NIS2 em Portugal: transformar o enquadramento legal num plano de ação
O Decreto-Lei n.º 125/2025, de 4 de dezembro, transpôs a Diretiva NIS2 para Portugal e aprovou o Regime Jurídico da Cibersegurança. A análise deve considerar o enquadramento da entidade, as disposições transitórias e a regulamentação aplicável, evitando assumir que todas as obrigações seguem uma única data. Diário da República — Decreto-Lei n.º 125/2025.
Para a gestão, o primeiro passo é documentar a análise de aplicabilidade. A atividade, a dimensão e as características específicas da organização devem ser avaliadas face ao regime, com atribuição de responsabilidades pela atualização dessa análise.
Como preparação operacional, recomendo mapear os serviços críticos, os sistemas de que dependem e os fornecedores envolvidos. A partir desse mapa, a organização pode priorizar riscos, definir ações e estabelecer indicadores que permitam acompanhar a execução.
Um exercício de resposta a incidentes é particularmente útil: quem identifica o problema, quem decide, quem comunica e que registos ficam disponíveis? Testar estas perguntas em equipa ajuda a revelar falhas de articulação que uma política escrita pode não mostrar.
Uma abordagem estruturada de segurança da informação pode apoiar este trabalho. Ainda assim, a organização deve verificar cada obrigação legal aplicável e a respetiva evidência, sem presumir que uma certificação substitui essa análise.
Próximo passo: Avalie as necessidades de preparação e auditoria da sua organização. Entrar em contacto.