Reportar um incidente ao CNCS: 24 h, 72 h e 30 dias úteis.
Quando acontece um incidente significativo, os prazos de notificação começam a contar, a qualquer hora e em qualquer dia. Estes são os prazos do Decreto-Lei n.º 125/2025, o que entregar em cada um e o que preparar antes.
Resposta rápida
No regime português, um incidente significativo obriga a notificar a autoridade de cibersegurança competente em quatro momentos: a notificação inicial até 24 horas depois de a entidade concluir que existe um incidente significativo, a atualização até 72 horas, a notificação do fim do impacto até 24 horas depois de ele terminar, e o relatório final em 30 dias úteis a contar dessa notificação. As notificações fazem-se na plataforma eletrónica do CNCS, o MyCiber.
Decreto-Lei n.º 125/2025, artigos 40.º a 44.º. Atualizado a 23 de setembro de 2026.
Os quatro momentos da notificação.
Notificação inicial
Art. 42.º, n.º 1
Assim que a entidade conclui que existe, ou pode vir a existir, um incidente significativo, tem até 24 horas para a notificar. Inclui o contacto de um representante, a data e a hora do início ou da deteção, uma breve descrição com a categoria da causa e dos efeitos, e a estimativa do impacto: utilizadores afetados, duração e zona afetada, incluindo impacto transfronteiriço.
Atualização da notificação inicial
Art. 42.º, n.º 3
Quando necessário, até 72 horas após a verificação do incidente: revê a informação inicial e acrescenta a avaliação inicial da gravidade e do impacto e, se disponíveis, os indicadores de exposição a riscos.
Notificação do fim do impacto significativo
Art. 43.º
Quando o impacto significativo termina, a entidade tem 24 horas para o comunicar: as medidas adotadas para resolver o incidente, a situação do impacto nesse momento e o tempo estimado para a recuperação total dos serviços.
Relatório final
Art. 44.º, n.º 1
A contar da notificação do fim do impacto. Inclui as datas e horas em que o incidente assumiu e perdeu o impacto significativo, o impacto final, a descrição com a categoria da causa, as medidas de mitigação, a situação residual e a indicação de outras notificações feitas, por exemplo ao Ministério Público ou à CNPD.
Os dois primeiros prazos contam a partir do momento em que a entidade conclui que existe, ou pode vir a existir, um incidente significativo. Os dois últimos contam a partir do fim do impacto. Se o incidente for resolvido nas duas horas após a deteção, basta a notificação do fim do impacto (art. 41.º, n.º 2). A falta de notificação constitui, por si só, uma contraordenação muito grave, mesmo que o incidente tenha sido bem gerido tecnicamente.
A Diretiva (UE) 2022/2555 fala em alerta precoce em 24 horas, notificação em 72 horas e relatório final um mês depois da notificação. O Decreto-Lei n.º 125/2025, que a transpôs, organizou os prazos de outra forma, e em Portugal aplica-se o diploma português.
A notificação prepara-se antes do incidente.
Com estes elementos preparados, a resposta não depende de improviso sob pressão.
A Plataforma NIS2 Compliance automatiza estes elementos.
O módulo de gestão e notificação de incidentes disponibiliza os modelos das notificações prontos a preencher, com a contagem dos prazos visível e o histórico auditável de cada decisão.
Conhecer a Plataforma NIS2 CompliancePERGUNTAS FREQUENTES
As perguntas que mais nos fazem.
O Decreto-Lei n.º 125/2025 determina que se avaliem, designadamente, o número de utilizadores afetados pela perturbação, o número total de utilizadores do serviço, a duração do incidente, a gravidade da perturbação e a dimensão do impacto nas atividades económicas e sociais (art. 40.º, n.º 3). Contam também os limiares que o CNCS e a Comissão Europeia definam. Na dúvida, o caminho prudente é tratar como significativo e documentar a avaliação.
À autoridade de cibersegurança competente, através da plataforma eletrónica do CNCS. O CNCS é a autoridade nacional; o GNS é a autoridade setorial para os serviços de confiança e a ANACOM para as comunicações eletrónicas e os serviços postais. Notificar ao abrigo deste regime não dispensa outras notificações obrigatórias, por exemplo ao Ministério Público, à Polícia Judiciária ou à CNPD (art. 40.º, n.º 5).
Se o incidente for resolvido nas duas horas após a deteção, a entidade só está obrigada a enviar a notificação do fim do impacto significativo (art. 41.º, n.º 2).
A entidade apresenta relatórios intercalares, a pedido da autoridade e com periodicidade semanal, até entregar o relatório final (art. 44.º, n.º 3). O prazo não pode decorrer sem qualquer comunicação.
O incumprimento do dever de notificação é contraordenação muito grave (art. 61.º, n.º 1, alínea j). Para entidades essenciais, a coima vai até 10 000 000 € ou 2 % do volume de negócios anual mundial, consoante o que for mais elevado; para entidades importantes, até 7 000 000 € ou 1,4 %. Praticada por pessoa singular, vai até 200 000 €. Os titulares dos órgãos de gestão podem responder por ação ou omissão, com dolo ou culpa grave (art. 25.º, n.º 2).
Preparação da resposta a incidentes.
A N4A prepara o seu plano de resposta e os modelos de notificação, e acompanha a sua organização caso ocorra um incidente.
Ter o procedimento pronto antes do incidente
Outros recursos
Ver todos