Checklist do artigo 21.º: as 10 medidas, explicadas.
O artigo 21.º é o núcleo das obrigações da NIS2: as medidas de gestão de risco que todas as entidades abrangidas pelo Decreto-Lei n.º 125/2025 têm de implementar. Apresentam-se aqui as dez, em linguagem de gestão, com uma checklist para avaliar o ponto de situação da sua empresa.
Resposta rápida
O artigo 21.º do Decreto-Lei n.º 125/2025 exige dez famílias de medidas: políticas de risco e segurança, gestão de incidentes, continuidade de negócio, segurança da cadeia de fornecimento, segurança no ciclo de vida dos sistemas, avaliação da eficácia, ciber-higiene e formação, criptografia, recursos humanos e controlo de acessos, e autenticação multifator. Aplicam-se a entidades essenciais e importantes, e a gestão de topo responde pela sua aprovação e supervisão.
Atualizado a 13 de julho de 2026.
Marque as medidas que a sua empresa já tem implementadas, com evidências.
A ISO 27001 como referência.
Estas medidas configuram, na prática, um sistema de gestão, e a ISO 27001 cobre grande parte delas. Implementar a norma dá resposta ao artigo 21.º e acrescenta uma certificação internacional com valor comercial.
Ver a implementação ISO 27001 em conformidade com a NIS2PERGUNTAS FREQUENTES
As perguntas que mais nos fazem.
A todas as entidades essenciais e importantes abrangidas pelo Decreto-Lei n.º 125/2025. As obrigações de fundo são as mesmas para as duas categorias; o que muda é a intensidade da supervisão do CNCS e o limite máximo das coimas.
Sim, mas de forma proporcional ao risco: a profundidade de cada medida depende da dimensão da entidade, da exposição e da criticidade do serviço. Proporcional não significa opcional, significa ajustado.
Após o registo e a qualificação na plataforma MyCiber, a entidade dispõe de um período para se adaptar às medidas que lhe forem atribuídas. O registo decorre até 15 de setembro de 2026, e começar cedo permite um projeto planeado em vez de uma implementação apressada.
Coimas até 10 milhões de euros ou 2% da faturação anual mundial para entidades essenciais e até 7 milhões ou 1,4% para entidades importantes. Os titulares dos órgãos de gestão podem responder por ação ou omissão, com dolo ou culpa grave (artigo 25.º, n.º 2). Praticadas por pessoa singular, as contraordenações muito graves têm coima até 200 000 euros e as graves até 125 000 euros (artigos 61.º e 62.º).
Da checklist ao plano, com quem audita.
A N4A transforma este diagnóstico num plano priorizado, liderado por Lead Auditors e consultores certificados.
Outros recursos
Ver todos