NIS2 em Portugal: O que mudou, quem é afetado e por onde começar – Enquadramento jurídico e implementação prática – Lei n.º 59/2025 em VIGOR

A transposição da Diretiva NIS2 para o ordenamento jurídico português, através da Lei n.º 59/2025 veio introduzir um novo paradigma de cibersegurança, gestão de risco e responsabilidade organizacional para entidades públicas e privadas.

O novo regime amplia significativamente o número de organizações abrangidas, reforça os deveres de governação, impõe obrigações concretas em matéria de gestão de incidentes, cadeia de fornecimento, políticas internas e formação, e prevê mecanismos sancionatórios mais exigentes.

Num contexto de crescente digitalização e dependência tecnológica, torna-se essencial que empresas e entidades abrangidas — direta ou indiretamente — compreendam:

• quais as novas obrigações legais;
• quais os setores e entidades abrangidos;
• quais os impactos organizacionais e contratuais;
• e quais os primeiros passos para implementação prática de conformidade.

Esta ação de formação pretende fornecer uma visão simultaneamente jurídica, estratégica e operacional do novo regime, permitindo aos participantes compreenderem o alcance da Lei n.º 59/2025 e iniciarem um plano de adequação realista e proporcional.

O Curso disponibilizará um KIT Digital de conteúdos formativos.

No Final do Curso os Participantes serão capazes de:

• Compreender o enquadramento jurídico da Diretiva NIS2 e da Lei n.º 59/2025 em Portugal;
• Identificar as entidades abrangidas direta e indiretamente;
• Conhecer as principais obrigações legais impostas às organizações;
• Compreender os impactos na governação, compliance e gestão de risco;
• Adquirir ferramentas práticas para iniciar um processo de implementação e adequação à NIS2.

Objetivos específicos: 

• Identificar os setores críticos e entidades abrangidas pela Lei n.º 59/2025;
• Distinguir entidades essenciais e entidades importantes;
• Compreender os deveres de cibersegurança e gestão de risco;
• Reconhecer as obrigações de reporte e notificação de incidentes;
• Identificar responsabilidades da gestão e dos órgãos dirigentes;
• Avaliar impactos na cadeia de fornecimento e nos contratos;
• Conhecer o regime sancionatório aplicável;
• Estruturar um plano inicial de conformidade NIS2;
• Aplicar boas práticas organizacionais e documentais;
• Utilizar checklist e instrumentos práticos de autoavaliação.

Módulo 1 — Enquadramento da NIS2 e da Lei n.º 59/2025

• Evolução da regulação europeia em cibersegurança;
• Da NIS à NIS2: principais mudanças;
• Objetivos da Diretiva NIS2;
• Enquadramento da Lei n.º 59/2025;
• Autoridades competentes em Portugal;
• Articulação com RGPD, DORA e Cyber Resilience Act.
• Identificação preliminar de impacto organizacional.

Módulo 2 — Quem é abrangido? Entidades essenciais e importantes

• Critérios de aplicação;
• Setores altamente críticos;
• Setores críticos;
• Entidades essenciais vs entidades importantes;
• Abrangência indireta: fornecedores e cadeia de valor;
• Pequenas e médias empresas abrangidas;
• Exclusões e situações específicas.

Componente prática:

• Exercício de enquadramento de entidades.

Módulo 3 — Obrigações legais e medidas de gestão de risco

• Governação e responsabilidade da gestão;
• Políticas internas obrigatórias;
• Gestão de riscos de cibersegurança;
• Segurança da cadeia de abastecimento;
• Gestão de acessos e autenticação;
• Continuidade de negócio;
• Gestão de incidentes;
• Formação e sensibilização;
• Documentação e evidências de conformidade.

Componente prática:

• Análise de checklist de conformidade;
• Estrutura mínima de plano interno NIS2.

Módulo 4 — Notificação de incidentes e regime sancionatório

• Conceito de incidente significativo;
• Prazos de notificação;
• Procedimentos de reporte;
• Comunicação com autoridades;
• Fiscalização e supervisão;
• Contraordenações e coimas;
• Responsabilidade dos administradores e dirigentes;
• Impacto reputacional e contratual.

Componente prática:

• Simulação de incidente e exercício de reporte.

Módulo 5 — Por onde começar? Implementação prática e roadmap de adequação

• Diagnóstico inicial;
• Mapeamento de riscos;
• Priorização de medidas;
• Governação interna;
• Due diligence a fornecedores;
• Integração com compliance e proteção de dados;
• Construção de roadmap de implementação;
• Boas práticas organizacionais.

• Empresas abrangidas pela Lei n.º 59/2025;
• PMEs integradas em cadeias de fornecimento críticas;
• Administradores e diretores;
• Responsáveis de compliance;
• Responsáveis de proteção de dados;
• Departamentos jurídicos;
• Responsáveis de IT e cibersegurança;
• Técnicos de gestão de risco;
• Consultores;
• Prestadores de serviços tecnológicos;
• Entidades públicas e privadas com dependência de infraestruturas digitais.
• Outros com interesse na matéria.

A ação será desenvolvida através de:

• Método expositivo, com enquadramento jurídico e conceptual;
• Método interativo, com participação ativa dos formandos via ZOOM;
• Discussão orientada;
• Exercícios de identificação de riscos e obrigações;
• Utilização de ferramentas práticas de implementação.

Recursos Pedagógicos

• Apresentação em Diapositivos;
• Legislação de apoio;
• Guias e modelos práticos;
• Casos práticos;
• Checklist;
• Templates de autoavaliação;
• Ferramentas de implementação inicial