O novo regime português não transforma cada incidente num erro individual de um administrador. Mas torna explícitos os deveres de aprovação, supervisão, formação e resposta que já não podem ficar confinados à área de TI.
- Os órgãos de gestão das entidades abrangidas têm deveres expressos de aprovar e supervisionar medidas de risco de cibersegurança, assegurar a execução de determinações das autoridades e promover formação regular.
- O regime português prevê uma aplicação faseada: uma parte relevante das obrigações materiais de cibersegurança e das contraordenações associadas produz efeitos em 22 de junho de 2028.
- A NIS2 alarga a discussão da segurança digital à continuidade de negócio, à cadeia de fornecimento, aos processos de decisão e à capacidade de responder a incidentes dentro de prazos regulatórios.
A cibersegurança deixou de poder ser tratada apenas como uma competência técnica, atribuída à direção de informática e discutida quando há um incidente. Esse é o significado empresarial mais relevante da NIS2: o risco digital passa a ter um lugar formal na cadeia de decisão, supervisão e responsabilidade dos órgãos de gestão.
A mudança essencial da NIS2 é tornar explícita a responsabilidade da gestão por decisões que antes podiam ficar dispersas entre TI, operações, compras e jurídico.
Em Portugal, o Decreto-Lei n.º 125/2025, que aprovou o Regime Jurídico da Cibersegurança, transpõe a diretiva europeia NIS2 e atribui aos órgãos de gestão, direção e administração das entidades abrangidas deveres explícitos. Estes órgãos devem aprovar medidas de gestão dos riscos de cibersegurança, supervisionar a respetiva aplicação, assegurar o cumprimento das medidas de supervisão e execução determinadas pelas autoridades e promover formação regular.
A alteração merece atenção porque desloca o debate de uma pergunta tecnológica — “temos ferramentas de segurança suficientes?” — para uma pergunta de gestão: “conhecemos os serviços críticos da organização, as suas dependências, os riscos de interrupção e a capacidade efetiva de resposta?”
Não é uma distinção semântica. É uma mudança na forma como o risco deve entrar no conselho de administração, no orçamento, nos contratos com fornecedores e nos planos de continuidade.
Uma obrigação de governação, não uma responsabilidade automática por incidentes
Convém começar por uma precisão. A nova moldura legal não significa que um administrador passe automaticamente a responder pessoalmente por qualquer ataque informático sofrido pela empresa. Essa formulação seria excessiva e não corresponde ao regime.
O que a lei estabelece é mais concreto: os titulares dos órgãos de gestão, direção e administração podem responder por ação ou omissão, com dolo ou culpa grave, nos termos da legislação aplicável. Além disso, as responsabilidades e os poderes previstos não podem ser delegados fora do próprio órgão, salvo noutro dos seus titulares.
O ponto decisivo é, portanto, a existência de deveres formais de decisão e supervisão. A administração não tem de executar controlos técnicos, configurar sistemas ou investigar um incidente. Tem, porém, de garantir que a organização toma medidas adequadas, acompanha a sua execução, recebe informação relevante e dispõe de meios para cumprir as suas obrigações.
A NIS2 não converte os administradores em especialistas de segurança. Exige-lhes, antes, que tratem a segurança digital como tratam outros riscos capazes de interromper a operação ou comprometer a continuidade da empresa.
O risco digital passa a ser risco operacional
O alcance das medidas previstas no regime português ajuda a perceber por que razão esta não é apenas uma matéria de informática. A lei abrange o tratamento de incidentes, a continuidade de atividade, as cópias de segurança, a recuperação de desastre, a gestão de crises, a segurança na aquisição e desenvolvimento de sistemas, a avaliação da eficácia das medidas e a formação.
Inclui também criptografia, segurança dos recursos humanos, controlo de acessos, gestão de ativos, autenticação multifator ou contínua e comunicações seguras. Esta combinação revela uma abordagem mais ampla: a cibersegurança é tratada como uma condição de funcionamento da organização.
Essa leitura é uma interpretação editorial do enquadramento legal, mas é difícil ignorar as suas consequências práticas. Uma falha digital pode impedir faturação, pagamentos, produção, atendimento ao cliente, logística ou acesso a informação necessária para decidir. Pode, igualmente, afetar a capacidade de cumprir obrigações perante clientes, reguladores e parceiros.
Por isso, a conversa relevante para a gestão não é apenas sobre ataques externos. É também sobre dependências internas, processos manuais alternativos, inventário de ativos, testes de recuperação e capacidade de manter funções essenciais quando sistemas ou fornecedores falham.
A cadeia de fornecimento entra na sala de administração
Um dos elementos mais importantes do regime está na cadeia de abastecimento. As entidades devem considerar as vulnerabilidades específicas de cada fornecedor direto e prestador de serviços, a qualidade de cibersegurança dos produtos utilizados e as práticas de desenvolvimento seguro dos fornecedores.
