NIS2 em Portugal: o que cabe às entidades e aos fornecedores de software

01Onde está a NIS2 no outono de 2026

A Diretiva NIS2 (abre um site externo), Diretiva (UE) 2022/2555, foi publicada no Jornal Oficial em 27 de dezembro de 2022 e entrou em vigor em 16 de janeiro de 2023. Os Estados-Membros tinham de adotar e publicar as medidas nacionais até 17 de outubro de 2024 e aplicá-las a partir de 18 de outubro de 2024, data em que a primeira Diretiva NIS foi revogada.

Por ser uma diretiva, o que vincula uma organização é a lei nacional que a transpõe. A transposição foi desigual: alguns Estados-Membros aplicaram a lei a tempo, outros só em 2025 ou 2026, e a Comissão Europeia abriu processos de infração contra os Estados-Membros que falharam o prazo. Os deveres de registo, os canais de notificação e as autoridades de supervisão variam, por isso, de país para país.

Em Portugal, a transposição foi feita pelo Decreto-Lei n.º 125/2025 (abre um site externo), de 4 de dezembro, que aprova o Regime Jurídico da Cibersegurança e revoga a Lei n.º 46/2018 e o Decreto-Lei n.º 65/2021. O regime está em vigor desde 3 de abril de 2026. O Centro Nacional de Cibersegurança (abre um site externo) (CNCS) é a autoridade nacional de cibersegurança e o ponto de contacto único, e publicou o Regulamento n.º 756/2026, que regulamenta o regime.

02Entidades essenciais e importantes

A NIS2 aplica-se a entidades públicas e privadas dos setores do anexo I (alta criticidade: energia, transportes, banca, infraestruturas do mercado financeiro, saúde, água potável, águas residuais, infraestruturas digitais, gestão de serviços de TIC, administração pública e espaço) e do anexo II (outros setores críticos: serviços postais e de estafeta, gestão de resíduos, produtos químicos, produção, transformação e distribuição de alimentos, indústria transformadora, prestadores digitais e investigação). Regra geral, abrange organizações de média e grande dimensão. Algumas estão abrangidas independentemente da dimensão, como os prestadores de serviços de confiança, os prestadores de serviços de DNS e as entidades da administração pública central.

O artigo 3.º divide depois estas organizações em duas categorias:

• Entidades essenciais: sobretudo grandes organizações dos setores do anexo I, e ainda entidades essenciais independentemente da dimensão, como os prestadores qualificados de serviços de confiança, os registos de nomes de domínio de topo, os prestadores de serviços de DNS e as entidades da administração pública central. São supervisionadas de forma proativa, o que pode incluir auditorias e inspeções no local.
• Entidades importantes: as restantes organizações abrangidas pelos anexos I e II. A supervisão é feita a posteriori: a autoridade atua quando há indícios de incumprimento.

As duas categorias têm os mesmos deveres essenciais: medidas de gestão dos riscos (artigo 21.º), notificação de incidentes (artigo 23.º) e responsabilização dos órgãos de direção (artigo 20.º). A diferença está na supervisão e nas coimas. Para infrações aos artigos 21.º ou 23.º, a lei nacional tem de prever coimas máximas de, pelo menos, 10 milhões de euros ou 2 % do volume de negócios anual a nível mundial para as entidades essenciais, e de, pelo menos, 7 milhões de euros ou 1,4 % para as entidades importantes, consoante o montante mais elevado. Cada Estado-Membro decide se, e em que medida, as coimas se aplicam às entidades da administração pública.

O fornecedor de software está abrangido?

Escrever software não é, em si, um setor da NIS2. Ainda assim, um fornecedor pode estar abrangido diretamente. O anexo I inclui os prestadores de serviços geridos, e a NIS2 define-os de forma ampla: entidades que instalam, gerem, operam ou mantêm produtos, redes, infraestruturas ou aplicações de TIC para clientes, no local ou à distância. Um fornecedor de média ou grande dimensão que opera ou mantém aplicações para os seus clientes pode, por isso, estar abrangido pela NIS2 por direito próprio, tal como os prestadores de computação em nuvem e de centros de dados. Para estes prestadores, o Regulamento de Execução (UE) 2024/2690 (abre um site externo) detalha os requisitos técnicos.

A maioria dos fornecedores de software, porém, encontra a NIS2 através dos clientes, que transformam o seu dever relativo à cadeia de abastecimento em cláusulas contratuais, questionários e auditorias. Os produtos de software estão também abrangidos pelo Regulamento de Ciber-Resiliência (abre um site externo), Regulamento (UE) 2024/2847: as obrigações de notificação de vulnerabilidades ativamente exploradas e de incidentes graves aplicam-se desde 11 de setembro de 2026, e as restantes obrigações a partir de 11 de dezembro de 2027.

