DataRoad · IT-Dienstleistungen und Beratung
NIS2 in Portugal
Wer ist betroffen?
Die Registrierung bei MyCiber ist befristet – sie endet Mitte September 2026.
Das Gesetzesdekret 125/2025 ist in Kraft getreten, die Bußgelder betragen bis zu 10 Millionen Euro und die Geschäftsleitung haftet unmittelbar. Erfahren Sie, wer davon betroffen ist, was zu tun ist und bis wann.
NIS2-Bestandsaufnahme anfordern
NIS2 in Portugal: Fällt Ihr Unternehmen darunter?
Das Gesetzesdekret Nr. 125/2025 ist seit dem 4. Mai 2026 in Kraft, die Plattform „MyCiber“ des CNCS ist seit dem 23. Juni zugänglich. Bereits tätige Einrichtungen haben 60 Werktage, sich zu identifizieren und zu registrieren – die Frist endet Mitte September 2026. Die Versäumnis der Registrierung stellt an sich bereits eine Ordnungswidrigkeit dar.
Was Sie tun müssen – und bis wann
- Bereits in KraftCybersicherheitsgesetzDas Gesetzesdekret Nr. 125/2025 vom 4. Dezember trat am 4. Mai 2026 in Kraft. Die Verordnung Nr. 756/2026 vom 22. Juni regelt die Umsetzung.
- ~15. September 2026Anmeldung und Registrierung bei MyCiber60 Werktage ab dem 23. Juni, dem Tag, an dem die CNCS-Plattform verfügbar wurde. Wer die Tätigkeit später aufgenommen hat, hat 30 Werktage Zeit. Das Versäumen dieser Frist stellt an sich bereits eine Ordnungswidrigkeit dar.
- 20 Tage nach der EinstufungCybersicherheitsbeauftragter und AnsprechpartnerSobald die CNCS die Einstufung der Einrichtung bestätigt hat, müssen der Verantwortliche für Cybersicherheit und eine ständige Kontaktstelle gemeldet werden.
- 31. Januar 2027Bestandsverzeichnis der VermögenswerteOder sechs Monate nach der endgültigen Einstufungsmitteilung, je nachdem, was zuerst eintritt.
- Juni 2028Mindestmaßnahmen und JahresberichtZwei Jahre, um die Sicherheitsmaßnahmen der zugewiesenen Stufe umzusetzen und den ersten Bericht einzureichen.
Die Bußgelder belaufen sich auf 10 Millionen Euro oder 2 % des weltweiten Umsatzes für wesentliche Einrichtungen und 7 Millionen oder 1,4 % für wichtige Einrichtungen. Das Gesetz verpflichtet die Leitungsorgane unmittelbar.
Was DataRoad kann – und was nicht
Wir sind keine Rechtsanwälte und übernehmen die Registrierung nicht für Sie: Die Selbstbewertung und die Einreichung bei MyCiber sind Aufgaben der Einrichtung selbst. Wir kümmern uns um alles, was danach kommt – darin liegt die eigentliche Arbeit.
- Bestandsverzeichnis der VermögenswerteErfassung von Servern, Arbeitsplätzen, Netzwerktechnik, Cloud-Diensten und Zugängen – das Dokument, das bis Januar 2027 vorgelegt werden muss und das fast niemand vorbereitet hat.
- Mindestmaßnahmen der zugewiesenen StufeUmsetzung und dokumentierter Nachweis: Zugriffskontrolle, Verschlüsselung, Netzwerksegmentierung, Firewall, Endgeräteschutz, getestete Sicherungen und Patch-Management.
- Erkennung und ProtokollierungRund-um-die-Uhr-Überwachung mit gespeicherten Protokollen. Ohne diese ist die 24-Stunden-Meldepflicht nicht einzuhalten, da der Vorfall gar nicht auffällt.
- Reaktion auf VorfälleEin schriftliches Verfahren, benannte Verantwortliche und eine Übung. Wenn es passiert, läuft die 24-Stunden-Uhr bereits.
- Fortführung und WiederherstellungGetestete Sicherungen und festgelegte Wiederherstellungszeiten – nicht das Versprechen, dass irgendwo Kopien vorhanden sind.
