Grupo Aprecisa
Última verificação manual: 27 de outubro de 2026. As datas e os nomes das leis vêm das fontes indicadas em cada linha; sem data = a fonte não a indica.
A lei da NIS2 está em vigor em 24 dos 27 Estados da União Europeia. Em Portugal: Decreto-Lei n.º 125/2025 (Regime Jurídico da Cibersegurança), em vigor desde 3 de abril de 2026.
O prazo da diretiva acabou a 17 de outubro de 2024. Ainda em preparação: Espanha, França e Irlanda.
Verificado à mão a 27/10/2026
O que fazer hoje
- Veja se a sua organização está abrangida: em geral, empresas médias e grandes (a partir de 50 pessoas ou 10 milhões de euros de volume de negócios) dos setores da lista da diretiva, e algumas mais pequenas pela importância do que fazem.
- Se estiver, confirme o registo junto do CNCS, o responsável pela segurança e o plano para notificar incidentes nos prazos da lei.
- Se não estiver, a NIS2 continua a servir de lista de boas práticas: as mesmas medidas protegem qualquer organização.
Como quer ler?
Escolha pelo seu nível de preparação nesta matéria, ou pela sua profissão. Os números são os mesmos para todos; muda a forma de os explicar. Ninguém precisa de ter aprendido isto na escola: o nível «Família» é para quem começa do zero.
Pelo nível
Pela profissão
Criança · 1.º ciclo: O que é que se passa?
O que é que se passa?
- A União Europeia fez regras para as empresas importantes terem cuidado com os computadores, como há regras de segurança nos edifícios. Chamam-se NIS2.
Família · sem formação na área: E eu, o que faço?
E eu, o que faço?
- A NIS2 é uma lei europeia de cibersegurança para empresas e serviços importantes (energia, saúde, água, transportes…). Já está em vigor em 24 dos 27 países, incluindo Portugal.
- O que muda para si: nada a fazer em casa; os serviços de que depende passam a ter de se proteger e de avisar quando algo corre mal.
Escola · 2.º e 3.º ciclos: Como se mede?
Como se mede?
- Fração dos países com a lei em vigor: 24/27 = 88,9 %. Faltam: Espanha, França e Irlanda.
Secundário · 10.º a 12.º ano: Que conta está por trás?
Que conta está por trás?
- Uma diretiva europeia não se aplica sozinha: cada país tem de a «transpor» para uma lei sua. Por isso a mesma regra entra em vigor em datas diferentes.
Universidade · ensino superior: Qual é o método e onde estão os limites?
Qual é o método e onde estão os limites?
- Diretiva (UE) 2022/2555: entidades essenciais e importantes, medidas de gestão de risco (art. 21.º), notificação de incidentes (art. 23.º) e responsabilidade dos órgãos de gestão (art. 20.º).
Jurista: O que tem relevância jurídica?
O que tem relevância jurídica?
- Em Portugal: Decreto-Lei n.º 125/2025 (Regime Jurídico da Cibersegurança). Pontos a ver: âmbito (essenciais e importantes), registo no CNCS, prazos de notificação (alerta precoce em 24 horas) e coimas.
Contabilista ou gestor: Que risco tem a minha empresa?
Que risco tem a minha empresa?
- Confirme se a empresa está abrangida (setor e dimensão) e se está registada no CNCS. Fornecedores de entidades abrangidas também vão ser chamados a provar cuidados.
Professor: Como levo isto para a aula?
Como levo isto para a aula?
- Cidadania e Desenvolvimento: como nasce uma lei europeia e como chega a Portugal (diretiva, transposição, entrada em vigor), com o mapa dos 27.
Técnico de informática: O que corrijo primeiro?
O que corrijo primeiro?
- As medidas do artigo 21.º (gestão de vulnerabilidades, cópias, controlo de acessos, cadeia de fornecimento) são o caderno de encargos técnico: comece pela gestão de vulnerabilidades (perguntas 1, 11 e 13).
Decisor: O número, o habitual e a decisão
O número, o habitual e a decisão
- 24 de 27 países com a lei em vigor. A NIS2 responsabiliza os órgãos de gestão: decisão — a administração aprovou e acompanha as medidas de cibersegurança?
As frases são feitas todos os dias com os números desta página. A escolha fica só no seu navegador.
Uma imagem do dia a dia: o código da estrada europeu
A NIS2 é uma diretiva europeia: diz o que todos os países têm de exigir às organizações importantes (energia, transportes, saúde, água, bancos, serviços digitais…) em matéria de cibersegurança. Como uma diretiva sobre segurança rodoviária, só se aplica às pessoas depois de cada país a passar para a sua própria lei. É isso que se chama «transposição».
Porque é que esta pergunta é verificada à mão
Não há uma fonte oficial que publique, num formato que se possa ler automaticamente, o estado de cada país. Por isso o autor verifica à mão, com a ligação da fonte para cada país, e o painel mostra em destaque a data da última verificação.
