Portugals NIS2-wet is nu actief — Wat er op 3 april gebeurde en wat het betekent voor jouw toeleveringsketen

Op 3 april 2026 werd Portugal de nieuwste EU-lidstaat die zijn nationale NIS2-wet activeerde. Decreto-Lei 125/2025, gepubliceerd op 4 december 2025, trad in werking na een implementatieperiode van 120 dagen — en de complianceklok tikt nu voor duizenden organisaties.

Als je producten of diensten levert aan Portugese energiebedrijven, ziekenhuizen, transportbedrijven, banken of overheidsinstanties, raakt dit jou direct. Portugese NIS2-entiteiten gaan compliancevereisten binnen weken — niet maanden — doorschuiven naar hun toeleveringsketens.

Dit is wat er veranderd is, wat de eerste deadlines zijn en wat je nu moet doen.

Portugal voegt zich bij de NIS2-handhavingskaart

Portugal was een van de latere EU-lidstaten die NIS2 omzette in nationale wetgeving. Terwijl Duitsland zijn NIS2UmsuCG al maanden geleden handhaafde en Polens wet begin 2026 van kracht werd, trad Portugals Decreto-Lei 125/2025 pas op 3 april 2026 in werking.

De toezichthoudende autoriteit is de CNCS (Centro Nacional de Ciberseguranca) — Portugals nationale cybersecuritycentrum. CNCS is nu verantwoordelijk voor het toezicht op naleving, het afhandelen van incidentmeldingen en het opleggen van sancties.

Met de activering van Portugal wordt de NIS2-handhavingskaart in Europa steeds voller. Elk nieuw land dat zijn nationale wet activeert, creëert nieuwe complianceverplichtingen — niet alleen voor organisaties binnen dat land, maar voor elke leverancier in hun keten.

De eerste deadlines lopen al

Decreto-Lei 125/2025 geeft organisaties geen jaren om zich voor te bereiden. De eerste deadlines worden gemeten in werkdagen:

20 werkdagen (vanaf 3 april 2026)

Elke entiteit die onder de wet valt, moet:

• Een cybersecurity-verantwoordelijke aanstellen die verantwoordelijk is voor NIS2-compliance
• Een 24/7-contactpunt instellen voor incidentcommunicatie met CNCS

Dat betekent dat Portugese NIS2-entiteiten tot circa 30 april 2026 hebben om deze rollen formeel in te vullen.

60 dagen (vanaf opening CNCS-platform)

Zodra CNCS zijn registratieplatform opent, moeten entiteiten:

• Zichzelf registreren op het CNCS-platform
• Organisatiegegevens en scope-classificatie aanleveren

24 maanden (sectorspecifieke maatregelen)

Uitgebreidere cybersecuritymaatregelen — inclusief gedetailleerde eisen voor toeleveringsketenbeveiliging — worden vastgesteld via sectorspecifieke CNCS-regelgeving. Deze worden verplicht 24 maanden na publicatie per sector.

Deze gefaseerde aanpak betekent dat de directe druk ligt op governance en registratie. Maar de eisen voor toeleveringsketenbeveiliging onder Article 21 van de NIS2-richtlijn gelden vanaf dag één.

Wat dit betekent voor EU-leveranciers

Hier wordt het kritiek voor organisaties buiten Portugal.

Article 21(2)(d) van de NIS2-richtlijn verplicht entiteiten die onder de wet vallen om cybersecurityrisico's in hun toeleveringsketens te beheersen. Portugese energiebedrijven, zorgverleners, transportbedrijven en digitale-infrastructuuraanbieders zijn nu wettelijk verplicht om de beveiligingsstatus van hun leveranciers te beoordelen.

Als jouw organisatie IT-diensten, cloudinfrastructuur, software, managed security, logistieke technologie of andere producten of diensten levert aan een Portugese NIS2-entiteit, verwacht dan het volgende:

Compliance-vragenlijsten. Je Portugese klanten moeten aan CNCS aantonen dat ze hun toeleveringsketen hebben beoordeeld. Dat betekent dat ze je beveiligingsvragenlijsten sturen, certificeringen opvragen of contractuele garanties eisen.

Contractuele vereisten. Nieuwe leverancierscontracten bevatten NIS2-conforme clausules over meldplichten bij incidenten, beveiligingsbaselines en auditrechten.

Auditrechten. Portugese entiteiten kunnen het recht eisen om jouw beveiligingspraktijken te auditen — of bewijs opvragen dat je voldoet aan specifieke standaarden zoals ISO 27001 of de tien maatregelen uit Article 21.

Dit is geen theorie. Organisaties in Duitsland, Nederland en Frankrijk zijn al begonnen met het doorvertalen van NIS2-vereisten naar hun leveranciers. Portugal volgt hetzelfde patroon.

Wie in Portugal valt er onder?

