A sua empresa pode ter novas obrigações de cibersegurança desde abril, e talvez não o saiba

Desde 3 de abril de 2026 vigora em Portugal um novo Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei nº 125/2025, através do qual o país transpôs para a ordem interna a diretiva europeia comummente designada por NIS2. A designação é técnica, mas o propósito subjacente é de apreensão simples, e pode vincular a sua empresa sem que disso tenha sido advertido. Convém, por isso, dedicar-lhe alguns minutos, tanto mais que as coimas ascendem a dez milhões de euros e que a responsabilidade deixou de recair apenas sobre o departamento de informática para passar a impender também sobre os órgãos de gestão.

Importa, antes de mais, compreender o que a NIS2 verdadeiramente é, despida de tecnicismo. Trata-se de um conjunto de exigências mínimas de segurança digital que a União Europeia passou a impor a determinadas empresas, à semelhança das regras mínimas de segurança contra incêndios que se impõem a um edifício. Ninguém precisa de ser engenheiro para cumprir as normas de incêndio. Exige-se-lhe que tenha os meios de combate adequados, que conheça as saídas e que disponha de um plano para o caso de algo correr mal. A NIS2 reclama o equivalente para os sistemas informáticos de que a empresa depende.

Durante anos, a cibersegurança foi tratada como matéria reservada aos técnicos. O novo regime inverte esse entendimento e eleva-a à condição de responsabilidade própria da empresa, tão vinculativa quanto o cumprimento das obrigações fiscais ou laborais. Daí a relevância de determinar se a sua organização se encontra abrangida.

Isto aplica-se à minha empresa?

Essa é, com efeito, a pergunta decisiva, e a resposta depende de dois fatores de verificação acessível. O primeiro é a dimensão. Em termos gerais, o regime dirige-se a empresas com mais de cinquenta trabalhadores ou com volume de negócios superior a dez milhões de euros. O segundo é o setor de atividade. A lei incide sobre áreas tidas por essenciais ao funcionamento do país, entre as quais a energia, a saúde, a banca, os transportes, o tratamento de águas e as infraestruturas digitais. Cumpre, todavia, um alerta, porquanto empresas de menor dimensão podem ainda assim ser abrangidas quando atuem num setor crítico. Quem tenha dúvidas não deve, pois, presumir-se demasiado pequeno para se preocupar.

O que o regime exige na prática

Sendo a empresa abrangida, três consequências concretas se impõem ao seu conhecimento. Em primeiro lugar, a obrigação de se registar junto do Centro Nacional de Cibersegurança, a autoridade competente, através de uma plataforma oficial denominada MyCiber. Em segundo lugar, o dever de adotar medidas de segurança adequadas e, ponto que não raro se descura, de as conseguir demonstrar. Em terceiro lugar, a obrigação de comunicar, dentro de prazos apertados, qualquer incidente de segurança relevante que venha a sofrer.

Convém ainda dissipar uma confusão recorrente, a de identificar este regime com a proteção de dados. Não se confundem. O RGPD tutela os dados pessoais das pessoas. A NIS2 protege a segurança dos sistemas e das redes considerados em si mesmos. São diplomas distintos, com finalidades distintas, e a sua empresa pode encontrar-se vinculada a ambos simultaneamente.

Por onde começar

Do exposto decorre uma orientação de método. O primeiro passo não reside na aquisição de tecnologia nem na contratação de uma equipa, mas no diagnóstico, isto é, em apurar se a empresa está abrangida, o que em concreto a lei lhe exige e a que distância se encontra desse patamar. Só depois de traçado esse retrato faz sentido decidir o que fazer e por que ordem.

É justamente esse retrato inicial que costuma faltar às empresas, e é nesse ponto que intervenho. Se pretende saber se a NIS2 se aplica ao seu negócio e qual o seu ponto de partida, fale comigo. Um diagnóstico preliminar poupa-lhe surpresas de custo bem mais elevado no futuro.