País a país
- DEAlemanhaEm vigor
- ATÁustriaEm vigor
- BEBélgicaEm vigor
- BGBulgáriaEm vigor
- CZChéquiaEm vigor
- CYChipreEm vigor
- HRCroáciaEm vigor
- DKDinamarcaEm vigor
- SKEslováquiaEm vigor
- SIEslovéniaEm vigor
- ESEspanhaEm preparação
- EEEstóniaEm vigor
- FIFinlândiaEm vigor
- FRFrançaEm preparação
- GRGréciaEm vigor
- HUHungriaEm vigor
- IEIrlandaEm preparação
- ITItáliaEm vigor
- LVLetóniaEm vigor
- LTLituâniaEm vigor
- LULuxemburgoEm vigor
- MTMaltaEm vigor
- NLPaíses BaixosEm vigor
- PLPolóniaEm vigor
- PTPortugalEm vigor
- RORoméniaEm vigor
- SESuéciaEm vigor
As contas, passo a passo
- Contam-se os países com estado «em vigor» na tabela: Alemanha, Áustria, Bélgica, Bulgária, Chéquia, Chipre, Croácia, Dinamarca, Eslováquia, Eslovénia, Estónia, Finlândia, Grécia, Hungria, Itália, Letónia, Lituânia, Luxemburgo, Malta, Países Baixos, Polónia, Portugal, Roménia, Suécia = 24.
- Em preparação: Espanha, França e Irlanda (3). Total: 24 + 3 = 27.
| País | Estado | Lei nacional | Em vigor desde | Fontes |
|---|---|---|---|---|
| Alemanha | Em vigor | Law implementing the NIS-2 Directive (NIS2UmsuCG) | — | fonte · Comissão Europeia |
| Áustria | Em vigor | Network and Information System Security Act 2026 (NISG 2026) | 01/10/2026 | fonte · Comissão Europeia |
| Bélgica | Em vigor | Law of April 26, 2024 (cybersecurity of networks and information systems) + Royal Decree of June 9, 2024 | 18/10/2024 | fonte · Comissão Europeia |
| Bulgária | Em vigor | Lei nacional de transposição (o ECSO não indica o nome) | — | fonte · Comissão Europeia |
| Chéquia | Em vigor | Cybersecurity Act (Act No. 264/2025) | 01/11/2025 | fonte · Comissão Europeia |
| Chipre | Em vigor | Security of Networks and Information Systems (Amendment) Law of 2025 (Law 60(I)/2025) | — | fonte · Comissão Europeia |
| Croácia | Em vigor | Regulation on Cybersecurity (designação usada pelo ECSO) | — | fonte · Comissão Europeia |
| Dinamarca | Em vigor | Law No. 434 — NIS 2 Act | 01/07/2025 | fonte · Comissão Europeia |
| Eslováquia | Em vigor | Zákon o kybernetickej bezpečnosti (alteração) | — | fonte · Comissão Europeia |
| Eslovénia | Em vigor | ZInfV-1 (Information Security Act) | — | fonte · Comissão Europeia |
| Espanha | Em preparação | Projeto de lei de coordenação e governação da cibersegurança — ainda sem lei publicada no BOE A Comissão Europeia levou o caso ao Tribunal de Justiça da UE a 8 de julho de 2026 (fonte: nisd2.eu). | — | fonte · Comissão Europeia |
| Estónia | Em vigor | Amendment of the Cybersecurity Act | 01/01/2026 | fonte · Comissão Europeia |
| Finlândia | Em vigor | Cybersecurity Law | 08/04/2025 | fonte · Comissão Europeia |
| França | Em preparação | Loi Résilience (junta NIS2, DORA e CER) — projeto de lei O debate foi retirado das sessões de 7 e 9 de outubro de 2026, sem nova data marcada (fonte: nisd2.eu). | — | fonte · Comissão Europeia |
| Grécia | Em vigor | Law No. 5160/2024 | — | fonte · Comissão Europeia |
| Hungria | Em vigor | Act LXIX of 2024 on cybersecurity | 01/01/2025 | fonte · Comissão Europeia |
| Irlanda | Em preparação | National Cyber Security Bill — projeto de lei A Comissão Europeia levou o caso ao Tribunal de Justiça da UE a 8 de julho de 2026 (fonte: nisd2.eu). | — | fonte · Comissão Europeia |
| Itália | Em vigor | Legislative Decree No. 138/2024 | 16/10/2024 | fonte · Comissão Europeia |
| Letónia | Em vigor | National Cyber Security Act | 01/09/2024 | fonte · Comissão Europeia |
| Lituânia | Em vigor | Law on Cybersecurity (XII-1428), alterada | 18/10/2024 | fonte · Comissão Europeia |
| Luxemburgo | Em vigor | Law of May 5, 2026 (high level of cybersecurity) | 10/05/2026 | fonte · Comissão Europeia |
| Malta | Em vigor | Measures for a High Common Level of Cybersecurity across the European Union (Malta) Order, 2025 | — | fonte · Comissão Europeia |
| Países Baixos | Em vigor | Cyberbeveiligingswet (Cbw) | 15/08/2026 | fonte · Comissão Europeia |
| Polónia | Em vigor | Law Amending the Act on the National Cybersecurity System | 02/04/2026 | fonte · Comissão Europeia |
| Portugal | Em vigor | Decreto-Lei n.º 125/2025 (Regime Jurídico da Cibersegurança) Autoridade nacional: Centro Nacional de Cibersegurança (CNCS). | 03/04/2026 | fonte · Comissão Europeia |
| Roménia | Em vigor | Emergency Ordinance No. 155/2024; Laws No. 52/2025 & No. 124/2025 | — | fonte · Comissão Europeia |
| Suécia | Em vigor | Cybersäkerhetslagen (SFS 2025:1506) | — | fonte · Comissão Europeia |
De onde vem esta tabela
Verificação manual pelo autor, a partir de: ECSO — NIS2 Directive Transposition Tracker (atualizado a 10/09/2026) · nisd2.eu — NIS2 tracker (revisto a 16/10/2026) · Comissão Europeia — transposição da NIS2 (página atualizada a 1/07/2025). A página da Comissão Europeia de cada país está na última coluna. Verificado à mão a 27/10/2026