Portugal impõe novas obrigações de cibersegurança a empresas e entidades públicas

Traders Union
Todas as Notícias
Notícias financeiras
Portugal: novas obrigações de cibersegurança

Todas as notícias

Principais Notícias

Escolhas dos editores

Ações

Criptomoedas

Notícias financeiras

Moedas

Commodities

Empresas

Bancos centrais

José Antonio Gastelum

2 horas atrás

Portugal impõe novas obrigações de cibersegurança a empresas e entidades públicas — Novas regras de cibersegurança

Portugal aplica um novo quadro legal de cibersegurança que alarga deveres de registo, notificação de incidentes e controlo operacional a milhares de organizações de setores críticos e da administração pública. O regime, alinhado com a diretiva europeia NIS2, entra em vigor com exigências imediatas de registo e com uma implementação técnica faseada ao longo de 24 meses.

Destaques

Portugal obriga empresas e entidades públicas de 17 setores a identificarem-se, registarem responsáveis e notificarem incidentes na plataforma MyCiber segundo o novo Regime Jurídico da Cibersegurança.
O incumprimento das novas regras pode resultar em coimas até 5 milhões de euros ou 1% do volume de negócios anual global, além de exclusão de contratos públicos e possível suspensão de operações.
O regime entra em vigor administrativamente a 1 de junho de 2025, com controlos técnicos mais exigentes implementados ao longo de 24 meses, impactando especialmente PME críticas sem isenções automáticas.

Regras, calendário e plataforma de registo

Segundo o The Portugal Post, o Centro Nacional de Cibersegurança, CNCS, ativou um regime regulatório que obriga entidades abrangidas a usar a plataforma MyCiber para se identificarem, registarem responsáveis e comunicarem incidentes com impacto relevante. O sistema centraliza num único canal eletrónico tarefas que antes estavam dispersas, incluindo relatórios anuais de conformidade, indicação do Responsável de Cibersegurança e do Ponto de Contacto Permanente, além do envio de alertas sobre eventos que afetem operações ou segurança pública.

O novo Regime Jurídico da Cibersegurança resulta da transposição da diretiva NIS2 por via do Decreto-Lei 125/2025, publicado em dezembro, e abrange 17 setores económicos, além de toda a administração pública. A classificação das entidades passa por categorias essenciais, importantes e públicas relevantes, com níveis de conformidade básico, substancial ou elevado definidos pelo CNCS com base no setor, dimensão, relevância económica e social e impacto potencial de um ciberataque.

As entidades devem introduzir no portal dados como número fiscal, atividade, dimensão da força de trabalho, volume de negócios e contactos. Depois dessa autoidentificação, o CNCS emite uma decisão formal sobre o nível de obrigações aplicável, enquanto os responsáveis de cibersegurança e os pontos de contacto permanentes têm de ser registados até 20 dias úteis após o reconhecimento da qualificação da entidade.

O regime prevê ainda deveres legais de comunicação rápida de incidentes significativos. Quando existe perturbação de serviços centrais, exfiltração de dados ou paralisia operacional, a entidade abrangida deve apresentar uma notificação inicial na MyCiber, atualizar a informação à medida que a situação evolui e entregar um relatório final após a contenção do incidente.

Impacto para empresas, custos e fiscalização

O novo modelo substitui uma abordagem uniforme por exigências graduais. Entidades no nível básico enfrentam obrigações mais leves, como varrimentos periódicos de vulnerabilidades, políticas de palavras-passe, documentação de incidentes e formação regular de trabalhadores, enquanto níveis substancial e elevado exigem monitorização em tempo real, avaliações de risco na cadeia de fornecimento, planos de continuidade testados anualmente e auditorias externas obrigatórias.

Para pequenas e médias empresas, sobretudo nas áreas digital, financeira, telecomunicações, energia, saúde e serviços tecnológicos, o impacto pode ser material. O texto indica que empresas de menor dimensão não recebem isenções automáticas e podem entrar nas categorias mais exigentes se prestarem serviços críticos, o que aumenta a pressão sobre estruturas com recursos limitados.

A aplicação é faseada. O regime produz efeitos desde 1 de junho de 2025 nas componentes administrativas, mas os controlos técnicos mais exigentes avançam ao longo de uma janela de 24 meses após a publicação de orientações complementares esperadas para o fim de junho de 2025. Ainda assim, as entidades já têm de prestar a informação que decorre da lei em vigor, o que reduz margem para adiamentos.

O incumprimento pode levar a coimas até 5 milhões de euros ou 1% do volume de negócios anual global, consoante a categoria e a gravidade. Além das sanções financeiras, o CNCS pode publicar decisões condenatórias, excluir empresas de contratação pública e, em casos extremos, suspender operações até à correção das falhas, elevando também o risco reputacional em setores em que a confiança do cliente é decisiva.

Na nossa publicação, abordámos o Prémio Inovação em Prevenção da Ageas Seguros, que voltou a colocar a gestão do risco como fator de competitividade para empresas portuguesas. O artigo destacou exemplos de projetos premiados e debates sobre resiliência, continuidade operacional e ciberameaças, sublinhando que a prevenção deixou de ser vista como custo e passou a ser encarada como investimento com retorno.

Este material pode conter opiniões de terceiros, nenhum dos dados e informações nesta página constitui aconselhamento de investimento de acordo com o nosso Aviso Legal. Embora sigamos rigorosos Padrões Editoriais, este post pode conter referências a produtos de nossos parceiros.

Gostou do artigo?