O que muda para as empresas com o novo Regime Jurídico da Cibersegurança?
A entrada em vigor do Decreto-Lei n.º 125/2025, de 4 de dezembro, que transpõe a Diretiva NIS2 para Portugal, representa uma mudança significativa na forma como as empresas devem gerir a cibersegurança.
Até aqui, muitas organizações encaravam a cibersegurança como uma questão exclusivamente técnica, delegada ao departamento de informática. Com o novo regime, a cibersegurança passa a constituir uma responsabilidade de gestão e de compliance, envolvendo diretamente os órgãos de administração e direção.
Se a sua empresa estiver abrangida pelo Regime Jurídico da Cibersegurança, passará a ter de cumprir diversas obrigações legais:
1. Verificar se a empresa está abrangida
O primeiro passo consiste em determinar se a entidade está sujeita ao Regime Jurídico da Cibersegurança. Para esse efeito, devem ser analisados, entre outros, os seguintes critérios:
- Setor de atividade;
- Dimensão da entidade;
- Criticidade dos serviços prestados;
- Situações especiais previstas na lei.
Caso a entidade esteja abrangida, deverá proceder à sua autoidentificação na plataforma MyCiber, disponibilizada pelo Centro Nacional de Cibersegurança (CNCS).
2. Implementar medidas de cibersegurança
As entidades abrangidas passam a estar obrigadas a implementar medidas técnicas, organizativas e de gestão adequadas ao nível de risco da organização. Estas medidas incluem, entre outras:
- Políticas de segurança;
- Gestão de acessos e controlo de ativos;
- Continuidade do negócio e resposta a incidentes;
- Formação dos colaboradores e gestão da cadeia de fornecimento.
3. Nomear um Responsável de Cibersegurança
As entidades essenciais e importantes devem designar um Responsável de Cibersegurança, que assegurará a coordenação das matérias relacionadas com a segurança das redes e sistemas de informação.
4. Designar um Ponto de Contacto Permanente
Deve igualmente ser designado um Ponto de Contacto Permanente, responsável pela comunicação com o CNCS, nomeadamente em caso de incidente.
5. Gerir os riscos de forma contínua
A lei impõe a realização de uma gestão contínua do risco. Não basta instalar soluções tecnológicas. A empresa deve:
- Identificar os seus ativos e avaliar vulnerabilidades;
- Analisar ameaças e implementar medidas de mitigação;
- Rever periodicamente o risco residual.
6. Comunicar incidentes de cibersegurança
Sempre que ocorra um incidente significativo, a entidade deverá cumprir os prazos legais de comunicação ao CNCS:
- 24 horas: Notificação inicial;
- 72 horas: Atualização da informação;
- 30 dias: Relatório final (ou relatório intercalar, quando aplicável).
7. Demonstrar conformidade
Uma das principais novidades da NIS2 consiste na necessidade de demonstrar o cumprimento das obrigações legais. As empresas devem conservar evidências documentais da implementação das medidas de cibersegurança, incluindo políticas internas, avaliações de risco, planos de resposta a incidentes, inventários de ativos e demais documentação relevante.
O incumprimento pode ter consequências
O incumprimento das obrigações previstas no Regime Jurídico da Cibersegurança pode dar origem a medidas de supervisão, processos contraordenacionais e aplicação de coimas, para além dos impactos reputacionais e operacionais decorrentes de um incidente de cibersegurança.
Como podemos ajudar?
Prestamos apoio jurídico e estratégico às organizações na implementação do Regime Jurídico da Cibersegurança, designadamente através de:
- Avaliação do enquadramento da entidade;
- Auditorias de conformidade e implementação de programas de compliance NIS2;
- Elaboração de políticas e procedimentos internos;
- Apoio na gestão e comunicação de incidentes;
- Formação e sensibilização de administradores e colaboradores.
A conformidade com a NIS2 não deve ser encarada apenas como uma obrigação legal. Constitui uma oportunidade para reforçar a resiliência, a confiança e a competitividade das organizações num contexto cada vez mais digital.
👉 Entre em contacto connosco para agendar uma consulta de avaliação