NIS2: que formação a lei pede e a quem

Atualizado a 25/10/2026, com base no Diário da República e no CNCS. Informação de caráter geral, que não substitui aconselhamento jurídico.

A Diretiva NIS2 foi transposta em Portugal pelo Decreto-Lei n.º 125/2025, que aprova, em anexo, o Regime Jurídico da Cibersegurança, em vigor desde 3 de abril de 2026. Nas entidades essenciais e importantes, os órgãos de gestão, direção e administração asseguram a realização, com uma periodicidade regular, de ações de formação em cibersegurança (artigo 25.º, n.º 1, alínea d), do regime). O Regulamento n.º 756/2026 do Centro Nacional de Cibersegurança (CNCS) concretiza as medidas mínimas: já no nível básico, a sensibilização periódica de todo o pessoal e a formação periódica dos membros dos órgãos de gestão, direção e administração, com registo documentado da participação. A lei não fixa horas, intervalo, programa nem certificação da formação.

A quem se aplica

• Às entidades privadas dos tipos que constam dos anexos I e II do regime que sejam médias empresas ou maiores (artigo 3.º, n.º 1). Pelos critérios do anexo III, uma pequena empresa emprega menos de 50 pessoas e tem um volume de negócios ou um balanço anual até 10 milhões de euros. O anexo I abrange a energia, os transportes, o setor bancário, as infraestruturas do mercado financeiro, a saúde, a água potável, as águas residuais, as infraestruturas digitais, a gestão de serviços de TIC entre empresas e o espaço; o anexo II, os serviços postais e de estafeta, a gestão de resíduos, os produtos químicos, os produtos alimentares, a indústria transformadora, os serviços digitais e a investigação.
• A certos tipos de entidade independentemente da dimensão, como as comunicações eletrónicas públicas, os serviços de confiança, o registo de nomes de domínio de topo e os serviços de DNS, ou as entidades críticas (artigo 3.º, n.º 2).
• À Administração Pública e às instituições de ensino superior (artigo 3.º, n.os 3 e 6).

As entidades abrangidas identificam-se na plataforma eletrónica do CNCS (artigo 8.º). O CNCS decide a qualificação, como entidade essencial ou importante, e indica na notificação, quando aplicável, o nível de conformidade e as medidas obrigatórias (artigo 9.º, n.º 5, do Regulamento). Uma empresa fora do âmbito pode sentir o regime como fornecedora: as medidas das entidades abrangidas incluem a segurança da cadeia de abastecimento e das relações com os fornecedores e os prestadores de serviços diretos (artigo 27.º, n.º 1, alínea c)).

Quem tem de ser formado

Os três níveis de conformidade

O Regulamento n.º 756/2026 tem três níveis: básico, substancial e elevado. O nível não é escolhido pela entidade: vem na notificação de qualificação do CNCS, a partir do setor e da dimensão. Cada nível acumula as medidas dos anteriores (artigo 30.º, n.º 2, do Regulamento).

O que a lei não diz

• Um número de horas de formação ou de sensibilização.
• Um intervalo fixo: a lei diz «com uma periodicidade regular» e o Regulamento diz «periódica».
• Um programa ou um conteúdo mínimo.
• O formato, presencial ou online, nem quem dá a formação.
• Que a formação tenha de ser certificada ou dada por uma entidade formadora acreditada. O que se pede é a evidência: o registo documentado da participação e, no nível substancial, do plano de formação e da sua execução.
• Uma qualificação para o responsável de cibersegurança.

Prazos e responsabilidade

• O regime está em vigor desde 3 de abril de 2026, e a formação dos órgãos de gestão (artigo 25.º) não está entre as normas de efeitos adiados (artigo 10.º, n.º 2, do decreto-lei).
• As entidades abrangidas identificam-se e registam-se na plataforma MyCiber do CNCS (artigo 8.º): segundo o CNCS, em 30 dias úteis as que iniciaram atividade depois da entrada em vigor do regime e em 60 dias úteis, a contar da disponibilização da plataforma, as que já estavam em atividade. O registo é feito pelo representante legal, ou por quem tenha poderes para isso, com a Chave Móvel Digital ou o Cartão de Cidadão. A autoridade competente (o CNCS, a ANACOM ou o GNS) notifica depois a qualificação, e é a partir do Ato de Qualificação que as obrigações do regime se aplicam à entidade.
• As medidas de cibersegurança do artigo 27.º, que incluem a formação dos trabalhadores, e as coimas ligadas a elas produzem efeitos 24 meses depois da publicação do Regulamento n.º 756/2026, a 22 de junho de 2026: em junho de 2028.
• Os titulares dos órgãos de gestão, direção e administração podem responder por ação ou omissão, com dolo ou culpa grave, pelas infrações do regime (artigo 25.º, n.º 2). A responsabilidade não se delega, exceto num dos titulares (n.º 3).
• Na supervisão, o CNCS pode pedir provas da aplicação das políticas e dos procedimentos de cibersegurança (artigos 54.º e 55.º).
• Entre as sanções acessórias está a adoção e a execução de um plano de formação em cibersegurança, no prazo de seis meses (artigo 67.º, alínea c)).

Formação para cada público

• Administração, gerência e direção: NIS2 | Cibersegurança para órgãos de gestão.
• Responsável de cibersegurança: NIS2 | Implementação para o responsável de cibersegurança.
• Todo o pessoal: Cibersegurança | Sensibilização para utilizadores, planos anuais de sensibilização e simulações de phishing.
• Equipas técnicas e de TI: Microsoft Entra ID, Microsoft Defender XDR, cibersegurança na cloud Microsoft, código seguro para a web e hacking ético.

Cada participante recebe certificado de formação (a Actual Training é entidade formadora certificada pela DGERT), e o certificado e o registo de presenças documentam a participação. É formação certificada, não uma certificação de cibersegurança da organização.

Perguntas frequentes

Fontes

Consultadas a 25/10/2026.

• Diário da República, Decreto-Lei n.º 125/2025, que aprova o Regime Jurídico da Cibersegurança, 04/12/2025
• Diário da República, Regulamento n.º 756/2026, do Centro Nacional de Cibersegurança, 22/06/2026
• Jornal Oficial da União Europeia, Diretiva (UE) 2022/2555 (Diretiva NIS2), 27/12/2022
• Centro Nacional de Cibersegurança, MyCiber: identificação e registo, calendário de obrigações e qualificação