Entidades essenciais e importantes. A classificação define a supervisão e as coimas.
O Decreto-Lei n.º 125/2025 divide as organizações abrangidas em duas categorias, e dessa classificação dependem a supervisão do CNCS e o teto das coimas. Conheça o enquadramento da sua empresa e as respetivas implicações.
Resposta rápida
No Decreto-Lei n.º 125/2025, as entidades essenciais são, em regra, as grandes empresas dos setores de elevada criticidade do Anexo I; as importantes são as dos outros setores críticos do Anexo II e as médias empresas do Anexo I. As obrigações de fundo são as mesmas; mudam a intensidade da supervisão do CNCS e o teto das coimas.
Atualizado a 12 de julho de 2026.
ENTIDADES ESSENCIAIS
Os setores de elevada criticidade do Anexo I do Decreto-Lei n.º 125/2025.
Energia, transportes, banca e infraestruturas financeiras, saúde, água potável e águas residuais, infraestruturas digitais, espaço e administração pública.
- Em regra, as grandes empresas destes setores.
- Supervisão mais exigente: o CNCS pode fiscalizar de forma preventiva, sem esperar por incidentes.
- Coimas até 10 milhões de euros ou 2% da faturação anual mundial.
ENTIDADES IMPORTANTES
Os outros setores críticos do Anexo II, e as médias empresas dos setores do Anexo I.
Serviços postais, gestão de resíduos, química, alimentação, indústria transformadora, serviços digitais e investigação, entre outros.
- Em regra, as médias empresas dos setores abrangidos.
- Supervisão reativa: o CNCS atua sobretudo após indícios ou incidentes.
- Coimas até 7 milhões de euros ou 1,4% da faturação anual mundial.
No essencial, as obrigações são as mesmas.
As medidas do artigo 21.º, o registo no MyCiber e o reporte de incidentes aplicam-se às duas categorias. O que muda é a intensidade da supervisão e o teto das coimas. A classificação como entidade importante não dispensa o cumprimento, apenas altera a forma de supervisão.
ONDE AS EMPRESAS SE ENGANAM
Os três erros de enquadramento mais comuns.
"Somos PME, não estamos abrangidos."
A dimensão é relevante, mas não exclui por si só: as médias empresas dos setores abrangidos estão sujeitas ao regime e, em casos específicos, também as pequenas, pela criticidade do serviço.
"O nosso setor não consta da lista."
Os anexos incluem subsetores e definições cuja aplicação nem sempre é evidente. Empresas de TI, logística ou indústria podem estar abrangidas por uma alínea específica.
"Não estamos abrangidos, não há obrigações."
A cadeia de fornecimento estende os efeitos do regime: se os seus clientes são entidades abrangidas, exigirão garantias de segurança por contrato. Os requisitos da NIS2 chegam-lhe por via comercial.
O enquadramento é o primeiro passo do registo no MyCiber, obrigatório também depois do termo do prazo, a 15 de setembro de 2026. Uma classificação incorreta, por excesso ou por defeito, tem custos: a organização assume obrigações que não lhe cabem ou falha as que lhe são aplicáveis. Recomenda-se a confirmação por especialistas.
PERGUNTAS FREQUENTES
As perguntas que mais nos fazem.
As duas categorias têm as mesmas obrigações de fundo, do registo no MyCiber às medidas do artigo 21.º. A diferença está na supervisão do CNCS, preventiva para as essenciais e reativa para as importantes, e no teto das coimas: até 10 milhões de euros ou 2% da faturação anual mundial para as essenciais, e até 7 milhões ou 1,4% para as importantes.
Depende do setor e da dimensão. Em regra, o regime aplica-se a médias e grandes empresas dos setores dos anexos do Decreto-Lei n.º 125/2025, mas há exceções em que a dimensão não conta, pela criticidade do serviço prestado. Recomenda-se a confirmação caso a caso.
O Anexo I reúne os setores de elevada criticidade: energia, transportes, banca e infraestruturas financeiras, saúde, água, infraestruturas digitais, espaço e administração pública. O Anexo II cobre os outros setores críticos: serviços postais, resíduos, química, alimentação, indústria transformadora, serviços digitais e investigação.
Sim. A segurança da cadeia de fornecimento é uma das medidas do artigo 21.º, por isso as entidades abrangidas vão exigir garantias de cibersegurança aos seus fornecedores. Mesmo fora do regime, a NIS2 pode chegar-lhe por via contratual, e estar preparado torna-se uma vantagem comercial.
Depois do enquadramento
Enquadramento confirmado em dez minutos.
A N4A confirma o enquadramento da sua empresa face aos anexos do Decreto-Lei n.º 125/2025 e indica, de forma objetiva, as obrigações a cumprir e a respetiva ordem de prioridade.