NIS2 em Portugal: o que muda para o seu alojamento e fornecedor de hosting
Guia prático para empresas portuguesas que alojam um site, loja online ou aplicação SaaS e querem saber o que o novo regime de cibersegurança implica e o que continua a ser da sua responsabilidade. Situação a 30.09.2026.
Resposta curta
- 1O Decreto-Lei n.º 125/2025, de 4 de dezembro, aprova o novo Regime Jurídico da Cibersegurança e transpõe a Diretiva NIS2 (UE 2022/2555) para o direito português. Nos termos do seu artigo 11.º, entra em vigor 120 dias após a publicação, ou seja, por volta de 3 de abril de 2026 (contagem nossa).
- 2A lei não se aplica a todos os sites. Aplica-se a entidades de determinados setores e dimensão; segundo resumos de consultoras e escritórios de advogados, abrange 17 setores e a Administração Pública. Se a sua empresa está abrangida, determina-o pelo texto do diploma e pelas orientações do CNCS, com apoio jurídico.
- 3O Centro Nacional de Cibersegurança (CNCS) é a autoridade nacional de cibersegurança. Para incidentes significativos, a Diretiva (art. 23.º) prevê um alerta inicial em 24 horas e uma notificação do incidente em 72 horas; confirme no diploma português os prazos e os destinatários que se aplicam ao seu setor.
- 4O seu fornecedor de hosting é um elo da sua cadeia de fornecimento, não substitui as suas obrigações. Situação a 30.09.2026.
O que é o novo Regime Jurídico da Cibersegurança?
O Decreto-Lei n.º 125/2025 foi publicado no Diário da República de 4 de dezembro de 2025 (1.ª série, n.º 234). Aprova o regime que transpõe a Diretiva (UE) 2022/2555 e distingue entidades essenciais e importantes, consoante o tipo de atividade e a dimensão (por referência à Recomendação 2003/361/CE).
Segundo resumos de fontes secundárias (PwC Portugal, Crowe), o CNCS reforça o papel de autoridade nacional e existem autoridades de supervisão setoriais. Algumas obrigações, como as relativas a sistemas de gestão e à notificação, dependem de regulamentação complementar do CNCS; não reproduzimos aqui prazos que não confirmámos no texto oficial.
Notificação de incidentes e registo
A Diretiva NIS2, no artigo 23.º, define um alerta precoce sem demora injustificada e em 24 horas após o conhecimento de um incidente significativo, e uma notificação do incidente em 72 horas. É a entidade abrangida, e não o fornecedor de infraestrutura, que notifica.
Quanto ao registo das entidades e aos prazos concretos, consulte cncs.gov.pt e o texto do diploma na Diário da República; não os afirmamos sem fonte primária.
O que pedir a um fornecedor de hosting
Se a sua entidade está abrangida, o fornecedor de alojamento deve constar do seu inventário de fornecedores: contrato, contacto para incidentes, descrição de backup e recuperação, localização dos dados e acordo de subcontratação (art. 28.º do RGPD). Se presta serviços de hosting ou nuvem a terceiros, pode estar você mesmo no âmbito.
A 4hosting não tem datacenter em Portugal. Os servidores estão na UE, em Frankfurt. Isso não altera as suas obrigações, mas deve constar da documentação da cadeia de fornecimento.
Três exemplos concretos
Loja online num VPS
Uma loja portuguesa corre num VPS. O responsável pergunta se tem de se registar. O primeiro passo é verificar se o setor e a dimensão estão abrangidos, de preferência com um jurista. Se não estiverem, backups testados, atualizações e uma WAF continuam a fazer sentido.
Empresa de software com clientes empresariais
Se estiver abrangida, mapeia os fornecedores. O hosting entra na lista com contrato, acordo de subcontratação, descrição de backup e contacto de incidentes. O plano de incidentes indica quem notifica e com que registos (logs).
Ransomware num servidor de produção
Os prazos de notificação correm para a entidade abrangida, não para quem aluga a infraestrutura. Defina antecipadamente quem decide, quem faz o alerta inicial, onde estão os logs e a partir de que backup recupera.
Erros frequentes
- Pensar que "o servidor está na UE, logo estamos cobertos". As obrigações recaem sobre a entidade abrangida, não sobre o fornecedor da infraestrutura.
- Nunca verificar se a entidade está abrangida e, por isso, não saber se tem de se registar.
- Não ter um procedimento de notificação escrito: com um alerta em 24 horas não se começa do zero.
- Não incluir o fornecedor de hosting no inventário de fornecedores (contrato, subcontratação, backup, contacto de incidentes).
Como a 4hosting ajuda
- Infraestrutura na UE, em Frankfurt, não em Portugal, com proteção DDoS L3/L4 até 1,5 Tbps incluída.
- Contrato de subcontratação (DPA) nos termos do art. 28.º do RGPD, cláusulas contratuais-tipo para transferências e alinhamento com a ISO 27001. Isto não é certificação ISO 27001.
- Serviços de DevOps e CyberSecurity dentro das horas incluídas no plano: Hardening & Compliance, WAF & DDoS, SIEM & Incident Response, CI/CD & Monitoring. As horas pedem-se no painel de cliente; o que exceder a quota é faturado à parte.
- A 4hosting não tem certificação NIS2, ISO ou SOC 2, não certifica a conformidade do cliente e não assina conformidade legal. Não avaliamos aqui se a própria 4hosting está no âmbito da lei.
Perguntas frequentes
A NIS2 aplica-se a todos os sites portugueses?
Não automaticamente. O regime visa entidades de determinados setores e dimensão. Verifique no diploma, no CNCS ou com um jurista.
A 4hosting certifica a minha conformidade NIS2?
Não. A 4hosting fornece infraestrutura, um DPA e serviços de DevOps e CyberSecurity. A conformidade da sua entidade continua a ser sua responsabilidade.
Onde estão os servidores da 4hosting?
Na UE, em Frankfurt. Não há datacenter em Portugal.