- Alameda F.C. Infesta 47, São Mamede de Infesta, Porto
- info@orbcom.pt
- (+351) 225 400 069
A publicação do Decreto-Lei n.º 125/2025, de 4 de dezembro, marca um momento relevante na evolução do enquadramento legal da cibersegurança em Portugal.
O diploma aprova o novo Regime Jurídico da Cibersegurança e transpõe para a ordem jurídica nacional a Diretiva (UE) 2022/2555, conhecida como Diretiva NIS 2.
Na prática, este novo regime alarga o universo de entidades abrangidas, reforça obrigações de gestão de risco e notificação de incidentes e consolida o papel do Centro Nacional de Cibersegurança (CNCS) enquanto autoridade nacional de cibersegurança.
O diploma estabelece o novo regime jurídico aplicável à cibersegurança em Portugal e define a base legal para a aplicação nacional da NIS 2. Além do regime principal, prevê ainda instrumentos complementares que serão determinantes para a sua execução prática.
O novo regime será complementado por três instrumentos centrais da Segurança do Ciberespaço:
O novo Regime Jurídico da Cibersegurança aplica-se a diferentes tipos de entidades, consoante o seu setor de atividade, dimensão, grau de exposição ao risco e relevância operacional. De forma geral, o enquadramento distingue entre entidades essenciais, entidades importantes e entidades públicas relevantes.
Quando uma entidade possa enquadrar-se em mais do que uma categoria, prevalece a qualificação mais exigente do ponto de vista dos requisitos aplicáveis, segundo a seguinte ordem:
São consideradas entidades essenciais, nomeadamente:
São consideradas entidades importantes:
As entidades públicas que não sejam qualificadas como entidades essenciais ou importantes são consideradas Entidades Públicas Relevantes.
Para efeitos de aplicação do Regime Jurídico da Cibersegurança, estas entidades dividem-se em dois grupos.
Incluem-se no Grupo A:
Incluem-se no Grupo B:
Este diploma alarga significativamente o leque de entidades abrangidas e reforça três dimensões centrais:
Além disso, o diploma entra em vigor 120 dias após a publicação, ou seja, a 3 de abril de 2026, e prevê coimas que podem atingir 10 milhões de euros ou 2 % do volume de negócios, consoante o montante mais elevado.
Anexo I – Setores de importância crítica
Anexo II – Outros setores críticos
As entidades abrangidas devem identificar-se numa plataforma eletrónica disponibilizada pelo CNCS. Em regra, essa identificação deve ocorrer no prazo de 30 dias após o início da atividade ou, no caso de entidades já em funcionamento, no prazo de 60 dias após a disponibilização da plataforma, mantendo depois a informação atualizada. O projeto de regulamento em consulta pública detalha precisamente as funcionalidades desta plataforma, incluindo o registo das entidades, a comunicação do relatório anual, a indicação do responsável de cibersegurança, do ponto de contacto permanente e a notificação de incidentes.
A qualificação das entidades como essenciais ou importantes é realizada pelo CNCS, devendo ser fundamentada e assentar nos mecanismos previstos no artigo 8.º do diploma.
Os órgãos de gestão, direção e administração das entidades essenciais e importantes passam a ter responsabilidades diretas, nomeadamente:
Além disso:
As entidades essenciais e importantes devem adotar medidas:
Estas medidas devem:
O regime remete ainda para regulamentação do CNCS:
Entre as áreas que devem ser abrangidas pelas medidas de cibersegurança estão:
No caso das entidades públicas relevantes:
O diploma dedica atenção específica à segurança da cadeia de abastecimento. As medidas a adotar devem ter em conta:
As entidades essenciais e importantes devem:
Com base nessa avaliação, devem ainda:
As entidades essenciais e importantes devem elaborar e manter um relatório anual com, entre outros, os seguintes elementos:
Quanto ao envio do relatório:
As entidades essenciais e importantes devem designar um responsável de cibersegurança para a gestão da cibersegurança e da segurança da informação.
Este responsável deve:
As entidades que já estavam em atividade à data da entrada em vigor do diploma dispõem de:
Na prática, este prazo remete para:
Entre as funções mínimas deste responsável estão:
As entidades essenciais e importantes devem assegurar e comunicar ao CNCS um ponto de contacto permanente com disponibilidade contínua.
Esse ponto de contacto deve garantir:
Tal como sucede com o responsável de cibersegurança:
O CNCS pode exigir às entidades essenciais, importantes e públicas relevantes:
As entidades essenciais, importantes e públicas relevantes devem notificar ao CNCS qualquer incidente significativo.
Para essa avaliação, devem ser considerados fatores como:
O regime prevê:
Além disso:
O regime distingue a intensidade da supervisão consoante o tipo de entidade.
As entidades essenciais ficam sujeitas a medidas de supervisão mais abrangentes, incluindo:
As entidades importantes e as entidades públicas relevantes ficam sujeitas a um regime de supervisão ex post, aplicável quando existam provas, indícios ou informações de incumprimento.
Esse regime pode incluir:
O incumprimento das obrigações previstas no novo Regime Jurídico da Cibersegurança pode dar origem a coimas muito relevantes.
No caso das entidades essenciais, as contraordenações muito graves podem atingir:
O CNCS destaca este agravamento do quadro sancionatório como um dos sinais do reforço da responsabilização.
Além disso:
Embora o diploma já esteja em vigor, uma parte relevante da sua execução depende ainda de regulamentação complementar do CNCS. O projeto de regulamento do Regime Jurídico da Cibersegurança encontra-se em consulta pública, prevendo matérias como a plataforma eletrónica, os níveis de conformidade, os critérios de verificação e as medidas aplicáveis às entidades públicas relevantes.
Além disso, o próprio decreto-lei determina que algumas disposições só produzem efeitos 24 meses após a publicação da regulamentação referida em vários artigos do regime, o que torna especialmente importante acompanhar a evolução regulamentar e preparar a organização com antecedência.
Por isso, o passo mais importante neste momento é perceber se a organização está, direta ou indiretamente, abrangida pelo diploma, garantir a sua identificação junto do CNCS quando aplicável e avaliar, de forma integrada, o nível de cumprimento legal, processual, organizativo e tecnológico. Só depois dessa análise será possível definir um roadmap realista de adaptação, com prioridades claras, medidas proporcionais ao risco e menor exposição a incumprimentos.
A antecipação será decisiva. Num regime que reforça obrigações, supervisão e sanções, preparar cedo continua a ser a forma mais inteligente de reduzir risco e ganhar margem de execução.
Fale connosco através de info@orbcom.pt.
Subscreva a nossa newsletter e fique a par de todas as novidades!
Se quiser conhecer melhor a ORBCOM e perceber como os nossos produtos, serviços de consultoria e outsourcing se enquadram na sua realidade, fale com um especialista.
