Módulo 9 · 9.1
A NIS2 e o Decreto-Lei n.º 125/2025
Módulo 9: Regras e organização · Tempo de leitura: 11 minutos
Objetivo de aprendizagem: Após esta lição, saberá explicar o que regula o Decreto-Lei n.º 125/2025 (transposição da NIS2), para quem se aplica e o que significa, através da cadeia de fornecimento, para pequenas empresas.
Conceitos-chave: NIS2, Decreto-Lei n.º 125/2025, entidade essencial e entidade importante, setor, dimensão, dever de cuidado, dever de notificação (24 horas, 72 horas, 1 mês), dever de registo, cadeia de fornecimento, autoavaliação junto da autoridade competente
De diretiva europeia a lei nacional
A NIS2 é uma diretiva europeia de 2022 (Diretiva (UE) 2022/2555) que visa aumentar a resiliência digital de organizações importantes em toda a UE. Uma diretiva não é diretamente aplicável: cada país transpõe-na para a sua própria legislação. Em Portugal, essa transposição é feita através de legislação nacional específica. Nos Países Baixos, essa transposição chama-se Cyberbeveiligingswet (Cbw), em vigor desde 15 de agosto de 2026, em simultâneo com a Wet weerbaarheid kritieke entiteiten e o Cyberbeveiligingsbesluit, que desenvolvem as regras em maior detalhe. A antiga Wet beveiliging netwerk- en informatiesystemen (Wbni) foi revogada. Não existe período de transição: quem está abrangido tem de cumprir desde já.
Segundo o centro nacional de cibersegurança neerlandês, mais de 8.000 organizações estão abrangidas pela lei nos Países Baixos. Trata-se de uma pequena parte de todas as empresas. Para a maioria das pequenas empresas, a pergunta mais importante não é, por isso, "o que devo fazer por causa da lei?", mas sim "o que me vão pedir os meus clientes, por estarem eles próprios abrangidos pela lei?". Voltaremos a este ponto mais à frente.
O centro nacional de cibersegurança neerlandês é o ponto de contacto para a Cbw e, desde 1 de janeiro de 2026, também para as PME: o antigo Digital Trust Center passou a fazer parte deste organismo.
Está abrangido? Setor e dimensão
Saber se uma organização está abrangida pela transposição da NIS2 depende de duas perguntas.
1. Trabalha num setor previsto na lei? A lei tem dois anexos.
| Anexo 1 (11 setores) | Anexo 2 (7 setores) |
|---|---|
| energia, transportes, banca, água potável, infraestruturas digitais, gestão de serviços de TIC, espaço, infraestruturas do mercado financeiro, saúde, águas residuais, administração pública | fornecedores digitais, serviços postais e de correio expresso, gestão de resíduos, géneros alimentícios, substâncias químicas, investigação, fabrico (indústria transformadora) |
Para alguns setores aplicam-se condições adicionais definidas pelo ministério responsável. Nem todas as organizações que têm algo a ver com "géneros alimentícios" estão, por isso, automaticamente abrangidas.
2. Tem dimensão suficiente? A sua organização conta se:
- tiver 50 ou mais trabalhadores (equivalente a tempo integral), ou
- tiver menos de 50 trabalhadores, mas o volume de negócios anual e o balanço total forem ambos superiores a 10 milhões de euros.
Empresas parceiras e empresas associadas contam para este cálculo. Uma empresa com 20 trabalhadores que pertença a um grupo de 200 pode, assim, estar abrangida.
Exceções: independentemente da dimensão. Alguns tipos de organizações estão sempre abrangidos, por mais pequenos que sejam: prestadores de serviços de DNS, registos de domínios de topo, prestadores de redes e serviços públicos de comunicações eletrónicas, prestadores de serviços de confiança e organizações da administração pública. Também os prestadores de serviços de registo de nomes de domínio têm de se registar.
Essencial ou importante
As organizações abrangidas pela lei são entidades essenciais ou entidades importantes. Em termos gerais: as grandes organizações nos setores do anexo 1 e alguns tipos designados independentemente da dimensão são essenciais; as restantes são importantes. A diferença está sobretudo na supervisão: no caso das entidades essenciais, a autoridade competente pode fiscalizar por iniciativa própria, por exemplo através de inspeções e auditorias; no caso das entidades importantes, intervém sobretudo a posteriori, quando há indícios de que algo não está correto. Os deveres propriamente ditos são, em grande medida, iguais. Para saber se é essencial ou importante, use a autoavaliação abaixo.
Verificar por si próprio
Nos Países Baixos, a autoridade competente disponibiliza uma autoavaliação NIS2 gratuita em https://regelhulpenvoorbedrijven.nl/NIS-2-NL/. Responde-se a uma série de perguntas sobre setor, dimensão e serviços, obtendo-se um resultado. Em caso de dúvida, por exemplo por a empresa pertencer a um grupo ou operar em vários países, o centro nacional de cibersegurança neerlandês tem um guia para modelos de negócio complexos.
O que a lei exige
Se a sua organização estiver abrangida, aplicam-se três deveres.
