NIS2 em Portugal: o que muda para as infraestruturas digitais (nuvem, centros de dados e comunicações eletrónicas)

Infraestruturas digitais estão abrangidas? Resposta direta

Sim. O setor «Infraestruturas digitais» consta do Anexo I do Decreto-Lei n.º 125/2025 (Regime Jurídico da Cibersegurança), que abrange expressamente prestadores de serviços de computação em nuvem, prestadores de serviços de centro de dados, fornecedores de redes públicas de comunicações eletrónicas e prestadores de serviços de comunicações eletrónicas acessíveis ao público, entre outros.

A aplicação concreta à sua empresa resulta de art 3 (âmbito de aplicação subjetivo) e a qualificação como entidade essencial ou entidade importante resulta de art 6, através dos mecanismos de art 8.

O primeiro passo prático é o mais simples: identificar-se na plataforma eletrónica disponibilizada pelo Centro Nacional de Cibersegurança (CNCS), nos prazos previstos em art 8, e manter essa informação atualizada. A partir daí, é possível planear as medidas de cibersegurança e as comunicações obrigatórias.

Como a lei portuguesa nomeia o setor (Anexo I)

O Anexo I do Decreto-Lei n.º 125/2025 enumera os «Setores de importância crítica». No setor Infraestruturas digitais, os tipos de entidade são, na redação da lei:

• Fornecedores de pontos de troca de tráfego
• Prestadores de serviços de DNS, excluindo operadores de servidores de nomes raiz
• Registos de nomes de TLD
• Prestadores de serviços de computação em nuvem
• Prestadores de serviços de centro de dados
• Fornecedores de redes de distribuição de conteúdos
• Prestadores de serviços de confiança
• Fornecedores de redes públicas de comunicações eletrónicas
• Prestadores de serviços de comunicações eletrónicas acessíveis ao público

O Anexo I é referido, entre outros, por art 3 e art 6. Note-se ainda que o setor «Gestão de serviços de tecnologias da informação ou comunicação (entre empresas)» — prestadores de serviços geridos e prestadores de serviços de segurança geridos — é um setor autónomo do mesmo Anexo I. Empresas de TI que não sejam nuvem nem centro de dados devem verificar em que linha do anexo se enquadram, porque é o tipo de entidade (e não o nome comercial do serviço) que determina a inclusão.

Entidade essencial ou entidade importante: limiares que decidem

Regra geral (art 3, n.º 1): o decreto-lei aplica-se às entidades privadas dos tipos constantes dos anexos, que sejam qualificadas como médias empresas — nos critérios correspondentes aos da Recomendação 2003/361/CE — ou que excedam esses limiares, e que prestem serviços ou exerçam atividades na União Europeia.

Exceções independentes da dimensão (art 3, n.º 2): aplica-se igualmente, independentemente da natureza e dimensão, quando a entidade seja, designadamente, fornecedor de redes públicas de comunicações eletrónicas ou prestador de serviços de comunicações eletrónicas acessíveis ao público; prestador de serviços de confiança; registo de nomes de domínio de topo, prestador de serviços de registo de nomes de domínio ou prestador de serviços de sistemas de nomes de domínio. Aplica-se também quando a entidade seja o único prestador de um serviço essencial para atividades sociais ou económicas críticas, quando uma perturbação do serviço possa afetar consideravelmente a segurança pública, a proteção pública ou a saúde pública, quando possa gerar riscos sistémicos consideráveis, ou quando a entidade seja crítica pela sua importância específica a nível nacional ou regional.

Classificação (art 6):

A atribuição destas qualificações resulta dos mecanismos de art 8: as entidades identificam-se na plataforma eletrónica do CNCS no prazo de 30 dias após o início da atividade ou, se já estiverem em atividade, no prazo de 60 dias após a disponibilização da plataforma. O CNCS notifica a entidade da sua qualificação no prazo máximo de 30 dias a contar dessa qualificação.

Obrigações centrais: medidas, responsável e ponto de contacto

Importa dizê-lo com clareza: a lei não prevê um catálogo de medidas específico para as infraestruturas digitais. As obrigações de art 27 aplicam-se do mesmo modo a todas as entidades essenciais e importantes, tendo em consideração a matriz de risco em que cada uma se insere.

