NIS2 e cadeia de fornecimento
O Regime Jurídico da Cibersegurança, explicado e aplicado.
Desde abril de 2026, o Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2, abrange grande parte da administração pública, incluindo a das Regiões Autónomas. Explicamos o que muda e ajudamos a pôr em prática o que depende dos seus sistemas de informação e dos seus fornecedores.
- Sessão gratuita para entidades públicas
- Notificação em 24 horas
- Cadeia de fornecimento
Quem está abrangido
Três níveis, consoante o setor e a dimensão.
O regime aplica-se aos serviços da administração direta e indireta do Estado e das Regiões Autónomas, à administração autónoma e às entidades administrativas independentes, entre outras. A qualificação é feita pelo Centro Nacional de Cibersegurança (CNCS), a partir do registo de cada entidade.
-
Entidades essenciais e importantes
Qualificadas pelo setor em que atuam e pela dimensão, como alguns prestadores de cuidados de saúde.
- Medidas de segurança definidas na lei
- Responsável de cibersegurança e ponto de contacto permanente
- Responsabilidade dos órgãos de gestão
-
Entidades públicas relevantes, Grupo A
Serviços e entidades públicas com 250 ou mais trabalhadores e entidades administrativas independentes.
- Medidas fixadas por regulamento do CNCS
- Notificação de incidentes significativos
- Coimas de 16 000 a 4 milhões de euros
-
Entidades públicas relevantes, Grupo B
Serviços e entidades públicas com 75 a 249 trabalhadores.
- Medidas proporcionais à dimensão
- Notificação de incidentes significativos
- Coimas de 8 000 a 350 000 euros
O que muda
As obrigações que mais trabalho dão.
Resumo informativo do Decreto-Lei n.º 125/2025. Não substitui a leitura do diploma nem o aconselhamento jurídico.
| Obrigação | O que implica | Onde está na lei |
|---|---|---|
| Registo | Identificar a entidade na plataforma do CNCS no prazo de 60 dias após a sua disponibilização e manter a informação atualizada. | Artigo 8.º |
| Medidas de segurança | Tratamento de incidentes, continuidade e cópias de segurança, cadeia de abastecimento, gestão de vulnerabilidades, controlo de acessos, criptografia, autenticação multifator e formação. | Artigos 27.º e 33.º |
| Cadeia de abastecimento | Avaliar as vulnerabilidades e as práticas de segurança de cada fornecedor e prestador de serviços direto, incluindo o desenvolvimento seguro. | Artigo 28.º |
| Gestão e responsáveis | Nas entidades essenciais e importantes, a gestão aprova e supervisiona as medidas e designa um responsável de cibersegurança. | Artigos 25.º e 31.º |
| Notificação de incidentes | Comunicar incidentes significativos ao CNCS em prazos de horas, com relatório final. | Artigos 42.º a 44.º |
| Coimas | Contraordenações muito graves para quem não adota as medidas ou não notifica; dispensa possível, a pedido, até abril de 2027. | Artigos 61.º e 65.º |
Incidentes significativos
Os prazos para notificar o CNCS.
Os prazos contam a partir do momento em que a entidade verifica o incidente, e não do momento em que o resolve. Aplicam-se também às entidades públicas relevantes.
-
Notificação inicial
Contactos, data e hora, descrição e estimativa do impacto do incidente.
-
Atualização
Quando necessária, com uma avaliação inicial da gravidade e do impacto.
-
Fim do impacto
Medidas adotadas e situação no momento em que o impacto deixou de ser significativo.
-
Relatório final
Causa, impacto, medidas de mitigação e situação residual.
Como ajudamos
Do inventário à notificação, o que depende dos sistemas.
Muito do que o regime exige depende da forma como os sistemas de informação são desenhados, mantidos e documentados. É aí que entramos.
-
Inventário de sistemas
Lista dos sistemas, dos dados que tratam, de quem os mantém e das dependências de cada um.
- Sistemas e componentes
- Fornecedores e acessos
- Dados pessoais e críticos
-
Análise de risco
Ameaças, vulnerabilidades e impacto, para decidir que medidas aplicar primeiro.
- Matriz de risco
- Prioridades por impacto
- Plano de medidas
-
Medidas técnicas
Cópias de segurança, autenticação multifator, registos de atividade, atualizações e controlo de acessos.
- Nos sistemas que mantemos
- Ou com a sua equipa
- Documentadas para a auditoria
-
Cláusulas para fornecedores
Requisitos de segurança para cadernos de encargos e contratos de software e de manutenção.
- Prazos de correção
- Comunicação de incidentes
- Direito de auditar
-
Resposta e notificação
Procedimento de resposta a incidentes e apoio na preparação das notificações ao CNCS.
