Notificação de incidentes NIS2 em Portugal: prazos e dever de comunicação ao CNCS

Quem tem de notificar e a quem?

O Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025) impõe um dever de notificação de incidentes às entidades abrangidas. Este dever aplica-se às entidades essenciais («entidade essencial»), às entidades importantes («entidade importante») e às entidades públicas relevantes.

A autoridade que recebe as notificações é o Centro Nacional de Cibersegurança (CNCS), que é a autoridade nacional de cibersegurança (artigo 19.º). O CNCS integra o CERT.PT, que atua como equipa de resposta a incidentes de cibersegurança a nível nacional (artigo 19.º, n.º 3). O CNCS é também o ponto de contacto único para efeitos de cooperação ao nível da União Europeia e internacional (artigo 19.º, n.º 2).

Na prática, as comunicações são dirigidas à autoridade de cibersegurança competente, conforme referido nos artigos 42.º e 44.º.

O que é um incidente significativo?

O dever de notificação é desencadeado quando existe (ou pode vir a existir) um incidente significativo. A notificação inicial deve ser enviada assim que a entidade conclui que existe, ou possa vir a existir, um incidente significativo (artigo 42.º, n.º 1).

Em termos gerais, a avaliação da significância assenta na gravidade e no impacto do incidente. A notificação e as atualizações devem incluir uma avaliação inicial do incidente, incluindo da sua gravidade e do seu impacto, bem como, se disponíveis, os indicadores de exposição a riscos (artigo 42.º, n.º 3).

> Nota: os critérios técnicos detalhados de significância podem ser objeto de regulamentação complementar. [TÁPSUSTAB PARTNER-JURIST]

Os prazos exatos de notificação em Portugal

O procedimento de notificação em Portugal segue três fases, com prazos definidos no Decreto-Lei n.º 125/2025:

Notificação inicial (24 horas): deve ser enviada assim que a entidade conclui que existe, ou possa vir a existir, um incidente significativo, salvo quando tal for incompatível com a mitigação ou a resolução do incidente (artigo 42.º, n.º 1).

Atualização (72 horas): quando necessário, a entidade revê a informação e fornece uma avaliação inicial do incidente, incluindo a sua gravidade e impacto (artigo 42.º, n.º 3).

Relatório final (30 dias úteis): submetido no prazo de 30 dias úteis a contar da notificação do fim de impacto significativo (artigo 44.º, n.º 1).

Relatório intercalar: se, decorrido o prazo para o relatório final, o incidente ainda estiver em curso, a entidade deve apresentar um relatório intercalar à autoridade de cibersegurança competente, a pedido desta e com periodicidade semanal, até à apresentação do relatório final (artigo 44.º, n.º 3).

Como se preparar: pré-requisitos organizacionais

Cumprir os prazos apertados de notificação exige preparação prévia. O Decreto-Lei n.º 125/2025 estabelece obrigações que sustentam a capacidade de resposta:

• Ponto de contacto permanente 24/7: as entidades essenciais e importantes asseguram um ponto de contacto com disponibilidade contínua de 24 horas por dia e sete dias por semana, limitado a períodos de ativação (artigo 32.º, n.º 1). A equipa que assegura esta função deve ser indicada à autoridade competente no prazo de 20 dias úteis a contar do início de funções (artigo 32.º, n.º 3).
• Responsável de cibersegurança: deve ser designado um responsável para a gestão da cibersegurança e da segurança da informação, comunicado à autoridade competente no prazo de 20 dias úteis (artigo 31.º, n.os 3 e 4).
• Tratamento de incidentes: consta expressamente das medidas de cibersegurança a adotar (artigo 27.º, n.º 1, alínea a).
• Identificação na plataforma do CNCS: as entidades identificam-se na plataforma eletrónica disponibilizada pelo CNCS, no prazo de 30 dias após o início de atividade ou de 60 dias após a disponibilização da plataforma para entidades já em atividade (artigo 8.º, n.º 1).

Consequências do incumprimento

O incumprimento do dever de adoção das medidas de cibersegurança constitui contraordenação muito grave, punida com coimas que variam consoante a qualificação da entidade (artigo 61.º):

• Entidade essencial: coima de 2.500 euros a 10 milhões de euros ou até 2% do volume de negócios anual a nível mundial do exercício financeiro anterior, consoante o montante mais elevado (pessoa coletiva).
• Entidade importante: coima de 1.750 euros a 7 milhões de euros ou até 1,4% do volume de negócios anual a nível mundial do exercício financeiro anterior, consoante o montante mais elevado (pessoa coletiva).

As contraordenações leves são punidas com coimas entre 875 euros e 45.000 euros para pessoas coletivas (artigo 61.º).

Para verificar se a sua organização está abrangida e onde estão as lacunas, utilize a nossa ferramenta gratuita de scoping e análise de lacunas NIS2.