Até há pouco tempo, a cibersegurança era vista nas empresas portuguesas como um problema exclusivo do departamento de TI. Se os computadores ligavam e o software de antivírus estava verde, estava tudo bem. A administração focava-se no negócio, nas vendas e nas margens, delegando a tecnologia para a cave técnica.
Esquece essa realidade. As regras mudaram radicalmente.
Desde o passado dia 3 de abril de 2026, com a entrada em pleno vigor do Decreto-Lei n.º 125/2025 — o diploma que transpõe a diretiva europeia NIS2 para o ordenamento jurídico português —, a segurança digital deixou de ser uma questão puramente técnica. Passou a ser uma obrigação legal de primeira linha, com impacto direto na estratégia da empresa e, sobretudo, na responsabilidade pessoal dos administradores.
Se achas que a tua empresa é demasiado pequena ou que o teu setor não mexe com "coisas de hackers", é melhor abrires os olhos. O âmbito de aplicação alargou-se de forma dramática e as coimas podem atingir valores que fazem tremer qualquer balanço financeiro.
1. O que é a NIS2 e porque é que te deve importar agora?
A diretiva europeia NIS2 (Network and Information Security) surge para elevar o nível comum de cibersegurança em toda a União Europeia, criando uma muralha defensiva contra o aumento exponencial de ataques informáticos a cadeias de abastecimento e infraestruturas vitais.
Em Portugal, o Decreto-Lei n.º 125/2025 veio substituir a antiga legislação de cibersegurança. A grande diferença face ao passado é que o foco já não está apenas nas "infraestruturas críticas" tradicionais (como a banca e a energia). A rede alargou-se para abranger milhares de organizações que até agora viviam numa zona cinzenta de menor escrutínio regulatório.
Se a tua empresa presta serviços digitais, gere tecnologias de informação, produz bens industriais ou faz parte da cadeia logística nacional, estás diretamente na mira da lei.
2. Os 17 setores abrangidos: Já não são só os gigantes da energia e da banca
Uma das maiores surpresas para muitos empresários é a extensão dos setores económicos agora cobertos pelo novo Regime Jurídico da Cibersegurança. O diploma abrange 17 setores de atividade, divididos entre essenciais e importantes.
Entre eles encontram-se áreas que antes nunca tinham tido obrigações legais apertadas nesta matéria:
- Serviços digitais e gestão de TI: Fornecedores de serviços em nuvem, centros de dados, prestadores de serviços geridos e mercados online.
- Indústria transformadora: Produção de dispositivos médicos, computadores, produtos eletrónicos, máquinas e equipamentos, veículos automóveis.
- Alimentação: Produção, transformação e distribuição por grosso de géneros alimentícios.
- Serviços postais e de correio rápido.
- Gestão de resíduos e químicos: Fabricação, fabrico e armazenamento de substâncias químicas perigosas e gestão de resíduos industriais.
- Investigação: Organizações de investigação que desenvolvem projetos críticos.
Se operas num destes setores, a questão já não é se vais cumprir, mas sim como vais demonstrar conformidade perante as autoridades.
3. A dimensão conta: O simulador do MyCiber e a tua qualificação
Nem todas as empresas do mesmo setor têm exatamente as mesmas obrigações. A lei distingue entre entidades essenciais e entidades importantes, tendo em conta critérios rigorosos de dimensão (número de colaboradores e volume de negócios anual ou balanço total) e criticidade do setor.
Para evitar dúvidas e ajudar as organizações a perceberem se entram no campo de aplicação, o Centro Nacional de Cibersegurança (CNCS) disponibilizou um simulador oficial na plataforma MyCiber.
Através desta ferramenta, podes submeter os dados da tua estrutura para apurar qual é o teu enquadramento legal exato.
Atenção: mesmo que a tua empresa seja uma PME, se fores um fornecedor crítico de uma grande empresa ou operador essencial, vais acabar por ser puxado para dentro do ecossistema de conformidade NIS2 através da segurança da cadeia de fornecimento.
4. Onde a lei aperta: Gestão de risco e responsabilidade pessoal dos administradores
Cumprir a NIS2 não se resolve com a compra de um antivírus mais caro ou com a instalação de uma firewall nova. A lei exige uma mudança estrutural na forma como geras o risco tecnológico.
As obrigações dividem-se em pilares fundamentais:
- Gestão de risco rigorosa: Análise de vulnerabilidades, segurança na cadeia de fornecimento, políticas de encriptação e autenticação multifator obrigatória.
- Resposta e notificação de incidentes: Prazos apertadíssimos para reportar incidentes significativos ao CNCS — com um alerta inicial em apenas 24 horas.
- Continuidade de negócio: Planos de recuperação de desastres e resiliência operacional testados e documentados.
- Formação contínua: Os colaboradores e a própria gestão têm de demonstrar formação regular em cibersegurança.
Mas o ponto mais crítico — e aquele que tira o sono a muitos gerentes — é a responsabilidade pessoal dos órgãos de gestão.
Com a NIS2, os administradores e dirigentes passam a ter responsabilidade direta na aprovação, supervisão e implementação destas medidas. Já não podes alegar ignorância técnica. Se ocorrer uma negligência grave ou se a empresa falhar sistematicamente na devida diligência, a administração responde perante a lei.
5. Coimas até 10 milhões de euros: Quando a falha dói na carteira
Se as exigências operacionais não fossem suficientes para chamar a atenção, o regime sancionatório do Decreto-Lei n.º 125/2025 foi desenhado para garantir que o cumprimento não é tratado de ânimo leve.
Para as entidades essenciais, as coimas por incumprimento podem atingir valores astronómicos: até 10 milhões de euros ou 2% do volume de negócios anual mundial (o que for mais elevado). Para as entidades importantes, os valores chegam aos 7 milhões de euros ou 1,4% do volume de negócios global.
Estes montantes não foram pensados para pequenas multas corretivas; foram desenhados para garantir que a cibersegurança é tratada como um pilar estratégico de sobrevivência empresarial.
O que deves fazer agora?
A transição para o modelo exigido pela NIS2 não acontece da noite para o dia. Exige auditoria aos sistemas atuais, revisão de contratos com fornecedores, atualização de políticas internas e alinhamento da administração com as equipas de tecnologia.
Se queres perceber em que ponto estás e como podes blindar a tua operação digital sem perder o foco no crescimento do teu negócio, o primeiro passo é avaliar a tua maturidade atual.
Avalia a tua estrutura tecnológica, identifica vulnerabilidades invisíveis e prepara a tua empresa para a nova realidade regulatória antes que seja tarde demais. Consulta a tua estratégia digital e dá o passo seguinte em https://mqr.pt/diagnostico.