Decreto-Lei n.º 125/2025
O novo Regime Jurídico da Cibersegurança, estruturado para ser aplicado.
Um mapa verificável do diploma: 11 artigos do ato, 87 artigos do regime aprovado em anexo, nove capítulos e três anexos.
Visão geral
O diploma e o regime anexo não são a mesma camada.
Os 11 artigos do Decreto-Lei aprovam o RJCS, alteram outros diplomas, estabelecem transição, revogações, produção de efeitos e entrada em vigor. O regime material está no anexo.
- Publicação
- 4 de dezembro de 2025
- Entrada em vigor
- 3 de abril de 2026
- Diploma
- 11 artigos
- RJCS em anexo
- 87 artigos
- Estrutura
- 9 capítulos e 3 anexos
Leitura operacional
Os artigos que mudam a organização.
Uma seleção para orientação inicial — não substitui a leitura dos restantes artigos.
Autoidentificação
Entidades já em atividade identificam-se no prazo de 60 dias após a disponibilização da plataforma; novas entidades, no prazo de 30 dias após o início da atividade.
A contagem depende da disponibilização da plataforma e do enquadramento aplicável. Ver tutorial operacionalResponsabilidade da gestão
Os órgãos de gestão aprovam e supervisionam medidas, asseguram medidas de supervisão e execução e promovem formação regular.
A responsabilidade e os poderes necessários não são livremente delegáveis. Ver tutorial operacionalRisco e medidas
O regime exige uma abordagem sistémica, proporcional ao risco, complementada por análise e gestão do risco residual.
Cumprir medidas mínimas não elimina a obrigação de tratar riscos residuais. Ver tutorial operacionalRelatório anual
Entidades essenciais e importantes elaboram e mantêm relatório anual; a comunicação varia consoante a qualificação.
Existem regras próprias para o primeiro relatório e relatórios subsequentes. Ver tutorial operacionalResponsável e ponto de contacto
Entidades essenciais e importantes designam responsável de cibersegurança e asseguram ponto de contacto permanente.
O diploma prevê comunicações em 20 dias úteis nos casos aplicáveis. Ver tutorial operacionalNotificação de incidentes
Incidentes significativos seguem uma sequência de notificação inicial, fim de impacto significativo e relatório final.
Os prazos dependem da verificação, evolução e fim do impacto significativo. Ver tutorial operacionalIncidentes significativos
Uma sequência, não uma notificação única.
Os prazos contam a partir de eventos diferentes. A organização precisa de deteção, decisão, registo temporal e coordenação.
- Até 24 horasArtigo 42.º
Notificação inicial após a entidade concluir que existe ou pode vir a existir incidente significativo, salvo incompatibilidade com mitigação ou resolução.
- Até 72 horasArtigo 42.º
Atualização da notificação inicial, quando necessária, com avaliação inicial, gravidade, impacto e indicadores disponíveis.
- Até 24 horas após o fim do impactoArtigo 43.º
Notificação do fim do impacto significativo.
- 30 dias úteisArtigo 44.º
Relatório final contado da notificação do fim do impacto significativo.
Primeira camada
Os 11 artigos do Decreto-Lei.
- Artigo 1.º — Objeto
- Artigo 2.º — Regime jurídico da cibersegurança
- Artigo 3.º — Alteração à Lei n.º 53/2008, de 29 de agosto
- Artigo 4.º — Alteração à Lei n.º 109/2009, de 15 de setembro
- Artigo 5.º — Alteração à Lei n.º 16/2022, de 16 de agosto
- Artigo 6.º — Aditamento à Lei n.º 53/2008, de 29 de agosto
- Artigo 7.º — Aditamento à Lei n.º 109/2009, de 15 de setembro
- Artigo 8.º — Norma transitória
- Artigo 9.º — Norma revogatória
- Artigo 10.º — Produção de efeitos
- Artigo 11.º — Entrada em vigor
Regime aprovado em anexo
87 artigos, organizados em nove capítulos.
