiver 50 ou mais trabalhadores, ou um volume de negócios anual e um balanço total ambos superiores a 10 milhões de euros; alguns tipos (como fornecedores de DNS e a administração pública) estão sempre abrangidos, independentemente da dimensão.
- Deveres: registar a organização junto da autoridade competente, cumprir o dever de cuidado com análise de risco e medidas adequadas sob responsabilidade do órgão de administração, e notificar incidentes significativos no prazo de 24 horas, 72 horas e 1 mês.
- A notificação ao abrigo da transposição da NIS2, junto da autoridade competente, é independente da notificação de fugas de dados ao abrigo do RGPD, junto da CNPD; por vezes, é preciso fazer as duas.
- Uma pequena empresa normalmente não está abrangida diretamente, mas pode receber, através de clientes que estão abrangidos, requisitos de segurança adequados.
Questionário
Exercício
Exercício A9.1: Está abrangido pelo Decreto-Lei n.º 125/2025? Vai receber seis descrições curtas de organizações (setor, número de trabalhadores, volume de negócios, balanço total, eventualmente um grupo ou um grande cliente). Determine, para cada organização: está abrangida, não está abrangida mas provavelmente vai receber requisitos através de um cliente, ou não está abrangida de todo. O programa corrige o exercício e mostra, para cada organização, os passos da árvore de decisão.
Para saber mais
Sobre o Decreto-Lei n.º 125/2025 ainda não existe nenhum artigo na base de conhecimento da WebOké; utilize as fontes oficiais abaixo. Alguns dos links referem-se à transposição neerlandesa da NIS2 e estão identificados como tal.
- NCSC (Países Baixos), Cyberbeveiligingswet (NIS2) [fonte oficial neerlandesa]: https://www.ncsc.nl/cyberbeveiligingswet-nis2
- NCSC (Países Baixos), A minha organização está abrangida pela Cyberbeveiligingswet (NIS2)? [fonte oficial neerlandesa]: https://www.ncsc.nl/cyberbeveiligingswet-nis2/valt-mijn-organisatie-onder-de-cyberbeveiligingswet-nis2
- NCSC (Países Baixos), Dever de cuidado [fonte oficial neerlandesa]: https://www.ncsc.nl/cyberbeveiligingswet-nis2/zorgplicht
- NCSC (Países Baixos), Dever de notificação [fonte oficial neerlandesa]: https://www.ncsc.nl/cyberbeveiligingswet-nis2/meldplicht
- NCSC (Países Baixos), A Cyberbeveiligingswet e os fornecedores [fonte oficial neerlandesa]: https://www.ncsc.nl/cyberbeveiligingswet-nis2/de-cyberbeveiligingswet-en-toeleveranciers
- RDI (Países Baixos), Autoavaliação NIS2 [fonte oficial neerlandesa]: https://regelhulpenvoorbedrijven.nl/NIS-2-NL/
- Texto legal da Cyberbeveiligingswet (Países Baixos) [fonte oficial neerlandesa]: https://wetten.overheid.nl/BWBR0052872/2026-08-15/0
- NIS2 e a Lei de Cibersegurança (Cyberbeveiligingswet): a minha empresa está abrangida?