NIS2 e a Administração Pública em Portugal: quem está abrangido e o que fazer primeiro

Resposta direta: a Administração Pública está abrangida?

Sim. O Decreto-Lei n.º 125/2025 (Regime Jurídico da Cibersegurança), que transpõe a Diretiva (UE) 2022/2555, determina expressamente em art 3 que «o presente decreto-lei aplica-se à Administração Pública». Não existe, para este universo, um limiar geral de dimensão equivalente ao das empresas privadas: a aplicação decorre da própria natureza pública da entidade.

O que muda de entidade para entidade é a classificação — entidade essencial, entidade importante ou entidade pública relevante — e, com ela, o regime aplicável. O primeiro passo prático é o mesmo para todos: identificar-se na plataforma eletrónica disponibilizada pelo CNCS nos prazos de art 8 e, em paralelo, fazer uma autoavaliação interna da situação atual face às medidas de cibersegurança de art 27.

Como a lei nomeia o setor: a redação exata

Há duas normas a reter.

1. Âmbito subjetivo geral (art 3). O n.º 3 estabelece de forma simples e sem condições adicionais: «O presente decreto-lei aplica-se à Administração Pública.» O mesmo artigo acrescenta ainda que o decreto-lei se aplica às instituições de ensino superior.

2. Qualificação como entidade essencial (art 6). A alínea que trata diretamente do setor público qualifica como entidade essencial as entidades da:

> «Administração Pública que tenham como atribuições a prestação de serviços nas áreas do desenvolvimento, manutenção e gestão de infraestruturas de tecnologias de informação e comunicação»

O mesmo artigo abrange também «as entidades identificadas como entidades críticas nos termos da Diretiva (UE) 2022/2557, independentemente da sua dimensão».

Na prática, isto significa que um organismo público cujas atribuições incluam desenvolver, manter ou gerir infraestruturas de TIC entra na categoria mais exigente, independentemente de constar dos tipos de entidade do Anexo I ou do Anexo II.

Classificações e limiares: essencial, importante ou entidade pública relevante

O Decreto-Lei n.º 125/2025 usa três qualificações que interessam ao setor público.

Entidade essencial (art 6, n.º 1) — inclui, entre outras, as entidades da Administração Pública com atribuições nas áreas do desenvolvimento, manutenção e gestão de infraestruturas de tecnologias de informação e comunicação, e as entidades identificadas como entidades críticas nos termos da Diretiva (UE) 2022/2557, independentemente da sua dimensão. Inclui igualmente as entidades dos tipos do Anexo I que excedam os limiares para as médias empresas do artigo 2.º do anexo iii, correspondentes aos da Recomendação 2003/361/CE.

Entidade importante (art 6, n.os 2 e 3) — são as entidades dos tipos referidos no Anexo I e no Anexo II que não sejam consideradas entidade essencial, bem como as entidades desses anexos referidas nas alíneas b) a e) do n.º 2 de art 3 que justifiquem tal qualificação.

Entidades públicas relevantes (art 7) — as entidades públicas que não sejam qualificadas como entidade essencial ou entidade importante integram-se em dois grupos, para efeitos de aplicação de regimes específicos:

A atribuição das qualificações resulta dos mecanismos previstos em art 8. O CNCS notifica a entidade da sua qualificação no prazo máximo de 30 dias a contar da data da qualificação.

Obrigações principais: medidas, responsável e registo

Identificação na plataforma (art 8). As entidades previstas em art 3 identificam-se em plataforma eletrónica disponibilizada pelo CNCS, no prazo de 30 dias após o início da sua atividade ou, caso já se encontrem em atividade à data de entrada em vigor do decreto-lei, no prazo de 60 dias após a disponibilização da plataforma, sendo responsáveis por manter a informação atualizada. As regras de funcionamento da plataforma são definidas por regulamento a aprovar pelo CNCS.

Medidas de cibersegurança (art 27). As medidas a adotar pelas entidades essenciais e importantes, tendo em conta a matriz de risco aplicável, abrangem designadamente:

• tratamento de incidentes;
• continuidade das atividades, como a gestão de cópias de segurança e a recuperação de desastres, e gestão de crises;
• segurança da cadeia de abastecimento, incluindo as relações com fornecedores ou prestadores de serviços diretos;
• segurança na aquisição, desenvolvimento e manutenção das redes e sistemas de informação, incluindo o tratamento e a divulgação de vulnerabilidades;
• políticas e procedimentos para avaliar a eficácia das medidas de gestão dos riscos de cibersegurança;
• práticas básicas de ciber-higiene e formação em cibersegurança, incluindo os titulares de órgãos máximos de gestão e trabalhadores;
• políticas e procedimentos relativos à utilização de criptografia e, se for caso disso, de cifragem;
• segurança dos recursos humanos, políticas de controlo do acesso e gestão de ativos;
• utilização de autenticação multifator ou de autenticação contínua, comunicações seguras e sistemas seguros de comunicações de emergência.

Devem ainda ser adotadas, sem demora injustificada, todas as medidas corretivas necessárias, adequadas e proporcionais ao suprimento de falhas ou omissões no cumprimento destas medidas.

Responsável de cibersegurança (art 31). As entidades essenciais e importantes designam um responsável de cibersegurança que seja titular dos órgãos de gestão, direção ou administração, ou que lhes responda organicamente e de forma direta. A designação é comunicada à autoridade de cibersegurança competente no prazo de 20 dias úteis a contar do início de funções; para entidades que já tinham iniciado atividade antes da entrada em vigor do decreto-lei, o prazo de 20 dias úteis conta-se desta data.

Ponto de contacto permanente (art 32). É assegurada uma função de contacto com disponibilidade contínua de 24 horas por dia e de sete dias por semana, limitada a períodos de ativação iniciados e terminados por comunicação da autoridade competente. A equipa que assegura esta função é indicada no prazo de 20 dias úteis a contar do início de funções.

Estas obrigações não são específicas do setor público: a lei trata do mesmo modo todas as entidades essenciais e importantes abrangidas. Para os regimes específicos aplicáveis às entidades públicas relevantes do Grupo A e do Grupo B, consulte as orientações publicadas pelo Centro Nacional de Cibersegurança (CNCS), fonte oficial.

Notificação de incidentes e prazos junto do CNCS

O Centro Nacional de Cibersegurança (CNCS) é a autoridade nacional de cibersegurança (art 19), é o ponto de contacto único para efeitos de cooperação ao nível da União Europeia e internacional, integra o «CERT.PT», que atua como equipa de resposta a incidentes de cibersegurança nacional, e é também a autoridade nacional de certificação de cibersegurança.

Os deveres de notificação aplicam-se expressamente à entidade essencial, importante ou pública relevante:

O valor prático destes prazos depende de existir, antes do incidente, um procedimento interno que identifique quem decide, quem notifica e com que informação.

Coimas por incumprimento

Nos termos de art 61, o incumprimento do dever de adoção das medidas de cibersegurança constitui contraordenação muito grave:

O ponto de partida sensato é conhecer a sua qualificação e comparar as práticas atuais com a lista de áreas de art 27. Uma autoavaliação estruturada mostra, em pouco tempo, onde está o essencial em falta.