Dever de registo
Regista a sua organização no registo de entidades através do registo junto da autoridade nacional de cibersegurança. Assim, o Estado sabe quem está abrangido e pode contactá-lo em caso de ameaça.
Dever de cuidado
Elabora uma análise de risco e, com base nela, toma medidas adequadas e proporcionadas para a segurança dos seus sistemas de redes e informação. O centro nacional de cibersegurança neerlandês identifica pelo menos dez temas, todos eles já abordados nesta formação:
- análise de risco (lição 1.1 e 9.3);
- tratamento de incidentes com um plano de incidentes (lição 8.1);
- preparação para interrupções: cópias de segurança, planos de recuperação, gestão de crises (módulo 6);
- segurança da cadeia de fornecimento, incluindo riscos associados a fornecedores (lição 7.2);
- higiene cibernética e formação (lição 9.2);
- aquisição, desenvolvimento e manutenção seguros de sistemas, incluindo atualizações (lição 5.1);
- pessoal, política de acessos e gestão de equipamentos e software (lição 7.1);
- passkeys ou autenticação multifator e comunicações seguras (módulo 2);
- uma política de criptografia (encriptação);
- avaliação da eficácia das medidas, por exemplo através de testes periódicos (lição 6.3 e 9.3).
A direção é responsável: aprova as medidas e supervisiona a sua execução. Segundo a diretiva europeia, os membros da direção também têm de frequentar formação sobre riscos cibernéticos. A cibersegurança deixa, assim, de ser uma tarefa que se pode simplesmente delegar no "técnico de informática".
Dever de notificação
Um incidente significativo é comunicado à autoridade nacional de cibersegurança, através do respetivo registo. Trata-se de um incidente que perturba gravemente a prestação do serviço, causa danos financeiros ou pode causar danos de grande dimensão a terceiros; os limiares exatos variam consoante o setor. Os prazos contam a partir do momento em que se toma conhecimento do incidente:
| Prazo | O que é enviado |
|---|---|
| No prazo de 24 horas | Alerta precoce: se é presumivelmente malicioso, se há efeitos transfronteiriços, quem é o ponto de contacto |
| No prazo de 72 horas | Notificação do incidente: uma atualização com uma primeira avaliação da gravidade e do impacto |
| No prazo de 1 mês após a notificação | Relatório final: o que aconteceu, a causa e as medidas tomadas (se o incidente se prolongar: um relatório intercalar) |
Uma única notificação através do registo da autoridade nacional de cibersegurança chega tanto à equipa que apoia na resposta ao incidente (CSIRT) como à entidade de supervisão. Além disso, segundo a diretiva, sempre que necessário deve informar os destinatários dos seus serviços sobre incidentes significativos que os possam afetar.
Notificação ao abrigo da transposição da NIS2 e notificação ao abrigo do RGPD: duas coisas diferentes
Isto assemelha-se ao dever de notificação de fugas de dados previsto no RGPD (lição 8.2), e as "72 horas" surgem em ambos. No entanto, são dois deveres distintos.
| Transposição da NIS2 | RGPD (fuga de dados) | |
|---|---|---|
| Para quem | Organizações abrangidas pela lei de transposição da NIS2 | Qualquer pessoa que trate dados pessoais, incluindo um trabalhador independente |
| Sobre o quê | Incidentes significativos relacionados com a prestação do serviço | Violações da segurança de dados pessoais |
| A quem | Autoridade nacional de cibersegurança, através do respetivo registo | Comissão Nacional de Proteção de Dados (CNPD) |
| Prazos | 24 horas, 72 horas, 1 mês | Sem atraso injustificado, se possível no prazo de 72 horas |
Um ataque de ransomware numa organização abrangida pela lei de transposição da NIS2, no qual também sejam roubados dados de clientes, tem de ser notificado em ambos os âmbitos. E uma pequena empresa que não esteja abrangida pela transposição da NIS2 continua a ter o dever de notificação do RGPD caso haja fuga de dados pessoais.
Se não estiver abrangido: a cadeia de fornecimento
Para a maioria dos leitores desta formação, a resposta à primeira pergunta é: não, a minha empresa não está abrangida pela transposição da NIS2. A padaria com doze pessoas, o escritório de contabilidade com cinco, o criador de sites a trabalhar sozinho. Nesse caso, não tem deveres legais decorrentes dessa lei: sem registo, sem dever de notificação à autoridade nacional de cibersegurança, sem supervisão.
Mas a lei pode alcançá-lo através dos seus clientes. As organizações abrangidas têm de assegurar a segurança da sua cadeia de fornecimento: têm de ter em conta as vulnerabilidades dos seus fornecedores e prestadores de serviços diretos. O centro nacional de cibersegurança neerlandês esclarece que a lei não impõe obrigações diretas aos fornecedores, mas que as organizações abrangidas podem exigir requisitos de segurança digital aos seus fornecedores. Esses requisitos surgem então no contrato ou num questionário.
