Regime Jurídico da Segurança do Ciberespaço · DL 125/2025
O Decreto-Lei n.º 125/2025 transpõe a Diretiva NIS2 e está em vigor desde 3 de abril de 2026. Veja em 2 minutos se a sua empresa poderá estar abrangida — diretamente ou pela cadeia de fornecimento.
Está em âmbito?
A NIS2 não se aplica a todas as PMEs. Aplica-se a empresas de 50+ colaboradores em sectores críticos — e, por arrastamento contratual, aos fornecedores dessas empresas.
Sector do Anexo I ou II E 50+ colaboradores (ou >10M€ de volume de negócios).
Tem 50+ colaboradores num sector crítico — indústria transformadora, saúde, energia, transportes, água, infraestrutura digital, alimentar? Muito provavelmente está em âmbito — sujeito a confirmação formal. A responsabilidade é da gestão, pessoalmente.
Fornece empresas que estão em âmbito (banca, seguros, utilities, hospitais, indústria).
Vai receber requisitos NIS2 em cascata nos contratos dos seus clientes. Quem não os cumprir perde o cliente — mesmo estando abaixo do limiar direto.
Energia, transportes, banca, infraestruturas de mercado financeiro, saúde, água potável e residual, infraestrutura digital, gestão de serviços TIC, espaço.
Serviços postais, gestão de resíduos, químicos, produção e distribuição alimentar, indústria transformadora, fornecedores digitais, investigação.
Calendário regulatório
DL 125/2025 publicado no DR n.º 234/2025.
120 dias após publicação. Já em vigor.
Nomear e notificar o CNCS do responsável de cibersegurança (20 dias úteis).
Até 60 dias após a plataforma do CNCS ficar disponível.
Alerta inicial em 24h; relatório final em 30 dias úteis.
DL 125/2025 publicado no DR n.º 234/2025.
120 dias após publicação. Já em vigor.
Nomear e notificar o CNCS do responsável de cibersegurança (20 dias úteis).
Até 60 dias após a plataforma do CNCS ficar disponível.
Alerta inicial em 24h; relatório final em 30 dias úteis.
Para a gestão
O órgão de gestão aprova e supervisiona as medidas de cibersegurança. Há responsabilidade pessoal por ação ou omissão com dolo ou culpa grave.
Tem de nomear e notificar o CNCS de um responsável de cibersegurança até 4 de maio de 2026.
Até 10 milhões de euros ou 2% do volume de negócios global anual — o que for mais elevado.
Alerta inicial em 24 horas após determinar que o incidente é significativo; relatório final em 30 dias úteis.
Como a Gigasis ajuda
Ajudamos a perceber se está em âmbito e porquê — por sector, dimensão e cadeia de fornecimento. Um ponto de partida claro para a decisão.
Mapeamento das medidas do art.º 21 (gestão de risco, resposta a incidentes, continuidade, supply-chain, governance) face ao estado atual. Relatório executivo + roadmap priorizado.
Implementação das medidas, nomeação e suporte ao responsável de cibersegurança, e o processo de notificação de incidentes em 24h.
Monitorização, revisão anual, prontidão para auditoria e reporte ao órgão de gestão. A conformidade mantém-se ao longo do tempo, não só no dia da auditoria.
O diagnóstico de âmbito NIS2 é uma ferramenta própria de âmbito — distinta do CyberAdvisor Pro (self-assessment de maturidade QNRCS).
A NIS2 raramente vem sozinha. Veja a abordagem multi-framework — um assessment, várias conformidades (DORA, ISO 27001, RGPD, QNRCS).
Conteúdo informativo. Não substitui aconselhamento jurídico nem a determinação formal de âmbito, que cabe à própria entidade e ao CNCS.