Networking & Segurança: Diretiva NIS2

NIS2 em 5 passos

A NIS2 não se cumpre com documentos. Cumpre-se com redes IT, OT e IoT bem estruturadas, resilientes e sob controlo, num ciclo contínuo: inventário, avaliação de risco, arquitetura e implementação, monitorização 24/7 e relatório.

Pedir diagnóstico NIS2Ver os 5 passos →
24 h notificação ao CNCS31 jan. 2027 lista de ativosjun. 2028 medidas implementadas

Em resumo: a Diretiva NIS2 está em vigor em Portugal desde 3 de abril de 2026 (Decreto-Lei n.º 125/2025). As entidades abrangidas têm de notificar incidentes significativos ao CNCS em 24 horas, enviar a lista de ativos publicamente acessíveis até 31 de janeiro de 2027 e implementar as medidas mínimas até junho de 2028. A Wavecom desenha, implementa e opera as redes que tornam estas obrigações exequíveis.

Diretiva NIS2 como desafio

A digitalização dos serviços e da indústria aproximou como nunca as redes corporativas (IT) das redes industriais (OT). Essa interligação aumentou a superfície de ataque das infraestruturas críticas.

Para responder a este cenário, Portugal transpôs a Diretiva (UE) 2022/2555 (NIS2, ou Diretiva SRI 2) pelo Decreto-Lei n.º 125/2025, que aprova o Regime Jurídico da Cibersegurança (RJC). O CNCS concretizou o regime no Regulamento n.º 756/2026 e recebe registos e notificações na plataforma MyCiber.

Quem está abrangido

Entidades essenciais, importantes e públicas relevantes de 17 setores e da Administração Pública: energia, transportes, saúde, águas, infraestruturas digitais, indústria transformadora, entre outros.

O que é exigido

Medidas técnicas, operacionais e organizacionais (RJC, art. 27.º), organizadas no QNRCS em seis objetivos: Gerir, Identificar, Proteger, Detetar, Responder e Recuperar.

Quem responde

Os órgãos de gestão aprovam as medidas, recebem formação e respondem pelo incumprimento. Coimas até 10 M€ ou 2% do volume de negócios anual mundial (entidades essenciais).

NIS2 – Convergência IT/OT

Bastidor de rede industrial com firewall e switches a separar a rede IT da rede OT junto a uma linha de produção

IT (Information Technology)

Garante a confidencialidade, a integridade e a disponibilidade da informação corporativa, protegendo contra roubo de dados, phishing e ransomware.

OT (Operational Technology)

Protege os processos físicos: autómatos (PLC), SCADA e sensores que gerem linhas de produção, redes elétricas ou sistemas de águas. No OT, a prioridade é a segurança física e a continuidade ininterrupta das operações.

Contexto da NIS2

Um ataque que comece num simples e-mail de escritório (IT) pode chegar à fábrica, à ETAR ou à bilhética e parar o serviço (OT). Por isso a NIS2 exige uma abordagem multirriscos (“all-hazards”): as redes operacionais têm de ser resilientes, monitorizadas e capazes de sobreviver a um incidente.

O que a Wavecom oferece para a conformidade NIS2

A Wavecom é uma empresa de engenharia de comunicações de Aveiro que desenha, implementa e opera redes de TI, TO e IoT, com SGSI certificado segundo a ISO/IEC 27001:2022 e registo na MyCiber do CNCS. Unimos a cibersegurança tradicional à segurança de ambientes industriais, muitas vezes adversos.

