Dever de registo NIS2 em Portugal: quem, onde e até quando

O que é o dever de registo na NIS2 em Portugal

A transposição portuguesa da Diretiva NIS2 é o Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025. Entre as primeiras obrigações práticas está o dever de identificação (registo) das entidades junto da autoridade nacional.

De acordo com o artigo 8.º, as entidades abrangidas devem identificar-se numa plataforma eletrónica disponibilizada pelo CNCS e são responsáveis por manter essa informação devidamente atualizada.

Este passo é decisivo porque a qualificação da entidade — como entidade essencial, entidade importante ou entidade pública relevante — resulta precisamente deste mecanismo de identificação (artigo 8.º, n.º 2). Por outras palavras, o registo não é apenas burocracia: é o ponto de partida para saber que regime de obrigações se aplica à sua organização.

> Nota: o endereço exato da plataforma eletrónica do CNCS é [TÁPSUSTAB PARTNER-JURIST].

Quem tem de se registar

O âmbito de aplicação subjetivo está definido no artigo 3.º do Decreto-Lei n.º 125/2025. Em regra, o diploma aplica-se a:

• Entidades privadas de um dos tipos constantes dos anexos i ou ii que sejam qualificadas como médias empresas (nos termos do artigo 2.º do anexo iii, correspondente à Recomendação 2003/361/CE) ou que excedam os limiares das médias empresas, e que prestem serviços ou exerçam atividades na União Europeia (artigo 3.º, n.º 1).
• Determinadas entidades independentemente da sua dimensão (artigo 3.º, n.º 2), como por exemplo:
• Fornecedores de redes públicas de comunicações eletrónicas ou prestadores de serviços de comunicações eletrónicas acessíveis ao público;
• Prestadores de serviços de confiança;
• Registos de nomes de domínio de topo e prestadores de serviços de sistemas de nomes de domínio;
• O único prestador de um serviço essencial para atividades sociais ou económicas críticas;
• Entidades cuja perturbação possa afetar consideravelmente a segurança, proteção ou saúde pública, gerar riscos sistémicos ou que sejam críticas a nível nacional ou regional.
• A Administração Pública (artigo 3.º, n.º 3) e as instituições de ensino superior (artigo 3.º, n.º 6).

Classificação das entidades

As entidades públicas que não sejam qualificadas como essenciais ou importantes consideram-se entidades públicas relevantes, integradas no Grupo A ou Grupo B consoante o número de trabalhadores (artigo 7.º).

Onde e como se faz o registo

O registo faz-se na plataforma eletrónica disponibilizada pelo CNCS (artigo 8.º, n.º 1).

O Centro Nacional de Cibersegurança (CNCS) é a autoridade nacional de cibersegurança (artigo 19.º) e é também o ponto de contacto único para efeitos de cooperação ao nível da União Europeia e internacional. O CNCS integra ainda o CERT.PT, que atua como equipa nacional de resposta a incidentes.

As regras de funcionamento da plataforma eletrónica são definidas através de regulamento a aprovar pelo CNCS (artigo 8.º, n.º 7). O detalhe da informação a submeter e o endereço exato da plataforma constam desse regulamento — [TÁPSUSTAB PARTNER-JURIST].

Após a identificação, o CNCS notifica a entidade da sua qualificação no prazo máximo de 30 dias a contar da data dessa qualificação (artigo 8.º, n.º 5).

Até quando: prazos de registo

O artigo 8.º, n.º 1 fixa dois prazos distintos consoante a situação da entidade:

• 30 dias após o início da atividade — para entidades que iniciem atividade após a plataforma estar disponível.
• 60 dias após a disponibilização da plataforma eletrónica — para entidades que já se encontrem em atividade aquando da entrada em vigor do decreto-lei.

Em ambos os casos, a entidade é responsável por manter a informação atualizada.

Outros prazos relacionados (para as entidades essenciais e importantes):

• Comunicação do responsável de cibersegurança: 20 dias úteis a contar do início de funções ou da entrada em vigor do diploma para quem já estava em atividade (artigos 31.º, n.os 3 e 4).
• Indicação da equipa do ponto de contacto permanente (24/7): 20 dias úteis a contar do início de funções (artigo 32.º, n.º 3).
• Notificação de incidentes significativos: notificação inicial em 24 horas, atualização em 72 horas e relatório final em 30 dias úteis (artigos 42.º e 44.º).

O que acontece se não cumprir as obrigações

O Decreto-Lei n.º 125/2025 prevê um regime de contraordenações e coimas. Nos termos do artigo 61.º, o incumprimento do dever de adoção das medidas de cibersegurança constitui contraordenação muito grave, punível:

• Para uma entidade essencial: coimas de 2.500 euros a 10 milhões de euros ou até 2% do volume de negócios anual a nível mundial do exercício financeiro anterior, consoante o montante mais elevado (pessoa coletiva).
• Para uma entidade importante: coimas de 1.750 euros a 7 milhões de euros ou até 1,4% do volume de negócios anual a nível mundial do exercício financeiro anterior, consoante o montante mais elevado (pessoa coletiva).

As contraordenações leves são punidas com coimas entre 875 euros e 45.000 euros para pessoas coletivas.

As medidas de cibersegurança exigidas às entidades essenciais e importantes abrangem, entre outras, o tratamento de incidentes, a continuidade das atividades, a segurança da cadeia de abastecimento, a formação em cibersegurança e a autenticação multifator (artigo 27.º).

Não sabe em que categoria a sua organização se enquadra? Use a nossa ferramenta gratuita de scoping/gap para verificar se está abrangido pela NIS2 e o que deve preparar antes de se registar no CNCS.