Portugalskie prawo NIS2 wchodzi w życie — co muszą wiedzieć dostawcy z UE

3 kwietnia 2026 roku Portugalia stała się kolejnym państwem członkowskim UE, które uruchomiło krajowe prawo NIS2. Decreto-Lei 125/2025, opublikowany 4 grudnia 2025 roku, wszedł w życie po 120-dniowym okresie wdrożeniowym — a zegar zgodności zaczął właśnie tykać dla tysięcy organizacji.

Jeśli Pana/Pani firma dostarcza produkty lub usługi portugalskim przedsiębiorstwom energetycznym, szpitalom, operatorom transportowym, bankom lub instytucjom rządowym, ta zmiana bezpośrednio Pana/Panią dotyczy. Portugalskie podmioty objęte NIS2 zaczną przekazywać wymagania zgodności w dół swoich łańcuchów dostaw w ciągu tygodni, nie miesięcy.

Oto co się zmieniło, jakie są pierwsze terminy i co należy zrobić.

Portugalia dołącza do mapy egzekwowania NIS2

Portugalia była jednym z późniejszych państw członkowskich UE, które transponowały NIS2 do prawa krajowego. Podczas gdy Niemcy wprowadziły NIS2UmsuCG kilka miesięcy wcześniej, a polskie prawo weszło w życie na początku 2026 roku, portugalskie Decreto-Lei 125/2025 zaczęło obowiązywać 3 kwietnia 2026 roku.

Organem nadzorczym jest CNCS (Centro Nacional de Cibersegurança) — portugalskie krajowe centrum cyberbezpieczeństwa. CNCS jest teraz odpowiedzialne za nadzór nad zgodnością, obsługę zgłoszeń incydentów oraz egzekwowanie kar.

Wraz z uruchomieniem przepisów w Portugalii mapa egzekwowania NIS2 w Europie nadal się zapełnia. Każde nowe państwo, które aktywuje swoje prawo krajowe, tworzy nowe obowiązki zgodności — nie tylko dla organizacji w tym kraju, ale dla każdego dostawcy w ich łańcuchu. W Polsce rolę krajowego organu ds. cyberbezpieczeństwa pełni NASK (Naukowa i Akademicka Sieć Komputerowa), który odpowiada za analogiczne zadania co CNCS w Portugalii.

Pierwsze terminy już biegną

Decreto-Lei 125/2025 nie daje organizacjom lat na przygotowanie. Pierwsze terminy liczone są w dniach roboczych:

20 dni roboczych (od 3 kwietnia 2026)

Każdy podmiot objęty przepisami musi:

• Wyznaczyć oficera ds. cyberbezpieczeństwa odpowiedzialnego za zgodność z NIS2
• Ustanowić całodobowy punkt kontaktowy do komunikacji o incydentach z CNCS

Oznacza to, że portugalskie podmioty NIS2 mają czas do około 30 kwietnia 2026 roku, aby formalnie obsadzić te stanowiska.

60 dni (od otwarcia platformy CNCS)

Po uruchomieniu platformy rejestracyjnej CNCS podmioty muszą:

• Zarejestrować się na platformie CNCS
• Podać dane organizacji i klasyfikację zakresu

24 miesiące (środki sektorowe)

Szersze środki cyberbezpieczeństwa — w tym szczegółowe wymagania dotyczące bezpieczeństwa łańcucha dostaw — zostaną określone w sektorowych regulacjach CNCS. Stają się one obowiązkowe 24 miesiące po publikacji dla każdego sektora.

To etapowe podejście oznacza, że natychmiastowa presja dotyczy zarządzania i rejestracji. Jednak wymagania dotyczące łańcucha dostaw wynikające z Article 21 dyrektywy NIS2 obowiązują od pierwszego dnia.

Co to oznacza dla dostawców z UE

Tu sprawa staje się kluczowa dla organizacji spoza Portugalii.

Article 21(2)(d) dyrektywy NIS2 wymaga od podmiotów objętych przepisami zarządzania ryzykiem cyberbezpieczeństwa w ich łańcuchach dostaw. Portugalskie przedsiębiorstwa energetyczne, dostawcy usług zdrowotnych, operatorzy transportowi i dostawcy infrastruktury cyfrowej są teraz prawnie zobowiązani do oceny poziomu bezpieczeństwa swoich dostawców.

Jeśli Pana/Pani organizacja świadczy usługi IT, infrastrukturę chmurową, oprogramowanie, zarządzane usługi bezpieczeństwa, technologię logistyczną lub jakikolwiek inny produkt lub usługę dla portugalskiego podmiotu NIS2, należy spodziewać się następujących działań:

Kwestionariusze zgodności. Pana/Pani portugalscy klienci będą musieli wykazać przed CNCS, że dokonali oceny swojego łańcucha dostaw. Oznacza to wysyłanie kwestionariuszy bezpieczeństwa, żądanie certyfikatów lub domaganie się gwarancji umownych.

