NIS2 em Portugal: o DL 125/2025, o Regulamento 756/2026 e o que fazer agora

A NIS2 é uma diretiva, o que significa que se torna real vinte e sete vezes — uma por Estado-Membro, cada um com a sua autoridade, o seu processo de registo e a sua leitura dos detalhes que a diretiva deixou em aberto. Em Portugal, isso já aconteceu duas vezes: o Decreto-Lei n.º 125/2025 criou o regime jurídico, e a 23 de junho de 2026 o seu regulamento de execução — o Regulamento n.º 756/2026 do CNCS — tornou-o operacional. Se a sua organização opera em Portugal, são estes os textos que efetivamente cumpre, e os prazos deixaram de ser abstratos.

O edifício legal, em três camadas

A diretiva é o piso. Ser uma entidade essencial ou importante continua a decorrer das listas setoriais da diretiva (Anexos I e II) e dos limiares de dimensão. As obrigações de gestão de risco do Art. 21.º aplicam-se tal como escritas, e o relógio de incidentes é legal em toda a UE: um alerta precoce nas 24 horas após o conhecimento de um incidente significativo, uma notificação nas 72 horas e um relatório final no prazo de um mês após a notificação.

O decreto-lei dá nome às instituições. O DL 125/2025 designa o CNCS — Centro Nacional de Cibersegurança — como autoridade competente, encaminha as notificações de incidentes pelo canal nacional para o CNCS e o seu CSIRT, e transpõe para a lei portuguesa os deveres do Art. 20.º: a gestão aprova as medidas de gestão de risco, supervisiona a sua implementação e recebe formação. É esta a cláusula que leva a NIS2 do backlog da equipa de segurança para a agenda do conselho de administração.

O regulamento define a mecânica. O Regulamento 756/2026 é onde as obrigações se transformam em datas e formulários:

O registo corre no MyCiber, a plataforma do CNCS ativa desde 23 de junho de 2026. As entidades já em atividade têm 60 dias úteis a contar dessa data para se identificarem e registarem — uma janela que fecha em setembro de 2026. As entidades que iniciem atividade mais tarde têm 30 dias a contar do início.
O nível de risco determina as obrigações. O regulamento classifica as entidades em três níveis — básico, substancial e elevado — e cada nível corresponde a um conjunto mínimo de medidas de segurança extraído do quadro nacional de referência (QNRCS). A classificação não é uma formalidade: decide a dimensão da sua superfície de conformidade.
As notificações passam pela plataforma. O relógio legal continua a ser o da diretiva; o regulamento determina onde e como os relatórios são entregues.
O registo envolve também a designação do ponto de contacto — os prazos de designação acompanharam a disponibilização da plataforma, pelo que deve confirmar o prazo em vigor no texto publicado, ou junto do seu apoio jurídico, no momento do registo.

O que fazer, por ordem

Classifique — determine se é entidade essencial ou importante, e em que nível de risco o regulamento a coloca. Documente o raciocínio; vai precisar dele para o registo e para qualquer conversa com o supervisor.
Registe-se no MyCiber antes de a janela fechar — para entidades já em atividade, isso significa setembro de 2026. Guarde registo do que submeteu.
Associe as suas medidas ao seu nível — o conjunto mínimo do QNRCS para o seu nível é a primeira checklist que um supervisor vai consultar.
Prepare o relógio antes de precisar dele — um fluxo de incidentes com os marcos das 24 horas, 72 horas e um mês incorporados, e relatórios no formato que a autoridade espera. O pior momento para desenhar um processo de notificação é a terceira hora de um incidente.
Leve o Art. 20.º à agenda do conselho — medidas aprovadas, formação feita, ambas documentadas.

Como a Cautera codifica isto

A transposição portuguesa está integrada na plataforma, não deixada em nota de rodapé: uma checklist de registo no CNCS que produz um resumo em PDF do que submeteu, relatórios de incidente prontos para o CSIRT em cada marco legal, acompanhamento dos deveres de gestão do Art. 20.º e lembretes de prazos que contam desde o momento da deteção. O assistente de classificação corre sobre os critérios da diretiva e produz o relatório de aplicabilidade que o registo pede.

Veja o módulo NIS2, incluindo a transposição portuguesa, num espaço de trabalho real: página NIS2 da Cautera.