Um exemplo. Uma pequena empresa de informática com seis trabalhadores gere os portáteis e a rede de uma empresa de transportes de média dimensão com 140 trabalhadores. A empresa de transportes está abrangida pela lei (transportes, dimensão suficiente). A empresa de informática em si não: "gestão de serviços de TIC" consta do anexo 1, mas a empresa é demasiado pequena. Ainda assim, recebe um questionário: têm autenticação de dois fatores (2FA) nas ferramentas de gestão, quem tem acesso aos nossos sistemas, com que rapidez nos notificam de um incidente, onde estão as cópias de segurança?
O que diz o centro nacional de cibersegurança neerlandês sobre isto, e o que isso significa para si:
- Os requisitos devem ser adequados. Um cliente deve avaliar o risco que o seu serviço representa para ele. Um fornecedor com acesso aos sistemas recebe requisitos mais exigentes do que o padeiro que fornece o almoço.
- Trata-se de fornecedores diretos. Os fornecedores dos seus fornecedores ficam fora do âmbito da lei.
- Um certificado não é obrigatório. A lei de transposição não impõe nenhum selo de qualidade. Um certificado pode facilitar a conversa, mas não é uma garantia nem um requisito legal.
- Comece a conversa cedo. Identifique as medidas que já tem nos pontos em que lida com o cliente e registe os acordos por escrito.
Não exagere, portanto. A transposição da NIS2 não transforma uma pequena empresa numa organização "sujeita à NIS2", e um consultor que lhe diga isso para lhe vender uma certificação cara está só a contar parte da história. Mas também não o subestime: quem fornece organizações maiores tem de conseguir mostrar, cada vez mais, que tem o essencial em ordem. As medidas básicas desta formação são exatamente o que esse tipo de questionário costuma pedir.
Esta lição é uma explicação geral e não constitui aconselhamento jurídico. Para as regras em vigor, consulte https://www.ncsc.nl/cyberbeveiligingswet-nis2 (fonte neerlandesa) e o texto legal neerlandês em https://wetten.overheid.nl/BWBR0052872/2026-08-15/0. Em Portugal, consulte o Decreto-Lei n.º 125/2025, que transpõe a NIS2.
Resumo
- Nos Países Baixos, a Cyberbeveiligingswet é a transposição nacional da NIS2 e está em vigor desde 15 de agosto de 2026, sem período de transição; em Portugal, a transposição é feita pelo Decreto-Lei n.º 125/2025.
- Está abrangido se operar num setor do anexo 1 ou 2 e tiver 50 ou mais trabalhadores a tempo integral, ou volume de negócios anual e balanço total ambos superiores a 10 milhões de euros; alguns tipos (como prestadores de serviços de DNS e administração pública) independentemente da dimensão.
- Deveres: registo junto da autoridade nacional de cibersegurança, dever de cuidado com análise de risco e medidas adequadas sob responsabilidade da direção, e notificação de incidentes significativos no prazo de 24 horas, 72 horas e 1 mês.
- A notificação ao abrigo da transposição da NIS2 é independente da notificação de fugas de dados ao abrigo do RGPD à CNPD; por vezes, ambas são necessárias.
- Uma pequena empresa normalmente não está, ela própria, abrangida, mas pode receber requisitos de segurança adequados através de clientes que estejam abrangidos.
Questionário
Exercício
Exercício A9.1: Está abrangido pelo Decreto-Lei n.º 125/2025? Vai receber seis descrições curtas de organizações (setor, número de trabalhadores, volume de negócios, balanço total, eventualmente um grupo ou um grande cliente). Determine, para cada organização: está abrangida, não está abrangida mas provavelmente vai receber requisitos através de um cliente, ou não está abrangida. O programa verifica a resposta e mostra, para cada organização, as etapas da árvore de decisão.
Para saber mais
Sobre a transposição da NIS2 ainda não existe nenhum artigo na base de conhecimento da WebOké; utilize as fontes oficiais.
- Centro nacional de cibersegurança neerlandês, Cyberbeveiligingswet (NIS2) (fonte neerlandesa): https://www.ncsc.nl/cyberbeveiligingswet-nis2
- Centro nacional de cibersegurança neerlandês, A minha organização está abrangida pela Cyberbeveiligingswet (NIS2)? (fonte neerlandesa): https://www.ncsc.nl/cyberbeveiligingswet-nis2/valt-mijn-organisatie-onder-de-cyberbeveiligingswet-nis2
- Centro nacional de cibersegurança neerlandês, Dever de cuidado (fonte neerlandesa): https://www.ncsc.nl/cyberbeveiligingswet-nis2/zorgplicht
- Centro nacional de cibersegurança neerlandês, Dever de notificação (fonte neerlandesa): https://www.ncsc.nl/cyberbeveiligingswet-nis2/meldplicht
- Centro nacional de cibersegurança neerlandês, A Cyberbeveiligingswet e os fornecedores (fonte neerlandesa): https://www.ncsc.nl/cyberbeveiligingswet-nis2/de-cyberbeveiligingswet-en-toeleveranciers
- Autoavaliação NIS2 (fonte neerlandesa): https://regelhulpenvoorbedrijven.nl/NIS-2-NL/
- Diretiva (UE) 2022/2555 (NIS2): https://eur-lex.europa.eu/eli/dir/2022/2555/oj