Cibersegurança NIS2 para empresas em Portugal. Do gap assessment ao cumprimento.
O registo no MyCiber abriu a 23 de junho de 2026 (Regulamento 756/2026) e as entidades abrangidas têm 60 dias úteis para se autoidentificarem e qualificarem. O DL 125/2025 transpôs a NIS2 e fica plenamente sancionatório a 3 de abril de 2027 — coimas até €10M. Fazemos o gap assessment, implementamos em Defender, Sentinel e Entra ID, e documentamos a notificação ao CNCS. O que é a NIS2 e a quem se aplica →
Enquadramento
A NIS2 aplica-se a quem?
A NIS2 abrange 18 setores identificados na Diretiva. Tipicamente, entidades com mais de 50 colaboradores ou mais de €10M de volume de negócios em setores listados entram no âmbito.
- Essenciais — energia, transportes, banca, infraestruturas financeiras, saúde, águas, infraestruturas digitais, administração pública, espaço.
- Importantes — provedores de serviços digitais, correios, gestão de resíduos, química, alimentar, produção crítica, investigação.
Há exceções setoriais com limiares mais baixos. O gap assessment começa sempre pela classificação formal — "essencial", "importante" ou fora de âmbito — em 2 dias úteis a partir da primeira reunião.
Desde 23 de junho de 2026, essa classificação tem prazo: a autoidentificação no MyCiber decorre em 60 dias úteis (entidades já em atividade). Detalhe do regime, datas e medidas mínimas →
O que fazemos
Âmbito concreto, nomes próprios.
- NIS2 gap assessment. 2 a 4 semanas. Mapa de controlos exigidos vs. controlos existentes. Classificação de risco, plano de mitigação com datas.
- Microsoft Defender. Cloud, Endpoint, Microsoft 365, Identity. Deploy, tuning, relatórios mensais.
- Microsoft Sentinel. SIEM/SOAR nativo da cloud Azure. Playbooks de resposta. Integração com fontes on-prem e SaaS.
- Entra ID + MFA obrigatório + Conditional Access. Base de qualquer postura NIS2.
- Incident response playbooks. Contingência documentada antes da crise — não durante.
- Gestão de identidades privilegiadas (PIM). Just-in-time access, aprovações, auditoria.
As dez medidas mínimas do artigo 27.º do DL 125/2025, no vosso ambiente Microsoft:
- Análise de riscos e políticas de segurança → gap assessment + governance documentada.
- Tratamento de incidentes → Sentinel (SIEM/SOAR), playbooks e notificação ao CNCS em 24h/72h.
- Continuidade do negócio → backup com retenção, recuperação e teste; plano de continuidade.
- Segurança da cadeia de abastecimento → revisão de risco de fornecedores e acessos de terceiros.
- Aquisição, desenvolvimento e manutenção seguros → gestão de vulnerabilidades (Defender Vulnerability Management).
- Avaliação da eficácia → relatórios mensais e revisão anual de postura.
- Ciber-higiene e formação → hardening, atualizações e formação de utilizadores e direção.
- Criptografia e cifra → cifra em repouso e em trânsito (Purview, BitLocker, Entra).
- RH, controlo de acessos e gestão de ativos → Entra ID, PIM e inventário de dispositivos (Intune).
- Autenticação multifator e comunicações seguras → MFA obrigatório + Conditional Access.
Âmbito concreto
O que está e não está incluído.
- Auditoria jurídica NIS2. A análise legal ao enquadramento da vossa empresa é trabalho de advogado, não de consultora IT. Indicamos escritórios competentes.
- Penetration testing formal. Temos parceiros certificados (CREST, OSCP). Coordenamos mas não executamos.
- Recuperação post-breach sem contrato prévio. Se ligam depois de uma intrusão, primeiro avaliamos — não entramos a correr. IR sem relação prévia é 10× mais caro e menos eficaz.
- Security awareness training em formato genérico. Quando fazemos formação de utilizadores, é personalizada ao vosso ambiente e aos phishing patterns reais que vocês enfrentam.
Respostas aos traumas que ouvimos
Frases reais. Respostas concretas.
Calendário regulatório
As datas em que a inação passa a coima.
Nota: esta página é meramente informativa e não constitui aconselhamento jurídico. A qualificação da vossa entidade ao abrigo do DL 125/2025 (NIS2) e os prazos aplicáveis dependem de análise caso a caso — a HeraPrime conduz o gap assessment técnico e articula a análise jurídica em parceria com escritórios de advogados.
Gap assessment €3 000 a €5 000, fixo. Deployment sob consulta, de acordo com o grau de complexidade. Operação contínua em contrato anual de suporte.
Diagnóstico em 30 minutos. Proposta em 5 dias.
Em 5 dias úteis, documento com âmbito, prazo e preço. A proposta técnica é vossa independentemente da decisão final.