Decreto-Lei 125/2025 bestrijkt dezelfde sectoren als de NIS2-richtlijn. In Portugal gaat het om:

Essentiële entiteiten (onderworpen aan proactief toezicht):

• Energie (elektriciteit, olie, gas)
• Transport (lucht, spoor, weg, maritiem)
• Bankwezen en financiëlemarktinfrastructuur
• Gezondheidszorg
• Drinkwatervoorziening en afvalwater
• Digitale infrastructuur (DNS, TLD, datacenters, cloud, CDN)
• Openbaar bestuur
• Ruimtevaart

Belangrijke entiteiten (onderworpen aan reactief toezicht):

• Post- en koeriersdiensten
• Afvalbeheer
• Chemische industrie
• Voedselproductie
• Productie van medische hulpmiddelen, machines, elektronica
• Digitale aanbieders (online marktplaatsen, zoekmachines, sociale netwerken)
• ICT-dienstenbeheer (MSP's, MSSP's)

Portugese MSP's en MSSP's hebben een dubbele verplichting: ze vallen zelf onder de wet én bedienen klanten die eronder vallen. De deadline van 20 werkdagen voor het aanstellen van een cybersecurity-verantwoordelijke geldt direct voor hen.

Hoe verschilt Portugal van andere lidstaten?

Elke EU-lidstaat zet NIS2 net iets anders om. De Portugese aanpak heeft een aantal opvallende kenmerken:

Gefaseerde sectorregels. Anders dan Duitsland, dat via het BSI direct gedetailleerde eisen publiceerde, kiest Portugal voor een gefaseerde aanpak. CNCS zal in de loop van de tijd sectorspecifieke regelgeving uitvaardigen. Dat betekent dat organisaties CNCS-publicaties nauwlettend moeten volgen.

Implementatieperiode van 120 dagen. De wet werd in december 2025 gepubliceerd en trad in april 2026 in werking. Dit is relatief standaard — Polen hanteerde een vergelijkbare tijdlijn.

CNCS als enige autoriteit. Portugal centraliseerde het NIS2-toezicht onder CNCS, in plaats van het over meerdere toezichthouders te verdelen. Dit vereenvoudigt het compliancelandschap voor organisaties die in Portugal actief zijn.

Incidentmelding conform NIS2-standaarden. De meldtermijnen van 24 uur, 72 uur en 1 maand gelden in Portugal zoals vastgelegd in de richtlijn.

Praktische stappen: wat je nu moet doen

Of je nu een Portugese entiteit bent die direct onder de wet valt of een EU-leverancier van Portugese klanten, dit moet je deze week doen:

Als je een Portugese NIS2-entiteit bent

1. Stel je cybersecurity-verantwoordelijke aan vóór de deadline van 20 werkdagen (rond 30 april 2026)
2. Richt je 24/7-contactpunt in voor incidentcommunicatie met CNCS
3. Bereid je voor op zelfregistratie — houd CNCS in de gaten voor de platformlancering
4. Start je toeleveringsketenbeoordeling onder Article 21(2)(d) — identificeer welke leveranciers compliance moeten aantonen
5. Voer een gap-analyse uit op basis van de tien Article 21-maatregelen

Als je levert aan Portugese entiteiten

1. Breng in kaart welke van je klanten onder de Portugese NIS2-wet vallen — energie, gezondheidszorg, transport, bankwezen, digitale infrastructuur
2. Bereid je beveiligingsdocumentatie voor — certificeringen, beleidsstukken, incidentresponsprocedures
3. Controleer je contracten op NIS2-clausules die je klanten mogelijk gaan eisen
4. Toets je eigen beveiligingsniveau aan de Article 21-maatregelen — ook als NIS2 niet rechtstreeks op jou van toepassing is, meten je klanten je aan deze standaarden
5. Ga na of je zelf direct onder de wet valt als digitale dienstverlener of MSP — controleer of NIS2 op jouw organisatie van toepassing is

Niet zeker waar jouw organisatie staat? Doe de gratis NIS2 Quick Scan en ontdek in vijf minuten of je geraakt wordt — direct of via je toeleveringsketen.

Het grotere plaatje: NIS2-handhaving versnelt

Dat Portugal zich bij de handhavingskaart voegt, past in een bredere trend. Elke maand activeert weer een EU-lidstaat zijn nationale NIS2-wet. Voor organisaties die grensoverschrijdend opereren of klanten in meerdere EU-landen bedienen, betekent dit dat de cumulatieve compliancedruk snel toeneemt.

De toeleveringsketenhoek is het meest significant. Je hoeft niet direct onder NIS2 te vallen om geraakt te worden. Als je klanten onder de wet vallen — in Portugal, Duitsland, Nederland, Frankrijk, Italië, Spanje, Polen of welke andere lidstaat dan ook — zullen de NIS2-eisen voor toeleveringsketenbeveiliging je bereiken.

Bestuurders moeten ook de gevolgen voor hun persoonlijke aansprakelijkheid begrijpen onder Article 20. NIS2 is niet alleen een IT-kwestie — het is een bestuursverantwoordelijkheid.

De organisaties die zich nu voorbereiden — hun blootstelling in kaart brengen, hun beveiligingsniveau documenteren en proactief voldoen aan toeleveringsketenvereisten — zijn de organisaties die contracten winnen in plaats van verliezen.

Bronnen

• Vieira de Almeida (VDA): NIS 2 Directive transposed in Portugal (target="_blank")
• iCompliance: NIS2 Implementation in Portugal — Practical Roadmap (target="_blank")
• Rumos: NIS2 comes into force on April 3 (target="_blank")
• NIS-2-Directive.com: Portugal Transposition Status (target="_blank")