Enquadramento RJCS / NIS2
Da Diretiva NIS2 ao Regime Jurídico da Cibersegurança.
A NIS2 estabelece o quadro europeu. O Decreto-Lei n.º 125/2025 transpõe esse quadro para Portugal. O Regulamento n.º 756/2026 concretiza parte relevante da sua execução.
A distinção essencial
Três peças do mesmo enquadramento, com funções diferentes.
A aplicação prática exige ler o quadro europeu, o regime nacional e a sua regulamentação em conjunto.
União Europeia
Diretiva (UE) 2022/2555
Define medidas destinadas a garantir um elevado nível comum de cibersegurança na União Europeia.
Portugal
Decreto-Lei n.º 125/2025
Aprova o Regime Jurídico da Cibersegurança e transpõe a Diretiva NIS2 para a ordem jurídica nacional.
Execução
Regulamento n.º 756/2026
Concretiza matérias como plataforma, qualificação, comunicações, risco, conformidade, medidas mínimas e evidências.
Cronologia
Do quadro europeu à execução nacional.
- Diretiva NIS2
A Diretiva (UE) 2022/2555 é adotada pelo Parlamento Europeu e pelo Conselho.
- Publicação nacional
É publicado o Decreto-Lei n.º 125/2025.
- Entrada em vigor
O novo Regime Jurídico da Cibersegurança entra em vigor.
- Regulamentação
É publicado o Regulamento n.º 756/2026, de execução do RJCS.
Âmbito
Quem deve avaliar o enquadramento?
A classificação não resulta apenas do setor. Pode depender da dimensão, serviços prestados, estabelecimento, critérios especiais e decisão de qualificação.
Entidades essenciais
Organizações qualificadas como essenciais nos termos do âmbito, dimensão, setor e critérios previstos no RJCS.
Entidades importantes
Organizações qualificadas como importantes segundo os critérios legais aplicáveis.
Entidades públicas relevantes
Entidades públicas abrangidas e qualificadas de acordo com o regime e a regulamentação.
O instrumento disponibilizado pelo CNCS ajuda na avaliação, mas é não vinculativo e não dispensa a autoidentificação quando obrigatória. Alguns critérios exigem análise específica.
Visão operacional
O que muda para uma organização abrangida?
O regime deixa de poder ser tratado como um projeto documental isolado. Exige governação, risco, operação, comunicação e evidência.
Governação
Envolvimento dos órgãos de gestão, direção ou administração e definição clara de responsabilidades.
Gestão de risco
Medidas técnicas, operacionais e organizativas adequadas e proporcionais ao risco.
Incidentes
Capacidade de tratamento e cumprimento das comunicações e notificações legalmente aplicáveis.
Continuidade
Cópias de segurança, recuperação, gestão de crises e continuidade das atividades.
Cadeia de abastecimento
Gestão dos riscos associados a fornecedores e prestadores de serviços diretos.
Evidências
Critérios factuais, documentais ou técnicos que demonstrem a aplicação das medidas.
Responsáveis e contactos
Designação e comunicação do responsável de cibersegurança e do ponto de contacto permanente, quando aplicável.
Melhoria contínua
Avaliação da eficácia das medidas, formação, monitorização e evolução do sistema.
Primeiros passos
Uma sequência prática para começar.
Antes de escolher ferramentas ou produzir políticas, confirme o perímetro, as responsabilidades e a informação necessária.
- 01
Avaliar o âmbito
Confirmar setor, dimensão, serviços, estabelecimento e critérios especiais. O simulador do CNCS é um apoio não vinculativo.
- 02
Preparar a autoidentificação
Reunir informação jurídica, organizacional e operacional necessária ao processo na plataforma eletrónica.
- 03
Definir governação
Clarificar órgãos responsáveis, responsável de cibersegurança, ponto de contacto e modelo de decisão.
- 04
Ligar risco a medidas
Inventariar serviços e ativos, avaliar riscos e associar medidas, responsáveis, prazos e critérios de verificação.
- 05
Organizar evidências
Criar uma estrutura documental e técnica que permita localizar, rever e demonstrar o cumprimento.
Perguntas frequentes
Respostas diretas.
NIS2 e RJCS são a mesma coisa?
Não. A NIS2 é a Diretiva (UE) 2022/2555. O RJCS é o regime nacional aprovado pelo Decreto-Lei n.º 125/2025, que transpõe essa diretiva para Portugal.
O Decreto-Lei n.º 125/2025 já está em vigor?
Sim. O diploma entrou em vigor em 3 de abril de 2026. Algumas disposições têm regras específicas de produção de efeitos e devem ser analisadas no contexto aplicável.
O simulador do CNCS confirma definitivamente o enquadramento?
Não. O CNCS apresenta-o como instrumento de apoio não vinculativo. Não substitui a autoidentificação obrigatória nem a análise dos critérios legais que possam não estar cobertos pela ferramenta.
Todas as organizações têm exatamente as mesmas medidas?
Não. O regime prevê qualificação, matriz de risco, níveis de conformidade e proporcionalidade. As medidas aplicáveis dependem do enquadramento concreto da entidade.
Fontes primárias
Consulte os atos oficiais.
Conteúdo informativo de enquadramento geral. Não substitui a consulta dos atos oficiais nem uma análise jurídica ou técnica ajustada à organização.