Abra cada capítulo para consultar todos os títulos oficiais dos artigos. Esta estrutura será a base das explicações artigo a artigo.
Capítulo I Disposições gerais Artigos 1.º a 10.º
- Artigo 1.º — Objeto
- Artigo 2.º — Definições
- Artigo 3.º — Âmbito de aplicação subjetivo
- Artigo 4.º — Delimitação territorial do âmbito de aplicação subjetivo
- Artigo 5.º — Âmbito extraterritorial
- Artigo 6.º — Entidades essenciais e entidades importantes
- Artigo 7.º — Entidades públicas relevantes
- Artigo 8.º — Procedimento de qualificação das entidades
- Artigo 9.º — Concurso de qualificações e medidas de cibersegurança
- Artigo 10.º — Tratamento de dados pessoais
Capítulo II Instrumentos estruturantes Artigos 11.º a 14.º
- Artigo 11.º — Instrumentos estruturantes da Segurança do Ciberespaço
- Artigo 12.º — Estratégia Nacional de Segurança do Ciberespaço
- Artigo 13.º — Plano nacional de resposta a crises e incidentes de cibersegurança em grande escala
- Artigo 14.º — Quadro Nacional de Referência para a Cibersegurança
Capítulo III Organização da segurança do ciberespaço Artigos 15.º a 24.º
- Artigo 15.º — Organização
- Artigo 16.º — Conselho Superior de Segurança do Ciberespaço
- Artigo 17.º — Competências do Conselho Superior de Segurança do Ciberespaço
- Artigo 18.º — Comissão de Avaliação de Segurança do Ciberespaço
- Artigo 19.º — Centro Nacional de Cibersegurança
- Artigo 20.º — Competências do Centro Nacional de Cibersegurança
- Artigo 21.º — Autoridade de gestão de crises de cibersegurança
- Artigo 22.º — Equipa de Resposta a Incidentes de Cibersegurança
- Artigo 23.º — Cooperação entre autoridades nacionais
- Artigo 24.º — Cooperação com o setor privado
Capítulo IV Gestão dos riscos e outros deveres Artigos 25.º a 37.º
- Artigo 25.º — Obrigações dos órgãos de gestão, direção e administração
- Artigo 26.º — Sistema de gestão de riscos de cibersegurança
- Artigo 27.º — Medidas de cibersegurança
- Artigo 28.º — Cadeia de abastecimento
- Artigo 29.º — Gestão do risco residual
- Artigo 30.º — Relatório anual
- Artigo 31.º — Responsável de cibersegurança
- Artigo 32.º — Ponto de contacto permanente
- Artigo 33.º — Medidas aplicáveis às entidades públicas relevantes
- Artigo 34.º — Certificação da cibersegurança
- Artigo 35.º — Dever de registo
- Artigo 36.º — Base de dados relativos ao registo de nomes de domínio
- Artigo 37.º — Acesso ao registo de nomes de domínio
Capítulo V Vulnerabilidades e incidentes Artigos 38.º a 52.º
- Artigo 38.º — Vulnerabilidades em sistemas de informação
- Artigo 39.º — Comunicação de vulnerabilidades
- Artigo 40.º — Notificação obrigatória
- Artigo 41.º — Tipos de notificações
- Artigo 42.º — Notificação inicial
- Artigo 43.º — Notificação do fim de impacto significativo
- Artigo 44.º — Relatórios final e intercalar
- Artigo 45.º — Notificações voluntárias de informações pertinentes
- Artigo 46.º — Pedidos de informação
- Artigo 47.º — Proteção da informação
- Artigo 48.º — Comunicação aos destinatários dos serviços
- Artigo 49.º — Comunicação entre autoridades
- Artigo 50.º — Comunicação a entidades no âmbito da União Europeia ou dos seus Estados-Membros
- Artigo 51.º — Informação ao público
- Artigo 52.º — Resposta a notificações
Capítulo VI Supervisão e execução Artigos 53.º a 60.º
