A cibersegurança deixou de ser uma preocupação marginal em Portugal. A 4 de dezembro de 2025, foi publicado o Decreto-Lei n.º 125/2025, o qual transpõe a Diretiva (UE) 2022/2555 (NIS2) para a legislação nacional e redefine o enquadramento da segurança das redes e dos sistemas de informação. Para muitas organizações, em especial PME ligadas a grandes grupos, este novo regime terá um impacto direto nos próximos anos.

O que muda com esta lei?

O novo regime jurídico alarga de forma significativa o conjunto de entidades obrigadas a cumprir requisitos de cibersegurança, deixando de se focar apenas nas infraestruturas críticas tradicionais (por exemplo, energia e telecomunicações). Passa a abranger entidades de múltiplos setores, graduando as obrigações em função da dimensão e da importância da atividade.

Em termos gerais, a lei distingue entre:

• Entidades essenciais: grandes organizações em setores críticos, como a energia, os transportes, a saúde, a banca, as telecomunicações e parte da administração pública;
• Entidades importantes: entidades de menor dimensão, mas com um papel relevante nos setores incluídos nos anexos do decreto-lei.

Mesmo as empresas que não estejam diretamente listadas podem ser afetadas, caso sejam críticas para a prestação de serviços essenciais ou para a segurança pública, a saúde pública ou a estabilidade económica.

Impacto nas PME

Uma PME que forneça serviços a bancos, operadores de energia, hospitais ou à administração pública poderá não ser diretamente classificada como entidade essencial ou importante, mas será afetada pela exigência de segurança na cadeia de fornecimento. As grandes organizações terão de avaliar o risco associado aos seus fornecedores e exigir-lhes práticas de cibersegurança proporcionais.

Na prática, isto traduz-se em:

• Questionários e auditorias de segurança por parte dos grandes clientes;
• Exigência de controlos técnicos mínimos (acesso, cópias de segurança, atualizações, etc.). — Maior formalização de processos (políticas, registos de incidentes, planos de resposta).

Para as PME, antecipar estas exigências pode fazer a diferença entre ganhar ou perder contratos estratégicos.

Quando entra em vigor?

O Decreto-Lei n.º 125/2025 entrará em vigor 120 dias após a sua publicação, ou seja, em princípio, em abril de 2026. A partir dessa data, começam a contar-se diversos prazos para a identificação de entidades, a designação de responsáveis e a implementação progressiva de medidas.

É ainda importante salientar que algumas obrigações mais detalhadas só produzirão efeitos 24 meses após a publicação da regulamentação específica a emitir pelo Centro Nacional de Cibersegurança (CNCS), nos termos do artigo 10.º, n.º 2, o que cria uma janela de transição, mas não elimina a necessidade de preparação imediata.

Prazos para o registo na plataforma

A lei estabelece prazos diferentes consoante o momento em que a entidade inicia a sua atividade e a disponibilidade das plataformas e dos regulamentos.

• As entidades já existentes à data da entrada em vigor da lei dispõem de um prazo mais alargado para se registarem e atualizarem a informação exigida, até 60 dias após a disponibilização da plataforma.
• As novas entidades (criadas após a entrada em vigor da lei) têm 30 dias, a contar da data de início de atividade, para cumprir as obrigações de identificação e registo aplicáveis.

Regulamentos do CNCS e prazos associados

O decreto-lei não esgota o pormenor das medidas técnicas e organizativas a aplicar, pormenor esse que será aprofundado por regulamentos e referenciais a aprovar pelo CNCS. Entre os instrumentos destacados, contam-se:

• A Estratégia Nacional de Segurança do Ciberespaço;
• o Plano Nacional de Resposta a Crises e Incidentes de Cibersegurança em grande escala;
• o Quadro Nacional de Referência para a Cibersegurança (normas, padrões e boas práticas);

O artigo 10.º, n.º 2, estabelece que certas disposições do regime (incluindo artigos sobre medidas de segurança, gestão de risco e fiscalização) só produzem efeitos 24 meses após a publicação da regulamentação referida nos artigos 8.º, 14.º, 26.º, 31.º, 32.º e 83.º do regime anexo. Em termos práticos, isto significa que:

• Primeiro, o CNCS publica regulamentos e quadros de referência;
• Segundo: as entidades dispõem de até 24 meses para implementar plenamente essas medidas específicas.
• Durante esse período, o foco deve estar na preparação, avaliação de riscos e alinhamento progressivo com as boas práticas recomendadas.