- Schulung des Teams und der LeitungDas Gesetz verpflichtet die Leitungsorgane. Kurze Sitzungen und Phishing-Simulationen mit Nachweis der Teilnehmer.
Häufig gestellte Fragen zu NIS2
Fällt mein Unternehmen unter NIS2?
In der Regel fallen mittlere und große Einrichtungen der im Gesetz aufgeführten Sektoren darunter – Energie, Verkehr, Bankwesen, Gesundheitswesen, Wasserversorgung, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung, Post, Abfallwirtschaft, Chemie, Lebensmittelindustrie, Fertigung und Forschung, unter anderem. Es gibt Fälle, in denen die Größe keine Rolle spielt und die Einrichtung dennoch erfasst ist. Die offizielle Feststellung erfolgt über die Selbstbewertung auf der Plattform MyCiber, und die Last dieser Bewertung trägt die Organisation selbst – nicht das CNCS.
Und was ist, wenn mein Unternehmen nicht erfasst ist?
Es ist dennoch betroffen, und zwar über die Lieferkette. Betroffene Einrichtungen müssen das Risiko ihrer Lieferanten steuern, was Sicherheitsfragebögen, vertragliche Anforderungen und zunehmend dokumentierte Nachweise bedeutet. Wer an Krankenhäuser, Banken, Energieversorger, die öffentliche Verwaltung oder die Industrie verkauft, wird NIS2 auf Kundenseite zu spüren bekommen.
Wie hoch sind die Bußgelder?
Für wesentliche Einrichtungen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 %. Darüber hinaus sieht das Gesetz eine unmittelbare Haftung der Leitungsorgane vor.
Wie schnell muss ich einen Vorfall melden?
Frühwarnung innerhalb von 24 Stunden, Meldung mit Bewertung innerhalb von 72 Stunden und Abschlussbericht innerhalb von 30 Tagen. In der Praxis setzt dies die Erkennung und Protokollierung voraus – ohne Überwachung lassen sich 24 Stunden nicht einhalten, da der Vorfall gar nicht bemerkt wird.
Welche technischen Maßnahmen werden verlangt?
Das Gesetz definiert drei Stufen – grundlegend, wesentlich und hoch – mit 39, 75 bzw. 91 Maßnahmen, die entsprechend dem Risikoprofil der Einrichtung zugeordnet werden. Die Methodik stützt sich auf den portugiesischen nationalen Referenzrahmen für Cybersicherheit, der auf NIST CSF 2.0 abgestimmt ist.
Übernimmt DataRoad die Registrierung für uns?
Die Registrierung und Selbstbewertung erfolgen durch die Einrichtung selbst; niemand kann dies an Ihrer Stelle übernehmen – wir begleiten Sie und bereiten die Informationen auf, die Einreichung bleibt jedoch Ihre Aufgabe. Wir übernehmen vollständig die technische Seite: Bestandsverzeichnis, Sicherheitsmaßnahmen, Überwachung, Protokollierung und die Fähigkeit, fristgerecht auf einen Vorfall zu reagieren.
Diese Seite dient der Information und stellt keine Rechtsberatung dar. Die Einstufung Ihrer Einrichtung ergibt sich aus der Selbstbewertung auf der Plattform. MyCiber des CNCS.
Neueste Nachrichten
Die neuesten Nachrichten und Artikel von DataRoad.
Umzug ins Büro: IT-Checkliste, um nichts dem Zufall zu überlassen
IT-Checkliste für den Umzug von Standorten: Die langen Fristen, die alles bestimmen, was vor den Bauarbeiten entschieden wird, der phasenweise Plan und die Fehler, die sich immer wieder wiederholen.
Unternehmensinformatik: Lissabon, Setúbal, Porto, Beja, Cascais und Oeiras
IT-Support für Unternehmen auf der Setúbal-Halbinsel: Welche Bedürfnisse die Region auszeichnen, wann der Vor-Ort-Service unverzichtbar ist und welche vier Fragen Sie vor der Beauftragung eines lokalen Partners stellen sollten.
WLAN-Netzwerke für Unternehmen: Warum Heim-WLAN nicht ausreicht
Drahtlose Unternehmensnetze: Die vier Probleme, die WLAN-Ausfälle verursachen, warum mehr Access Points das Netz verschlechtern, die Rolle der Funkausleuchtung und die anspruchsvollsten Umgebungen.