Coimas NIS2. O que está em jogo.
O Decreto-Lei n.º 125/2025 trouxe valores de coimas ao nível do RGPD e uma novidade que muitos gestores ainda não interiorizaram: a responsabilidade é também pessoal.
Resposta rápida
O incumprimento do Decreto-Lei n.º 125/2025, o regime português da NIS2, pode custar até 10 milhões de euros ou 2% da faturação anual mundial às entidades essenciais, e até 7 milhões ou 1,4% às entidades importantes, aplicando-se sempre o valor mais alto. Os órgãos de gestão respondem diretamente pela aprovação e supervisão das medidas de cibersegurança.
Atualizado a 12 de julho de 2026.
Entidades essenciais
10 M€
ou 2% de toda a faturação anual mundial da empresa, aplicando-se sempre o valor que for mais alto.
Entidades importantes
7 M€
ou 1,4% de toda a faturação anual mundial da empresa, aplicando-se sempre o valor que for mais alto.
A administração responde em nome próprio.
O regime responsabiliza diretamente os órgãos de gestão pela aprovação e supervisão das medidas de cibersegurança, com coimas pessoais que podem chegar aos 125 000 euros (artigo 25.º). Delegar tudo em TI deixou de ser proteção: a decisão, e a consequência, sobem à administração.
Entidades públicas relevantes
O Estado também paga: até 500 000 € para as entidades do Grupo A e até 100 000 € para as do Grupo B.
Além das coimas
O regime prevê sanções acessórias: publicação da decisão sancionatória, interdição temporária de funções de administração ou direção, suspensão de certificações ou autorizações, e sanções pecuniárias compulsórias.
ONDE AS EMPRESAS FALHAM
As três infrações mais prováveis.
Falta de registo
Não efetuar o registo na plataforma MyCiber dentro do prazo é a primeira porta de entrada no incumprimento, e a mais fácil de evitar.
Medidas do artigo 21.º em falta
Gestão de risco, políticas de segurança, continuidade de negócio, segurança da cadeia de fornecimento: o núcleo das obrigações do regime.
Não reportar incidentes
Os incidentes significativos têm prazos de notificação apertados. Falhar o reporte é das infrações que a supervisão detecta com mais facilidade.
A supervisão é do CNCS e o regime já está em vigor: o registo MyCiber decorre até 15 de setembro de 2026 e o mercado antecipa as primeiras ações formais de supervisão ainda em 2026. Quem se preparar cedo transforma a obrigação em vantagem; quem esperar, negoceia sob pressão.
O CAMINHO SEGURO
Como evitar as coimas, por ordem.
Registe a empresa no MyCiber
O passo zero, com prazo a terminar a 15 de setembro de 2026. Temos um guia prático completo.
Ver o guia do registoImplemente as medidas do artigo 21.º
Com método e prioridades certas, o caminho é mais curto do que parece. É o nosso trabalho de todos os dias.
Ver a nossa abordagem à NIS2Aproveite o 2 em 1 com a ISO 27001
A norma cobre grande parte das medidas exigidas. Um projeto, duas conformidades, e um selo com valor comercial.
Ver a implementação ISO 27001PERGUNTAS FREQUENTES
As perguntas que mais nos fazem.
Até 10 milhões de euros ou 2% de toda a faturação anual mundial da empresa para entidades essenciais, e até 7 milhões ou 1,4% para entidades importantes, aplicando-se sempre o valor que for mais alto. Os valores estão ao nível das coimas do RGPD.
As coimas aplicam-se à entidade, mas o regime responsabiliza diretamente os órgãos de gestão, com coimas pessoais que podem chegar aos 125 000 euros ao abrigo do artigo 25.º. Delegar tudo em TI deixou de ser proteção para a administração.
Sim, se estiverem abrangidas: em regra o regime aplica-se a médias e grandes empresas dos setores dos anexos do Decreto-Lei n.º 125/2025, e há casos especiais em que a dimensão não conta, pela criticidade do serviço.
Esses valores pertencem, em regra, ao regime anterior, a Lei n.º 46/2018, que o DL 125/2025 veio substituir. Circulam ainda em artigos antigos e em respostas de assistentes de IA desatualizados. No regime atual, as molduras são muito superiores: até 10 milhões de euros ou 2% da faturação anual mundial para entidades essenciais.
Sim: até 3 de abril de 2027, a aplicação do regime sancionatório é modulada, permitindo a adaptação progressiva das entidades. Atenção à leitura correta: os prazos, como o registo no MyCiber até 15 de setembro de 2026, mantêm-se, o incumprimento fica documentado, e modulado não significa impune. É a janela para arrumar a casa, não para adiar.
Três passos, por ordem: registar a entidade no MyCiber dentro do prazo, implementar as medidas do artigo 21.º com método, e cumprir o reporte de incidentes. A implementação alinhada com a ISO 27001 permite juntar a conformidade e a certificação num só esforço.
A coima mais barata é a que nunca chega a existir.
A N4A avalia o enquadramento da sua empresa, prioriza as medidas e acompanha-a até à conformidade, com um Consultor e Lead Auditor certificado ISO 27001 a liderar o processo.
Contactar a N4A