Diagnóstico NIS2 (NIS2 Assessment)

Inventário de ativos IT, OT e IoT, levantamento da rede passiva (UTP, fibra ótica, switches, routers) e análise de lacunas face ao nível QNRCS. Identificar · NIS2 art. 21.º, n.º 2, a)

Segmentação de redes IT/OT

Separação da rede administrativa da rede de operação, regras que limitam cada serviço às comunicações de que precisa, firewalls de nova geração e ligações cifradas entre instalações. Proteger · art. 21.º, n.º 2, a), e), h)

Acessos remotos e Zero Trust

Cada fornecedor acede só ao equipamento de que precisa, durante o tempo necessário, com autenticação multifator, contas nominais e sessão auditável. Proteger · art. 21.º, n.º 2, i), j)

Monitorização e notificação em 24 horas

Monitorização contínua do tráfego, incluindo protocolos industriais, registos centralizados e evidências prontas para as notificações de 24 e 72 horas. Detetar · Responder · art. 21.º, n.º 2, b)

Continuidade das comunicações críticas

Redundância por rádio micro-ondas e satélite e planos de continuidade com RPO e RTO testados. Recuperar · art. 21.º, n.º 2, c)

NOC 24x7 e resposta a incidentes

Monitorização contínua, gestão de incidentes e integração com SIEM, XDR e SOC existentes.

Os seis objetivos do QNRCS

Gerir

Identificar

Proteger

Detetar

Responder

Recuperar

Fale com a nossa equipa de Engenharia e prepare a sua rede IT/OT para a NIS2

0
cidades com Wi-Fi
0
access points instalados
0 km
de ligações rádio
0/7
NOC e resposta a incidentes

Prazos da NIS2 em Portugal: o que já está em vigor

A fase do registo terminou; começa a fase da implementação. Calendário do Decreto-Lei n.º 125/2025 e do Regulamento n.º 756/2026 do CNCS:

Data Marco Estado
3 abr. 2026 Decreto-Lei n.º 125/2025 em vigor (publicado a 4 dez. 2025; revoga a Lei n.º 46/2018) Concluído
23 jun. 2026 Regulamento n.º 756/2026 e abertura da plataforma MyCiber Concluído
15 set. 2026 Fim do registo das entidades em atividade (60 dias úteis) Concluído
Após decisão do CNCS 20 dias úteis para designar o responsável de cibersegurança e o ponto de contacto permanente Em curso
Sempre Notificação de incidente significativo: 24 h (inicial), 72 h (atualização), 1 mês (relatório final) Em vigor
31 jan. 2027 Lista de ativos publicamente acessíveis (ou 6 meses após a qualificação, se antes) Próximo
Jun. 2028 Medidas mínimas de cibersegurança implementadas no nível QNRCS atribuído Prazo final

Fontes: Decreto-Lei n.º 125/2025 (Diário da República); Regulamento n.º 756/2026; CNCS – Diretiva NIS 2. Atualizado a 2 de novembro de 2026.

NIS2 em 5 passos

Um ciclo contínuo, do inventário ao relatório. E de volta ao inventário.

A conformidade não é um projeto com fim. Cada relatório mostra o que mudou na rede e dá início a um novo inventário. As mesmas equipas de engenharia acompanham os cinco passos.

Começa aqui
Passo 1

Inventário

Não se protege o que não se conhece. Levantamos os equipamentos ligados às redes IT, OT e IoT, incluindo os que ninguém tem registados e os que estão expostos à internet.

Inventário de ativos e lista de ativos publicamente acessíveis (31 jan. 2027)
QNRCS · Identificar
Passo 2

Avaliação de risco

Analisamos vulnerabilidades, ameaças e as lacunas face ao nível QNRCS da sua entidade (básico, substancial ou elevado).

Plano de ação priorizado e orçamentável para 2027
QNRCS · Gerir · Identificar
Passo 3

Arquitetura e implementação

Separação IT/OT, acessos de terceiros controlados, ligações cifradas e redundância das comunicações. Instalamos e testamos com perturbação mínima da operação.

Controlos ativos, testados e documentados
QNRCS · Proteger · Recuperar
Passo 4

Monitorização 24/7

O NOC 24x7 vigia a rede, incluindo os protocolos industriais, centraliza os registos e responde a incidentes a qualquer hora.

Deteção a tempo de notificar o CNCS em 24 h
QNRCS · Detetar · Responder
Passo 5

Relatório

Evidências das medidas e dos incidentes (24 h, 72 h, 1 mês) e indicadores claros para os órgãos de gestão, que respondem pela NIS2.