- Circuito de decisão
- Modelos de notificação
- Disponibilidade 24/7 por contrato
-
Auditorias de código
Para avaliar o software próprio ou o de um fornecedor, como pede a gestão da cadeia de abastecimento.
- Achados confirmados
- Correções propostas
- Reteste incluído
-
Testes de penetração
Para confirmar o que um atacante conseguiria explorar nas aplicações e na infraestrutura.
- Autorização escrita
- Janelas acordadas
- Reteste incluído
-
Formação
Formação regular para dirigentes, técnicos e utilizadores, também exigida pelo regime.
- Dirigentes e técnicos
- Ciber-higiene
- Phishing e boas práticas
Cadeia de fornecimento
As perguntas a fazer a cada fornecedor de software.
Muitos incidentes começam num fornecedor: uma aplicação sem atualizações, um acesso remoto mal protegido, uma biblioteca com uma falha conhecida. O regime obriga a avaliar estas práticas, e as respostas devem ficar nos contratos.
- Correções: como são aplicadas as correções de segurança e em quanto tempo?
- Componentes: que bibliotecas e componentes de terceiros usa o sistema?
- Acessos: quem acede aos sistemas, a partir de onde e com que autenticação?
- Registos: que registos de atividade existem e durante quanto tempo?
- Recuperação: há cópias de segurança testadas e um plano de recuperação?
- Incidentes: como e em quanto tempo somos avisados de um incidente ou de uma vulnerabilidade?
- Alojamento: onde estão os dados e quem os pode tratar?
24 e 72 horas
Os prazos de notificação exigem que a informação do fornecedor chegue depressa.
No contrato
Prazos e deveres escritos, não apenas prometidos.
Verificável
Auditorias e testes confirmam o que o fornecedor declara.
Proporcional
Mais exigência para os sistemas mais críticos.
Para quem nos contrata
As mesmas perguntas, respondidas para os sistemas que mantemos.
Somos também fornecedores de software de organismos públicos. Por isso, damos a quem nos contrata as respostas que o regime pede.
- Atualizações de segurança sempre incluídas na manutenção dos sistemas que desenvolvemos.
- Respostas por escrito às perguntas da cadeia de fornecimento, para juntar ao processo da entidade.
- Prazos de correção e de comunicação de incidentes acordados em contrato.
- Histórico e auditoria incluídos em cada sistema que desenvolvemos, para reconstruir o que aconteceu.
Manutenção
Correções de segurança incluídas.
Documentação
Respostas prontas para o processo NIS2.
Registos
Atividade registada para reconstruir incidentes.
Prazos
Correções e avisos com prazos em contrato.
Sessão NIS2 gratuita
Uma primeira sessão para perceber o que muda.
Para dirigentes e técnicos de entidades públicas. É genérica e não inclui a análise dos sistemas da entidade, como a nossa sessão de literacia em IA.
- O novo regime em linguagem simples: quem está abrangido, que obrigações tem e que prazos contam.
- Incidentes: o que é um incidente significativo e como se preparam as notificações.
- Cadeia de fornecimento: o que perguntar aos fornecedores e o que pôr nos contratos.
- Por onde começar: os primeiros passos, do registo ao inventário.
- Sem compromisso: a sessão não obriga a contratar qualquer serviço.
Perguntas frequentes
Sobre a NIS2 e o Regime Jurídico da Cibersegurança.
A minha entidade está abrangida?
Muito provavelmente, se for um serviço ou uma entidade da administração pública com 75 ou mais trabalhadores, ou se atuar num setor considerado essencial ou importante. A qualificação final é feita pelo CNCS, a partir do registo da entidade na plataforma que disponibiliza para o efeito.
Até quando há tempo para cumprir sem coimas?
A lei permite pedir, de forma fundamentada, a dispensa de coimas durante os primeiros 12 meses de vigência, isto é, até abril de 2027, quando ainda não exista um procedimento interno de adaptação. É um prazo para preparar, não para adiar.
Os fornecedores de software também ficam obrigados?
Depende de cada fornecedor ser ou não qualificado. Mas a entidade tem sempre de avaliar a segurança dos seus fornecedores e prestadores de serviços diretos, e por isso deve exigir-lhes respostas e compromissos em contrato.
A sessão gratuita tem algum compromisso?
Não. É uma sessão genérica, para dirigentes e técnicos, que não inclui a análise dos sistemas da entidade e não obriga a contratar qualquer serviço.
Esta página substitui aconselhamento jurídico?
Não. A informação tem caráter informativo e resume o Decreto-Lei n.º 125/2025 na versão publicada. As obrigações concretas de cada entidade devem ser confirmadas no diploma, na regulamentação do CNCS e, se necessário, com aconselhamento jurídico.
Quer preparar a sua entidade para o novo regime?
Comece por uma sessão NIS2 gratuita ou fale connosco sobre o inventário, as medidas e os fornecedores.