- Artigo 53.º — Princípios
- Artigo 54.º — Medidas de supervisão relativas a entidades essenciais
- Artigo 55.º — Medidas de supervisão relativas a entidades importantes e públicas relevantes
- Artigo 56.º — Medidas de execução
- Artigo 57.º — Medidas de bloqueio e redirecionamento
- Artigo 58.º — Garantias procedimentais
- Artigo 59.º — Comunicação de incidentes e aplicação de medidas
- Artigo 60.º — Cooperação no âmbito da segurança das infraestruturas críticas
Capítulo VII Regime sancionatório Artigos 61.º a 81.º
- Artigo 61.º — Contraordenações muito graves
- Artigo 62.º — Contraordenações graves
- Artigo 63.º — Contraordenações leves
- Artigo 64.º — Negligência
- Artigo 65.º — Dispensa de aplicação das coimas
- Artigo 66.º — Determinação da medida da coima
- Artigo 67.º — Sanções acessórias e outras determinações
- Artigo 68.º — Sanções compulsórias
- Artigo 69.º — Prescrição do procedimento
- Artigo 70.º — Prescrição da coima e sanções acessórias
- Artigo 71.º — Regra da competência das autoridades competentes
- Artigo 72.º — Notificações
- Artigo 73.º — Produto das coimas
- Artigo 74.º — Custas
- Artigo 75.º — Cumprimento de dever omitido
- Artigo 76.º — Suspensão da execução da coima
- Artigo 77.º — Revogação da suspensão da execução da coima
- Artigo 78.º — Extinção da coima
- Artigo 79.º — Violação de dados pessoais
- Artigo 80.º — Impugnação das decisões da autoridade de cibersegurança competente
- Artigo 81.º — Direito subsidiário
Capítulo VIII Disposições complementares Artigos 82.º a 84.º
- Artigo 82.º — Taxa de supervisão
- Artigo 83.º — Comunicações
- Artigo 84.º — Segurança e integridade da informação
Capítulo IX Disposições finais Artigos 85.º a 87.º
- Artigo 85.º — Aprovação do plano nacional de resposta a crises e incidentes de cibersegurança em grande escala
- Artigo 86.º — Dotação de meios e independência operacional do CNCS
- Artigo 87.º — Interoperabilidade e acesso a informação
Âmbito e dimensão
Três anexos essenciais para o enquadramento.
Anexo I
Setores de importância crítica.
Explorar o anexoAnexo II
Outros setores críticos.
Explorar o anexoAnexo III
Definição de empresa e categorias de dimensão.
Explorar o anexoPerguntas frequentes
Ler sem simplificar em excesso.
O diploma tem apenas 11 artigos?
O ato legislativo tem 11 artigos, mas aprova em anexo o Regime Jurídico da Cibersegurança, que contém 87 artigos, nove capítulos e três anexos.
A entrada em vigor significa que todas as obrigações produziram efeitos na mesma data?
Não necessariamente. O artigo 10.º contém regras específicas de produção de efeitos para determinadas disposições, associadas à publicação da regulamentação prevista no regime.
As medidas mínimas são suficientes por si só?
Não. Os artigos 26.º e 29.º exigem análise e gestão dos riscos, incluindo riscos residuais, e medidas adequadas e proporcionais ao contexto da entidade.
Todas as entidades abrangidas têm as mesmas obrigações?
Não. A qualificação, o tipo de entidade, o grupo, a matriz de risco e o nível de conformidade influenciam as obrigações concretamente aplicáveis.
Fonte primária
Confirme sempre no ato oficial.
Guia informativo e estrutural. As sínteses não substituem o texto oficial, a regulamentação aplicável nem uma análise jurídica e técnica ajustada à entidade.