Um regime mais amplo e operacional
O Decreto-Lei n.º 125/2025 transpõe a Diretiva NIS2 e aprova, em anexo, o novo Regime Jurídico da Cibersegurança. O âmbito é significativamente alargado e as exigências são graduadas segundo o tipo, dimensão e importância da entidade.
A primeira tarefa não é comprar tecnologia. É determinar o enquadramento, documentar os critérios usados e preparar a informação necessária para a autoidentificação.
A gestão passa a ter um papel verificável
Os órgãos de gestão aprovam e supervisionam as medidas de gestão dos riscos de cibersegurança, asseguram a sua execução e promovem formação regular. A governação deixa de poder ser reduzida a uma decisão informal do departamento de informática.
Atas, decisões, responsabilidades, recursos, revisões e acompanhamento tornam-se parte da evidência de que a organização dirige efetivamente o risco.
Medidas mínimas não substituem a análise de risco
O regime combina padrões e medidas aplicáveis com análise do risco residual. Mesmo quando uma entidade aplica as medidas mínimas associadas ao seu nível, continua a precisar de avaliar se existem riscos que exigem tratamento adicional.
Inventário, criticidade, dependências, cenários, decisões de tratamento e aceitação fundamentada devem formar um processo contínuo.
Pessoas e canais permanentes
Para os casos aplicáveis, o regime prevê a designação de responsável de cibersegurança e de um ponto de contacto permanente. Não são apenas nomes num formulário: precisam de poderes, disponibilidade, substituição e integração nos processos de decisão e resposta.
Incidentes com prazos e sequência
Os incidentes significativos seguem uma sequência de comunicação que acompanha a verificação, o impacto e o encerramento. Para cumprir, a organização precisa de deteção, classificação, escalamento, decisão e recolha de factos antes de existir uma crise.
O relógio legal não espera que a equipa improvise um procedimento.
A pergunta decisiva
A maturidade deixa de ser apenas «temos uma política?» e passa a ser «conseguimos demonstrar que a política é aplicada, revista e eficaz?». A diferença está nas evidências ligadas a responsáveis, datas, decisões e resultados.
Este artigo é explicativo e não substitui a leitura do diploma nem a avaliação do enquadramento concreto.