A sua empresa tem novas obrigações de cibersegurança desde abril. Talvez ainda não saiba.

Desde 3 de abril de 2026 está em vigor em Portugal uma nova lei de cibersegurança, o Regime Jurídico da Cibersegurança, criado pelo Decreto-Lei n.º 125/2025. É a forma como o país aplicou uma regra europeia conhecida por NIS2. O nome é técnico, mas a ideia por trás dele é simples de perceber, e pode aplicar-se ao seu negócio sem que ninguém o tenha avisado.

Vale a pena parar cinco minutos para perceber se isto lhe diz respeito. As coimas vão até dez milhões de euros, e há uma novidade que muda a conversa: a responsabilidade recai também sobre a gestão da empresa, não apenas sobre o departamento de informática.

O que é a NIS2, sem juridiquês

Pense na NIS2 como um conjunto de regras mínimas de segurança digital que a União Europeia passou a exigir a certas empresas, do mesmo modo que existem regras mínimas de segurança contra incêndios num edifício. Não é preciso ser especialista para cumprir as regras de incêndio. É preciso ter os extintores certos, saber onde ficam as saídas e ter um plano se algo correr mal. A NIS2 pede o equivalente para os seus sistemas informáticos.

Durante anos, a cibersegurança foi tratada como um assunto só dos técnicos. A lei vem dizer o contrário. Passa a ser uma responsabilidade da própria empresa, tão séria como pagar impostos ou cumprir as regras laborais.

Isto aplica-se a mim?

Esta é a pergunta que interessa, e a resposta depende de dois fatores fáceis de verificar. O primeiro é a dimensão. De um modo geral, a lei olha para empresas com mais de cinquenta colaboradores ou com volume de negócios acima de dez milhões de euros. O segundo é o setor. A lei foca-se em áreas consideradas importantes para o funcionamento do país, como energia, saúde, banca, transportes, tratamento de águas, infraestruturas digitais e vários outros.

Há um pormenor a reter. Empresas mais pequenas também podem ser abrangidas se atuarem num setor crítico. Por isso, se está na dúvida, não parta do princípio de que é pequeno demais para se preocupar. Vale a pena confirmar.

O que muda na prática

Se a sua empresa é abrangida, há três consequências concretas a conhecer. Tem de se registar junto do Centro Nacional de Cibersegurança, a autoridade responsável, através de uma plataforma oficial chamada MyCiber. Tem de adotar medidas de segurança adequadas e conseguir demonstrá-las. E, se sofrer um incidente de segurança relevante, tem de o comunicar dentro de prazos apertados.

Convém esclarecer uma confusão frequente, porque muita gente pensa que isto é o mesmo que a proteção de dados. Não é. O RGPD protege os dados pessoais das pessoas. A NIS2 protege a segurança dos sistemas e das redes em si. São leis diferentes, com objetivos diferentes, e a sua empresa pode ter de cumprir as duas ao mesmo tempo.

Por onde começar

O primeiro passo não é comprar tecnologia nem contratar uma equipa. É perceber onde está. Saber se é abrangido, o que a lei exige em concreto no seu caso e a que distância está disso. Só depois dessa fotografia faz sentido decidir o que fazer, e por que ordem.

É esse retrato inicial que costuma faltar às empresas, e é por aí que ajudo. Se quer perceber se a NIS2 se aplica ao seu negócio e qual é o seu ponto de partida, fale comigo. Um diagnóstico simples poupa-lhe surpresas mais caras lá à frente.