A lei, em linguagem de gestão
Todas as datas, obrigações e coimas do Regime Jurídico da Cibersegurança num só sítio: o que a sua empresa tem de cumprir, e até quando.
Os prazos, e onde estamos hoje
- Lei publicada
- Em vigor
- Abre a MyCiber e começam a contar os 60 dias úteis
- Fim do prazo de registo e autoqualificação
- Fim do período de adaptação
- Aplicação plena das medidas
As entidades já em atividade têm 60 dias úteis a contar da abertura da plataforma para se registarem e autoqualificarem. Esse prazo termina a 15 de setembro de 2026.
O que mudou
O Decreto-Lei n.º 125/2025, de 4 de dezembro, está em vigor desde 3 de abril de 2026. Transpõe para Portugal a Diretiva (UE) 2022/2555, conhecida por NIS2.
A novidade é o alcance. Pela primeira vez a lei desce das grandes empresas para as médias: saúde, indústria, alimentar, transportes, logística, resíduos, água, energia, tecnologia e outros setores passam a estar abrangidos a partir dos 50 trabalhadores, quando se enquadram nos anexos do regime.
O Regulamento n.º 756/2026 do CNCS, o Centro Nacional de Cibersegurança, fixa as medidas concretas: 39 no nível Básico, 75 no Substancial e 91 no Elevado. A aplicação plena está prevista para junho de 2028.
O que a lei exige
- Registo no EstadoInscrição e autoqualificação na MyCiber, em myciber.gov.pt, até 15 de setembro de 2026 para as entidades já em atividade.
- Responsável nomeadoUm responsável de cibersegurança e um ponto de contacto, que respondem perante a gerência e perante o regulador.
- Medidas com evidênciasConforme o nível atribuído: 39 medidas no nível Básico, 75 no Substancial, 91 no Elevado. Documentadas e demonstráveis, com aplicação plena em junho de 2028.
- Incidentes notificados a horasIncidentes significativos comunicados ao CNCS em 24 horas, com atualização em 72 horas e relatório final em 30 dias. Se houver dados pessoais envolvidos, a CNPD, a autoridade dos dados pessoais, é notificada em 72 horas.
O que arrisca quem não cumprir
Para as entidades importantes, a lei prevê coimas até 7 milhões de euros ou 1,4% do volume de negócios, e responsabilidade pessoal dos órgãos de gestão, que pode chegar à interdição temporária do exercício de funções.
São limites máximos, pensados para quem ignora o regime de forma reiterada. O cenário realista de uma média empresa que se está a adaptar é outro: registo por fazer, responsável por nomear, evidências por organizar. Resolve-se com tempo e método.
Há ainda a pressão que não vem do Estado. Clientes grandes e seguradoras começam a pedir prova de conformidade aos fornecedores, e não esperam por 2028.
Porque vale a pena tratar disto agora
O período de adaptação decorre até abril de 2027. Dentro dele é possível pedir a dispensa de coimas mediante pedido fundamentado, o que só funciona a favor de quem tem trabalho feito para mostrar.
Preparar uma média empresa leva meses. Quanto mais cedo começar, mais tempo tem para corrigir o que for preciso, sem transformar uma obrigação regulatória numa intervenção de emergência.
A responsabilidade legal é sempre da sua empresa e do seu órgão de gestão. A Averta executa e documenta; a prova fica em seu nome.
Glossário
- MyCiber
- Plataforma do Estado, em myciber.gov.pt, onde as entidades abrangidas se registam, se autoqualificam e comunicam com o regulador.
- CNCS
- Centro Nacional de Cibersegurança. É a autoridade que supervisiona o regime, publica o referencial de medidas e recebe as notificações de incidentes.
- Autoqualificação
- Declaração feita pela própria empresa, na MyCiber, sobre o seu enquadramento na lei e o nível de risco em que se insere.
- Entidade importante
- Categoria da lei que abrange a maioria das médias empresas dos setores listados. Está sujeita a supervisão menos intensa do que as entidades essenciais, mas às mesmas obrigações de fundo.
- Nível de conformidade
- Básico, Substancial ou Elevado. Determina quantas medidas do referencial do CNCS a empresa tem de cumprir e documentar.
Não sabe onde a sua empresa se enquadra?
Trinta minutos para verificar se está abrangida e em que nível, com uma recomendação clara no fim. Sem custo, sem compromisso.
Marcar a conversa de 30 minutosSem custo. Resposta no próprio dia útil.