Vantagens da implementação

Embora o enquadramento seja regulatório, os benefícios para quem cumpre vão para além de “evitar multas”:

• Redução do risco operacional, com menor probabilidade de interrupções de serviço, perda de dados ou incidentes graves que afetem a continuidade do negócio;
• Proteção da reputação: os incidentes de cibersegurança têm cada vez mais impacto mediático e afetam a confiança de clientes e parceiros;
• Vantagem competitiva: as empresas com práticas de segurança robustas são mais atrativas para os grandes clientes, sobretudo nos setores regulamentados.
• Melhoria da eficiência: ao mapear ativos, processos e responsabilidades, muitas organizações identificam redundâncias, falhas e oportunidades de otimização;
• Facilidade no cumprimento de outras normas: o investimento em cibersegurança facilita o alinhamento com o RGPD, as normas ISO/IEC 27001 e os esquemas de certificação europeus de cibersegurança.

Responsabilidades da gestão de topo

A gestão de topo já não pode encarar a cibersegurança como um tema exclusivamente “técnico” ou “de TI”. O regime em questão realça a governação, a proporcionalidade e a responsabilidade das entidades, o que implica o seguinte:

• Definir a visão e o apetite para o risco: clarificar o nível de risco aceitável e as prioridades de proteção (serviços críticos, dados sensíveis, etc.);
• Aprovar políticas e recursos: validar políticas de cibersegurança, planos de continuidade e orçamentos adequados para a tecnologia, as pessoas e os serviços de apoio;
• Integrar a cibersegurança na estratégia, considerando os riscos cibernéticos nas decisões de transformação digital, de externalização (cloud, serviços geridos) e de fusões/aquisições;
• Acompanhar indicadores: exigir relatórios regulares sobre incidentes, vulnerabilidades críticas, auditorias e planos de mitigação;
• Garantir o cumprimento legal: assegurar que a organização cumpre os deveres de notificação, de cooperação com as autoridades e de implementação de medidas proporcionais ao risco.

Em suma, a gestão responde não só perante o mercado e os clientes, mas também perante as autoridades de cibersegurança.

Responsabilidades do responsável de cibersegurança

Muitas entidades terão de nomear um responsável pela cibersegurança ou função equivalente, que atuará como ponto de contacto operacional e interlocutor privilegiado com o CNCS. Entre as responsabilidades típicas, contam-se:

• Avaliação e documentação de riscos: identificação de ativos críticos, ameaças, vulnerabilidades e risco residual, com base nas matrizes de risco setoriais previstas no regime;
• Implementação de medidas técnicas e organizativas, como controlos de acesso, segmentação de redes, cópias de segurança, encriptação, políticas de palavras-passe e gestão de vulnerabilidades;
• Gestão de incidentes: preparar, testar e executar planos de resposta a incidentes, incluindo a sua deteção, contenção, erradicação e recuperação;
• Notificação de incidentes significativos: assegurar que os incidentes que cumpram os critérios legais são comunicados à autoridade de cibersegurança competente dentro dos prazos aplicáveis;
• Sensibilização e formação: promover programas regulares de sensibilização para os colaboradores e terceiros com acesso a sistemas críticos;
• Coordenação com fornecedores: avaliação da segurança dos prestadores de serviços de tecnologias de informação e comunicação (TIC), serviços geridos e outros elementos da cadeia de fornecimento.

A eficácia deste papel depende fortemente do apoio da administração superior e da clareza do mandato.

Recomendações práticas

Para as entidades que podem ser classificadas como essenciais ou importantes:

• Identificar, desde já, a categoria em que se enquadram à luz dos anexos do decreto-lei;
• Iniciar um diagnóstico de maturidade em cibersegurança (análise de lacunas) face às melhores práticas europeias e às orientações do CNCS;
• Definir uma função clara para o responsável pela cibersegurança e uma linha de reporte à gestão de topo.

Para as PME na cadeia de fornecimento:

• Mapear os clientes regulados (setores da banca, energia, saúde, telecomunicações e administração pública) e antecipar as exigências de segurança contratual.
• Formalizar políticas básicas (acessos, cópias de segurança, resposta a incidentes) e registos mínimos que possam ser apresentados em auditorias de clientes.

Para todas as entidades:

• Acompanhar as publicações do CNCS e das autoridades setoriais sobre regulamentação e prazos concretos.
• Considerar a cibersegurança como um investimento em resiliência e não apenas como um custo de conformidade.