Prova de conformidade e ponto de partida do próximo inventário
QNRCS · Gerir

↺ O relatório volta ao passo 1: a rede muda, o risco muda e o ciclo recomeça.

Começar pelo passo 1: pedir diagnóstico NIS2 →Reunião de 30 minutos com a nossa equipa de engenharia

Cadeia de abastecimento: o seu fornecedor também tem de estar preparado

O RJC obriga as entidades abrangidas a gerir os riscos dos fornecedores e prestadores de serviços diretos. Quem instala e mantém as suas redes passa a fazer parte do seu perímetro de risco. Por isso a Wavecom aplica à sua própria organização os controlos que implementa nos clientes:

SGSI ISO/IEC 27001:2022

Redes de telecomunicações, plataformas de software e hardware e SaaS.

Registada na MyCiber

Responsável de cibersegurança e ponto de contacto permanente designados.

Gestão do risco dos nossos fornecedores

Metodologia ISO/IEC 27005 e ISO 31000.

Obrigações em contrato

Cláusulas de cibersegurança, acordo de tratamento de dados (art. 28.º do RGPD), notificação de incidentes ao cliente e direito de auditoria.

Onde trabalhamos

Engenheiros a instalar uma ligação rádio de micro-ondas numa estação de tratamento de águas

Municípios e cidades inteligentes

Wi-Fi público, videovigilância, sensores urbanos e redes municipais, segmentados e monitorizados.

Águas e saneamento

Telemetria LoRaWAN com cifragem de ponta a ponta e integração segura com plataformas de gestão.

Transportes

Conectividade a bordo, localização em tempo real, rádio trunking e redes de estações.

Indústria e logística

Ambientes IT/OT, localização por RFID e redes industriais resilientes em ambientes adversos.

Perguntas frequentes sobre a NIS2

A NIS2 é a Diretiva (UE) 2022/2555, conhecida em Portugal como Diretiva SRI 2. Foi transposta pelo Decreto-Lei n.º 125/2025, que aprova o Regime Jurídico da Cibersegurança (RJC) e designa o Centro Nacional de Cibersegurança (CNCS) como autoridade nacional. O regime está em vigor desde 3 de abril de 2026.

O Decreto-Lei n.º 125/2025 abrange, em regra, entidades de média e grande dimensão dos setores de alta criticidade e de outros setores críticos, e entidades da Administração Pública. Algumas entidades são abrangidas independentemente da dimensão. A qualificação como essencial, importante ou pública relevante é decidida pelo CNCS após o registo na plataforma MyCiber.

Para entidades já em atividade, os 60 dias úteis de registo terminaram a 15 de setembro de 2026. Quem ainda não se registou deve fazê-lo de imediato. Após a decisão de qualificação há 20 dias úteis para designar o responsável de cibersegurança e o ponto de contacto permanente.

Até junho de 2028: 24 meses a contar da publicação do Regulamento n.º 756/2026 do CNCS, no nível de conformidade do QNRCS atribuído (básico, substancial ou elevado). Antes disso, até 31 de janeiro de 2027, é preciso enviar a lista de ativos publicamente acessíveis. A notificação de incidentes significativos em 24 horas já se aplica.

Notificação inicial ao CNCS na MyCiber em 24 horas após tomar conhecimento do incidente significativo, atualização em 72 horas com gravidade, impacto e indicadores de compromisso, e relatório final no prazo de um mês.

Até 10 milhões de euros ou 2% do volume de negócios anual mundial para entidades essenciais, e até 7 milhões de euros ou 1,4% para entidades importantes, prevalecendo o valor mais elevado. Os órgãos de gestão aprovam as medidas, recebem formação e respondem pelo incumprimento.

É uma base sólida: o QNRCS está alinhado com a ISO/IEC 27001, o NIST CSF 2.0 e os CIS Controls. Mas a lei exige medidas específicas, prazos de notificação e responsabilização da gestão que devem ser verificados um a um face ao nível atribuído.

Não. A conformidade é da entidade e é verificada pela autoridade competente. A Wavecom implementa as medidas técnicas, apoia as organizativas e entrega a documentação que as comprova.