03As dez medidas mínimas do artigo 21.º

O artigo 21.º exige medidas técnicas, operacionais e organizativas adequadas e proporcionadas, baseadas numa abordagem que abranja todos os riscos. As medidas devem refletir o estado da técnica e as normas europeias e internacionais pertinentes, e ser proporcionadas à exposição da entidade ao risco, à sua dimensão e à gravidade provável dos incidentes. No mínimo, abrangem:

1. 01políticas de análise dos riscos e de segurança dos sistemas de informação;
2. 02tratamento de incidentes;
3. 03continuidade das atividades, como a gestão de cópias de segurança e a recuperação de desastres, e gestão de crises;
4. 04segurança da cadeia de abastecimento, incluindo os aspetos de segurança das relações com os fornecedores diretos e os prestadores de serviços;
5. 05segurança na aquisição, no desenvolvimento e na manutenção de redes e sistemas de informação, incluindo o tratamento e a divulgação de vulnerabilidades;
6. 06políticas e procedimentos para avaliar a eficácia destas medidas;
7. 07práticas básicas de ciber-higiene e formação em cibersegurança;
8. 08políticas e procedimentos relativos à utilização de criptografia e, se for caso disso, de cifragem;
9. 09segurança dos recursos humanos, políticas de controlo do acesso e gestão de ativos;
10. 10autenticação multifator ou contínua e comunicações seguras de voz, vídeo e texto, bem como comunicações de emergência seguras, se for caso disso.

Os pontos 4 e 5 são onde entram os fornecedores. O artigo 21.º, n.º 3, pede às entidades que tenham em conta as vulnerabilidades específicas de cada fornecedor direto, a qualidade global dos seus produtos e das suas práticas de cibersegurança, e os seus procedimentos de desenvolvimento seguro. Espera-se que os clientes olhem para a forma como o software é construído, e não apenas para o que é entregue.

04A direção aprova, supervisiona e responde

Nos termos do artigo 20.º, os órgãos de direção das entidades essenciais e importantes têm de aprovar as medidas de gestão dos riscos de cibersegurança e supervisionar a sua aplicação, e podem ser responsabilizados por infrações. Os seus membros têm de frequentar formação, e as entidades são incentivadas a dar formação regular também aos trabalhadores. Nas entidades públicas, continuam a aplicar-se as regras nacionais sobre a responsabilidade das instituições e dos titulares de cargos públicos.

Isto muda a conversa com os fornecedores. Uma administração que tem de aprovar as medidas quer evidência que consiga acompanhar: que fornecedores suportam que serviços, que riscos persistem e o que foi efetivamente testado.

05Notificação de incidentes: 24 horas, 72 horas, um mês

O artigo 23.º obriga as entidades a notificar os incidentes significativos à CSIRT ou à autoridade competente. Um incidente é significativo se causou, ou pode causar, perturbações operacionais graves dos serviços ou perdas financeiras para a entidade, ou danos materiais ou imateriais consideráveis a terceiros. A notificação faz-se por etapas:

Se for caso disso, as entidades têm também de informar sem demora injustificada os destinatários dos seus serviços sobre incidentes significativos suscetíveis de afetar esses serviços. As leis nacionais acrescentam os seus próprios formulários e canais; em Portugal, confirme-os junto do CNCS.

O prazo começa a contar quando a entidade toma conhecimento do incidente. Se o incidente começa no sistema de um fornecedor, o cliente só cumpre o prazo de 24 horas se o fornecedor o detetar, o reconhecer e o comunicar em poucas horas. A deteção, os registos e um canal de notificação acordado são, por isso, termos contratuais, e não apenas pormenores de engenharia.

06O que um cliente abrangido pela NIS2 vai pedir ao fornecedor de software

Na prática, o artigo 21.º traduz-se em medidas técnicas e em evidência que um fornecedor deve conseguir mostrar sem abrir um projeto. As que vemos com mais frequência:

• Um ciclo de desenvolvimento seguro. Modelação de ameaças para alterações significativas, revisão por pares, testes de segurança automáticos e análise de dependências no pipeline, builds assinados e uma lista de materiais de software (SBOM) em cada versão.
• Tratamento e divulgação de vulnerabilidades. Um canal público para comunicar vulnerabilidades, tempos de resposta acordados por gravidade e um aviso ao cliente quando uma vulnerabilidade afeta o seu ambiente.
• Controlo do acesso do pessoal do fornecedor. Contas nominativas, autenticação multifator, privilégio mínimo, acessos elevados limitados no tempo e um registo de cada ação administrativa no ambiente do cliente.
• Registos e evidência de incidentes. Eventos relevantes para a segurança registados com datas e horas fiáveis, conservados durante um período acordado e exportáveis, para que o cliente consiga responder às perguntas do alerta rápido e do relatório final.
• Cooperação em incidentes. Um contacto e um canal designados, um prazo de notificação bem dentro das 24 horas do cliente e apoio na análise da causa principal.
• Continuidade e recuperação. Cópias de segurança comprovadas por restauros, objetivos de recuperação alinhados com os do cliente e um procedimento ensaiado.
• Documentação da cadeia de abastecimento. Uma lista atualizada de subcontratados e locais de alojamento, e dos principais componentes e serviços de terceiros de que a solução depende.
• Um plano de saída. Exportação de dados em formatos utilizáveis, documentação e apoio na transição, para que o cliente possa mudar de fornecedor sem perder o controlo do serviço.

