NIS2 em Portugal: transforme registo e contacto permanente numa prova operacional

O sinal e os factos que mudam a decisão

O Decreto-Lei n.º 125/2025 colocou em vigor o novo Regime Jurídico da Cibersegurança em 3 de abril de 2026. Para uma entidade potencialmente abrangida, o risco imediato não é apenas interpretar o setor: é conseguir provar classificação, dados de registo, responsável e um contacto permanentemente disponível.

A transposição portuguesa abrange 17 setores e distingue entidades essenciais, importantes e entidades relevantes da Administração Pública. A classificação deve resultar do texto nacional aplicável à entidade concreta; a diretiva e a orientação técnica não substituem essa análise.

Contacto permanente exige cadeia de substituição, meios acessíveis fora de horas e teste de receção, autenticação e escalamento. Uma caixa de correio genérica sem escala de serviço não é disponibilidade permanente. Um registo preenchido uma vez também envelhece quando há aquisição, novo serviço, mudança de domínio, fornecedor crítico ou alteração do responsável; divergências tornam notificações urgentes mais lentas.

Decisão, limites e condição de bloqueio

Crie um dossier único por entidade jurídica que ligue serviços, setor, dimensão, exceções, NIF, domínios, redes, responsável de cibersegurança, substituto e contacto permanente. O conselho aprova o racional; operações testa disponibilidade e o jurídico valida alterações materiais.

Uma caixa de correio genérica sem escala de serviço não é disponibilidade permanente. Um registo preenchido uma vez também envelhece quando há aquisição, novo serviço, mudança de domínio, fornecedor crítico ou alteração do responsável; divergências tornam notificações urgentes mais lentas.

Execução e prova de conclusão

A execução deve começar por mapear cada entidade jurídica e serviço contra os critérios do decreto-lei, guardando fonte, decisão, autor e data de revisão. Depois, instituir titular, substituto e rota 24/7 para o contacto, com acesso mínimo, autenticação forte e procedimento de triagem. O fecho exige executar trimestralmente uma mensagem de teste e reconciliar o dossier com rh, contratos, cmdb, domínios e catálogo de serviços.

O controlo fecha quando o racional de âmbito é reproduzível, o registo coincide com fontes internas, uma mensagem fora de horas chega a pessoa autorizada dentro do objetivo e qualquer alteração material reabre automaticamente a revisão.

• mapear cada entidade jurídica e serviço contra os critérios do decreto-lei, guardando fonte, decisão, autor e data de revisão.
• instituir titular, substituto e rota 24/7 para o contacto, com acesso mínimo, autenticação forte e procedimento de triagem.
• executar trimestralmente uma mensagem de teste e reconciliar o dossier com RH, contratos, CMDB, domínios e catálogo de serviços.
• O controlo fecha quando o racional de âmbito é reproduzível, o registo coincide com fontes internas, uma mensagem fora de horas chega a pessoa autorizada dentro do objetivo e qualquer alteração material reabre automaticamente a revisão.