Coimas NIS2. O que está em jogo.

Até 10 milhões de euros ou 2% de toda a faturação anual mundial da empresa para entidades essenciais, e até 7 milhões ou 1,4% para entidades importantes, aplicando-se sempre o valor que for mais alto. Os valores igualam o escalão inferior das coimas do RGPD.

As coimas aplicam-se à entidade, e os titulares dos órgãos de gestão podem responder por ação ou omissão, com dolo ou culpa grave (artigo 25.º, n.º 2). Praticadas por pessoa singular, as contraordenações muito graves têm coima até 200 000 euros e as graves até 125 000 euros (artigos 61.º e 62.º). A delegação integral nas equipas de TI deixou de proteger a administração.

Sim, se estiverem abrangidas: em regra o regime aplica-se a médias e grandes empresas dos setores dos anexos do Decreto-Lei n.º 125/2025, e há casos especiais em que a dimensão não conta, pela criticidade do serviço.

Esses valores pertencem, em regra, ao regime anterior, a Lei n.º 46/2018, que o DL 125/2025 veio substituir. Circulam ainda em artigos antigos e em respostas de assistentes de IA desatualizados. No regime atual, as molduras são muito superiores: até 10 milhões de euros ou 2% da faturação anual mundial para entidades essenciais.

Sim, mas não é automático. Até 3 de abril de 2027, doze meses depois da entrada em vigor do diploma, as entidades podem pedir à autoridade competente, com fundamentação, a dispensa das coimas das contraordenações muito graves e graves, invocando a inexistência de um procedimento interno de adaptação ao novo regime (artigo 65.º). É um pedido, não uma isenção, e os prazos, como o registo no MyCiber, mantêm-se. É um período para organizar a conformidade, não para a adiar.

Três passos, por ordem: registar a entidade no MyCiber dentro do prazo, implementar as medidas do artigo 21.º com método e cumprir o reporte de incidentes. A implementação alinhada com a ISO 27001 permite juntar a conformidade e a certificação num só esforço.