// NIS2 · DL 125/2025
NIS2 na indústria: o que o DL 125/2025 significa para a sua rede OT.
Portugal transpôs a diretiva NIS2 através do Decreto-Lei n.º 125/2025, que aprova o novo Regime Jurídico da Cibersegurança. Para quem opera uma fábrica, a pergunta prática é: consegue mostrar o que tem na rede industrial, como está separado e quem lhe acede?
O essencial em poucas linhas
- O Decreto-Lei n.º 125/2025 foi publicado a 4 de dezembro de 2025 e está em vigor desde abril de 2026.
- O Regulamento n.º 756/2026 do Centro Nacional de Cibersegurança (CNCS), publicado a 22 de junho de 2026, concretiza a aplicação: plataforma de registo, notificação de incidentes e medidas de cibersegurança.
- O registo das entidades abrangidas, a nomeação do responsável de cibersegurança, o ponto de contacto permanente e a notificação de incidentes já são exigíveis.
- As medidas técnicas de gestão de risco produzem efeitos a 22 de junho de 2028. É esse o prazo para ter a casa em ordem.
Quem é abrangido na indústria
O regime aplica-se a entidades essenciais e importantes em setores como a energia, os transportes, a água e saneamento, a gestão de resíduos, a indústria química, a produção e distribuição alimentar e vários ramos da indústria transformadora. A qualificação depende do setor, da atividade e da dimensão da empresa.
Muitas empresas que não são abrangidas diretamente vão sentir o regime pela via dos clientes: entidades abrangidas têm de gerir o risco da cadeia de fornecimento e passam a pedir evidência aos seus fornecedores.
O que isto significa para a rede OT
A lei não fala em PLC nem em VLAN, mas as medidas de gestão de risco traduzem-se em perguntas muito concretas para o chão de fábrica:
- Existe um inventário atualizado dos ativos e dos fluxos de comunicação OT?
- A rede industrial está separada da rede corporativa, com tráfego controlado entre zonas?
- O acesso remoto de fornecedores é feito com identidade, aprovação e registo?
- Há forma de detetar alterações e incidentes na rede industrial a tempo de os notificar?
- Existe um plano de ações priorizado e evidência que a gestão possa apresentar?
A responsabilidade é da gestão. O que a gestão precisa é de uma resposta clara a estas perguntas e de um plano realista até 2028.
Por onde começar
- 1. Confirmar o enquadramento da entidade (essencial, importante ou fora do âmbito) com o apoio jurídico adequado.
- 2. Fazer um retrato fiel da rede OT: inventário, fluxos e riscos. É o objetivo da avaliação de rede OT.
- 3. Tratar primeiro o acesso remoto de fornecedores e a separação IT/OT, que costumam ser os riscos mais diretos.
- 4. Garantir visibilidade suficiente para detetar e notificar incidentes.
- 5. Transformar tudo num plano faseado com evidência para a gestão e para o CNCS.
O que não fazemos
Não prestamos aconselhamento jurídico nem determinamos formalmente a qualificação da sua entidade. Trabalhamos a parte técnica da rede IT/OT, em articulação com o jurídico, o responsável de cibersegurança e o integrador.
Perguntas frequentes
A NIS2 já se aplica em Portugal?
Sim. O Decreto-Lei n.º 125/2025, que transpõe a NIS2, está em vigor desde abril de 2026. Algumas obrigações já são exigíveis, como o registo e a notificação de incidentes, e as medidas técnicas de gestão de risco produzem efeitos a 22 de junho de 2028.
A minha fábrica está abrangida?
Depende do setor, da atividade e da dimensão. A indústria transformadora, a química e a alimentar estão entre os setores previstos. A qualificação formal deve ser confirmada com apoio jurídico e através da plataforma do CNCS.
Somos fornecedores de uma entidade abrangida. Isto afeta-nos?
Provavelmente sim, de forma indireta. As entidades abrangidas têm de gerir o risco dos fornecedores e tendem a pedir evidência sobre acessos remotos, segmentação e gestão de incidentes.
Por onde se começa na rede OT?
Por um inventário e uma análise de risco da rede industrial, seguidos do controlo do acesso remoto de fornecedores e da separação IT/OT. São os passos com mais efeito e mais fáceis de demonstrar.
Fontes
Informação geral, não constitui aconselhamento jurídico.
Última atualização: novembro de 2026.