As medidas de cibersegurança abrangem, designadamente (art 27, n.º 1):

• Tratamento de incidentes
• Continuidade das atividades, como a gestão de cópias de segurança e a recuperação de desastres, e gestão de crises
• Segurança da cadeia de abastecimento, incluindo a segurança nas relações com fornecedores e prestadores de serviços diretos
• Segurança na aquisição, desenvolvimento e manutenção das redes e sistemas de informação, incluindo o tratamento e a divulgação de vulnerabilidades
• Políticas e procedimentos para avaliar a eficácia das medidas de gestão dos riscos
• Práticas básicas de ciber-higiene e formação em cibersegurança, incluindo os titulares de órgãos máximos de gestão e trabalhadores
• Políticas e procedimentos relativos à utilização de criptografia e, se for caso disso, de cifragem
• Segurança dos recursos humanos, controlo do acesso e gestão de ativos
• Autenticação multifator ou autenticação contínua, comunicações seguras e sistemas seguros de comunicações de emergência

Além disso, devem ser adotadas, sem demora injustificada, as medidas corretivas necessárias para suprir falhas ou omissões (art 27, n.º 2).

Responsabilidade da gestão (art 31): as entidades essenciais e importantes designam um responsável de cibersegurança, que seja titular dos órgãos de gestão, direção ou administração ou lhes responda organicamente e de forma direta. Essa designação é comunicada à autoridade de cibersegurança competente no prazo de 20 dias úteis a contar do início de funções; para quem já estava em atividade antes da entrada em vigor, o mesmo prazo conta-se dessa data.

Ponto de contacto permanente (art 32): deve ser assegurada uma disponibilidade contínua de 24 horas por dia e de sete dias por semana, limitada a períodos de ativação iniciados e terminados por comunicação da autoridade competente. As pessoas que compõem essa equipa são indicadas no prazo de 20 dias úteis a contar do início de funções.

Notificação de incidentes ao CNCS: os prazos que contam

O CNCS é a autoridade nacional de cibersegurança e o ponto de contacto único para efeitos de cooperação na União Europeia; integra o CERT.PT, que atua como equipa de resposta a incidentes de cibersegurança nacional (art 19).

Perante um incidente significativo, a sequência é a seguinte:

1. Notificação inicial (art 42, n.º 1) — enviada à autoridade de cibersegurança competente assim que a entidade concluir que existe, ou possa vir a existir, um incidente significativo, sem demora injustificada e até 24 horas após essa verificação, salvo quando tal for incompatível com a mitigação ou a resolução do incidente. 2. Atualização (art 42, n.º 3) — quando necessário, até 72 horas após a verificação do incidente significativo, revendo a informação e incluindo uma avaliação inicial da gravidade e do impacto e, se disponíveis, os indicadores de exposição a riscos. 3. Relatório final (art 44, n.º 1) — submetido no prazo de 30 dias úteis a contar da data da notificação do fim de impacto significativo do incidente. 4. Relatório intercalar (art 44, n.º 3) — se o incidente ainda estiver em curso, é apresentado a pedido da autoridade, com periodicidade semanal, até à entrega do relatório final.

Para um operador de nuvem ou de centro de dados, isto significa que o processo interno de deteção tem de conseguir escalar uma decisão de notificação em horas, não em dias — o que na prática exige responsabilidades atribuídas e um canal de contacto já testado.

Coimas: quanto custa não cumprir

Nos termos de art 61, o incumprimento do dever de adoção das medidas de cibersegurança constitui contraordenação muito grave:

Se praticadas por pessoa singular, a coima vai de 500 euros a 250 000 euros. As contraordenações leves são punidas com coimas entre 875 euros e 45 000 euros para pessoas coletivas e entre 250 euros e 3 750 euros para pessoas singulares.

Próximo passo sugerido: faça o levantamento interno — em que linha do Anexo I se enquadra o seu serviço, se ultrapassa os limiares de média empresa, quem é o responsável de cibersegurança e como funciona o ponto de contacto permanente. Use a verificação de aplicabilidade gratuita nesta página para estruturar essa autoavaliação e, para pormenores operacionais (como o endereço exato da plataforma eletrónica e as regras do respetivo regulamento), consulte as orientações publicadas pelo Centro Nacional de Cibersegurança (CNCS), fonte oficial.