Para muitas organizações, isto altera a natureza da avaliação de terceiros. Serviços de cloud, software de gestão, telecomunicações, processamento de pagamentos, manutenção industrial, plataformas de clientes ou operadores logísticos podem tornar-se dependências críticas para a continuidade da atividade.
A pergunta de gestão deixa, assim, de ser apenas “estamos protegidos?”. Passa a incluir “de quem dependemos para continuar a operar?” e “que evidência temos de que um fornecedor crítico consegue prevenir, comunicar e recuperar de uma falha relevante?”.
Esta exigência aproxima compras, jurídico, operações e tecnologia. Contratos com fornecedores críticos podem ter de ser avaliados à luz de requisitos de segurança, deveres de notificação, continuidade de serviço, acesso a evidências e mecanismos de auditoria. Não porque todos os fornecedores devam ser tratados da mesma forma, mas porque o impacto de uma falha não é igual em todas as relações comerciais.
As primeiras 24 horas ganham relevância regulatória
O regime também atribui relevância à velocidade de resposta. As entidades essenciais, importantes e públicas relevantes devem notificar incidentes significativos à autoridade competente. A avaliação considera, entre outros fatores, o número de utilizadores afetados, a duração da ocorrência, a gravidade da perturbação e o impacto económico e social.
A notificação inicial deve ser feita até 24 horas depois de a entidade concluir que existe, ou pode existir, um incidente significativo. Pode haver uma atualização até 72 horas após a verificação, quando necessária, e existe ainda a obrigação de comunicar o fim do impacto significativo até 24 horas após esse momento.
Estes prazos tornam a preparação uma matéria de gestão. Uma organização que só descobre quem decide, quem avalia impacto, quem fala com a autoridade e quem coordena fornecedores depois de ocorrer uma interrupção parte em desvantagem.
Também importa não confundir regimes. Um incidente significativo para efeitos da NIS2 não equivale necessariamente a uma violação de dados pessoais. O cumprimento das obrigações previstas no Regime Jurídico da Cibersegurança não dispensa outras comunicações que possam ser aplicáveis, incluindo perante a Comissão Nacional de Proteção de Dados, o Ministério Público ou a Polícia Judiciária.
Portugal adotou uma transição faseada
Há uma nuance relevante para evitar leituras apressadas. Portugal já aprovou a lei e o regulamento de execução, mas não colocou todas as obrigações materiais em plena produção de efeitos no mesmo momento.
O decreto-lei foi publicado em 4 de dezembro de 2025 e entrou em vigor em 3 de abril de 2026. O Regulamento n.º 756/2026 do Centro Nacional de Cibersegurança, publicado em 22 de junho de 2026 e em vigor no dia seguinte, operacionaliza elementos como a plataforma, as notificações, a matriz de risco, o quadro de referência e as medidas mínimas.
Contudo, uma parte substancial das obrigações materiais de cibersegurança, incluindo as medidas previstas nos artigos 27.º a 29.º do decreto-lei, bem como determinadas contraordenações associadas, só produz efeitos em 22 de junho de 2028. O regime transitório cria, portanto, uma janela de adaptação de dois anos.
Isto não significa que a gestão possa tratar o tema como distante. O modelo de governação está legislado, a identificação das entidades abrangidas é obrigatória e as exigências futuras requerem trabalho prévio: identificação de serviços críticos, mapeamento de dependências, avaliação de fornecedores, definição de canais de reporte e testes de resposta.
Mais do que conformidade, uma disciplina de decisão
O regulamento acrescenta um elemento particularmente relevante para os órgãos de gestão: os processos de risco de cibersegurança devem integrar a estratégia transversal de gestão de risco. Devem existir canais internos regulares para comunicar riscos aos órgãos de direção e os resultados dessa gestão devem informar decisões com impacto na operação, no orçamento e na inovação.
É aqui que a NIS2 se distingue de uma mera lista de requisitos de compliance. A questão não é apenas demonstrar que existem políticas. É garantir que a informação chega a quem decide, que os riscos são comparáveis com outros riscos empresariais e que há escolhas conscientes sobre prioridades, recursos e exposição aceitável.
Nem todas as entidades estão abrangidas da mesma forma. O regime aplica-se a entidades essenciais, importantes e públicas relevantes, segundo critérios de setor, dimensão e qualificação, existindo exceções em que a dimensão não exclui a aplicação. Ainda assim, a lógica de gestão que a NIS2 introduz pode ser útil para empresas fora do perímetro legal: conhecer dependências digitais e preparar respostas é uma condição de resiliência, não apenas de conformidade.
A verdadeira questão para a administração não é se deve substituir a equipa técnica. É se dispõe de informação, mandato e disciplina de supervisão suficientes para assumir que a continuidade digital é parte da continuidade do negócio.