NIS2 em Portugal: o CNCS já definiu como as empresas se registam
O Regulamento n.º 756/2026 do CNCS concretiza o regime jurídico da cibersegurança: autoidentificação online, três níveis de conformidade e notificação de incidentes numa plataforma única.
A diretiva europeia NIS2 foi transposta em Portugal pelo Decreto-Lei n.º 125/2025. Em junho de 2026, o Centro Nacional de Cibersegurança (CNCS) publicou o Regulamento n.º 756/2026, que diz como tudo funciona na prática. Segundo o ECO, entrou em vigor a 23 de junho.
O que muda
- Autoidentificação: as entidades abrangidas registam-se num formulário eletrónico com NIF, setor, número de trabalhadores, volume de negócios e contactos.
- Qualificação: a autoridade competente decide se a empresa está incluída e em que nível.
- Três níveis de conformidade: básico, substancial e elevado, definidos por uma matriz de risco.
- Responsável de cibersegurança e ponto de contacto permanente têm de ser comunicados.
- Plataforma única do CNCS para relatórios anuais e notificação de incidentes, com acesso por Cartão de Cidadão ou Chave Móvel Digital.
- O regulamento aprova ainda o Quadro Nacional de Referência para a Cibersegurança (QNRCS), com os controlos técnicos exigidos.
O que isto significa para a sua empresa
- Verifique se está abrangido: além das entidades essenciais, há muitas empresas "importantes" em setores como transportes, saúde, energia ou serviços digitais.
- Mesmo que não esteja, os seus grandes clientes podem estar e vão pedir-lhe garantias de segurança.
- Comece pelo básico: inventário de sistemas, cópias de segurança, autenticação forte e um plano de resposta a incidentes.
NIS2 in Portugal: the national cybersecurity centre has set out how companies register
CNCS Regulation 756/2026 puts the cybersecurity legal regime into practice: online self-identification, three compliance levels and incident reporting on a single platform.
The EU NIS2 directive was transposed in Portugal by Decree-Law 125/2025. In June 2026 the National Cybersecurity Centre (CNCS) published Regulation 756/2026, which explains how it works in practice. According to ECO, it took effect on 23 June.
What changes
- Self-identification: covered entities register through an online form with tax ID, sector, headcount, turnover and contact details.
- Qualification: the competent authority decides whether the company is included and at which level.
- Three compliance levels: basic, substantial and high, set by a risk matrix.
- A cybersecurity officer and a permanent point of contact must be reported.
- A single CNCS platform for annual reports and incident notifications, accessed with the Portuguese citizen card or Chave Móvel Digital.
- The regulation also approves the National Cybersecurity Reference Framework (QNRCS), with the required technical controls.
What this means for your company
- Check whether you are covered: besides essential entities, many "important" companies in sectors such as transport, health, energy or digital services are included.
- Even if you are not, your large customers may be, and they will ask you for security guarantees.
- Start with the basics: a systems inventory, backups, strong authentication and an incident response plan.