Nada disto é novo para equipas de engenharia maduras. O que a NIS2 muda é que o cliente tem de o conseguir demonstrar. A nossa página de confiança e conformidade descreve como a FromNine trabalha como fornecedora, incluindo o sistema de gestão de segurança da informação certificado segundo a ISO/IEC 27001.

07Lista de verificação para contratos e contratação

1. 01Associar fornecedores a serviços. Registe que fornecedores suportam que serviços abrangidos e quais têm acesso aos sistemas ou aos dados da organização.
2. 02Classificar por criticidade. Aplique os requisitos mais exigentes aos fornecedores que operam ou podem alterar sistemas críticos.
3. 03Escrever as medidas no contrato. Requisitos de segurança, prazo e canal de notificação de incidentes, tratamento de vulnerabilidades, registos e conservação, direitos de auditoria ou de evidência, regras de subcontratação e localizações. Numa entidade pública, estes pontos entram no caderno de encargos.
4. 04Pedir evidência, não declarações. Certificados com o respetivo âmbito, resultados de testes, uma SBOM, a data do último teste de restauro.
5. 05Acordar a saída desde o início. Devolução dos dados, apoio na transição e o período durante o qual o fornecedor mantém o serviço.
6. 06Ensaiar em conjunto. Faça um exercício de incidente com os fornecedores críticos, incluindo o alerta rápido de 24 horas.
7. 07Rever com regularidade. Fornecedores, serviços e ameaças mudam; um registo de fornecedores atualizado uma vez por ano está desatualizado durante a maior parte do ano.

08A lei nacional decide os pormenores

O registo, os canais de notificação, os formulários, a autoridade competente e eventuais requisitos adicionais decorrem da lei nacional. Alguns Estados-Membros ligam as medidas do artigo 21.º a um quadro ou a uma certificação nacional. Regra geral, uma entidade fica sujeita ao Estado-Membro onde está estabelecida. O artigo 26.º prevê exceções: os prestadores de redes ou serviços públicos de comunicações eletrónicas ficam sujeitos a cada país onde prestam serviços; os prestadores de computação em nuvem, de centros de dados e de serviços geridos, e vários outros prestadores digitais, ao país do seu estabelecimento principal; as entidades da administração pública, ao Estado que as criou.

Em Portugal, o Regime Jurídico da Cibersegurança atribui ao CNCS o papel de autoridade nacional de cibersegurança e de ponto de contacto único. Para as comunicações eletrónicas e os serviços postais, a autoridade setorial é a ANACOM. Os pormenores práticos, como o registo e os canais de notificação, decorrem do regime e da sua regulamentação: confirme-os nas fontes oficiais antes de os escrever num contrato.

09O que acompanhar nos próximos meses

• A aplicação do Regime Jurídico da Cibersegurança e as orientações do CNCS, bem como a transposição nos outros países onde a organização opera.
• A proposta Omnibus Digital (abre um site externo) da Comissão, de 19 de novembro de 2025, COM(2025) 837, que encaminharia as notificações de incidentes ao abrigo da NIS2, do RGPD, do DORA e de outros atos através de um ponto de entrada único gerido pela ENISA. Em outubro de 2026, a proposta ainda estava em apreciação no Parlamento Europeu (abre um site externo)); até ser adotada e aplicável, mantêm-se os canais e os prazos atuais.
• As avaliações coordenadas dos riscos das cadeias de abastecimento críticas de TIC, realizadas a nível da UE ao abrigo do artigo 22.º, que as entidades têm de ter em conta ao escolher as medidas relativas aos fornecedores.
• O calendário do Regulamento de Ciber-Resiliência para os produtos de software, com aplicação plena a partir de 11 de dezembro de 2027.

Para as entidades financeiras, o Regulamento DORA substitui as regras da NIS2 sobre gestão do risco de TIC, notificação de incidentes e supervisão; em Portugal, as autoridades competentes são o Banco de Portugal, a ASF e a CMVM, cada uma relativamente às entidades que supervisiona. Veja o nosso artigo sobre o DORA e os terceiros prestadores de serviços de TIC. A Comissão mantém uma visão geral da NIS2 e dos seus atos de execução na sua página sobre a Diretiva NIS2 (abre um site externo).