Wymagania umowne. Nowe umowy z dostawcami będą zawierać klauzule zgodne z NIS2 obejmujące obowiązki powiadamiania o incydentach, bazowe standardy bezpieczeństwa i prawa do audytu.

Prawo do audytu. Podmioty portugalskie mogą wymagać prawa do audytu Pana/Pani praktyk bezpieczeństwa — lub żądać dowodów spełnienia określonych standardów, takich jak ISO 27001 lub dziesięć środków opisanych w Article 21.

To nie teoria. Organizacje w Niemczech, Holandii i Francji już zaczęły przekazywać wymagania NIS2 swoim dostawcom. Portugalia podąży tym samym schematem.

Kto w Portugalii jest objęty przepisami?

Decreto-Lei 125/2025 obejmuje te same sektory co dyrektywa NIS2. W Portugalii dotyczy to:

Podmioty kluczowe (podlegające proaktywnemu nadzorowi):

• Energetyka (elektryczność, ropa naftowa, gaz)
• Transport (lotniczy, kolejowy, drogowy, morski)
• Bankowość i infrastruktura rynku finansowego
• Ochrona zdrowia
• Zaopatrzenie w wodę i oczyszczanie ścieków
• Infrastruktura cyfrowa (DNS, TLD, centra danych, chmura, CDN)
• Administracja publiczna
• Przestrzeń kosmiczna

Podmioty ważne (podlegające reaktywnemu nadzorowi):

• Usługi pocztowe i kurierskie
• Gospodarka odpadami
• Produkcja chemiczna
• Produkcja żywności
• Produkcja wyrobów medycznych, maszyn, elektroniki
• Dostawcy usług cyfrowych (platformy handlowe, wyszukiwarki, sieci społecznościowe)
• Zarządzanie usługami ICT (MSP, MSSP)

Portugalscy MSP i MSSP stoją przed podwójnym obowiązkiem: sami są objęci przepisami i obsługują klientów, którzy również są nimi objęci. Termin 20 dni roboczych na wyznaczenie oficera ds. cyberbezpieczeństwa dotyczy ich natychmiast.

Czym Portugalia różni się od innych państw członkowskich

Każde państwo UE transponuje NIS2 nieco inaczej. Podejście Portugalii ma kilka charakterystycznych cech:

Etapowe przepisy sektorowe. W przeciwieństwie do Niemiec, które opublikowały szczegółowe wymagania z góry za pośrednictwem BSI, Portugalia przyjęła podejście etapowe. CNCS będzie wydawać regulacje sektorowe stopniowo. Oznacza to, że organizacje muszą uważnie śledzić publikacje CNCS.

120-dniowy okres wdrożeniowy. Prawo zostało opublikowane w grudniu 2025 roku i weszło w życie w kwietniu 2026 roku. To stosunkowo standardowy harmonogram — Polska zastosowała podobny.

CNCS jako jedyny organ. Portugalia scentralizowała nadzór NIS2 pod CNCS, zamiast dzielić go między kilka organów regulacyjnych. To upraszcza krajobraz zgodności dla organizacji działających w Portugalii.

Zgłaszanie incydentów zgodne ze standardami NIS2. Terminy zgłaszania: 24 godziny, 72 godziny i 1 miesiąc obowiązują w Portugalii zgodnie z dyrektywą.

Praktyczne kroki: co zrobić teraz

Niezależnie od tego, czy jest Pan/Pani portugalskim podmiotem bezpośrednio objętym przepisami, czy dostawcą z UE dla portugalskich klientów, oto co należy zrobić w tym tygodniu:

Jeśli jest Pan/Pani portugalskim podmiotem NIS2

1. Wyznaczyć oficera ds. cyberbezpieczeństwa przed upływem terminu 20 dni roboczych (ok. 30 kwietnia 2026)
2. Ustanowić całodobowy punkt kontaktowy do komunikacji o incydentach z CNCS
3. Przygotować się do rejestracji — monitorować CNCS pod kątem uruchomienia platformy
4. Rozpocząć ocenę łańcucha dostaw zgodnie z Article 21(2)(d) — zidentyfikować, którzy dostawcy muszą wykazać zgodność
5. Przeprowadzić analizę luk w odniesieniu do dziesięciu środków z Article 21

Jeśli dostarcza Pan/Pani usługi portugalskim podmiotom

1. Zidentyfikować, którzy klienci podlegają portugalskim przepisom NIS2 — energetyka, ochrona zdrowia, transport, bankowość, infrastruktura cyfrowa
2. Przygotować dokumentację bezpieczeństwa — certyfikaty, polityki, procedury reagowania na incydenty
3. Przeanalizować umowy pod kątem klauzul NIS2, o które mogą poprosić klienci
4. Ocenić własną postawę bezpieczeństwa w odniesieniu do środków z Article 21 — nawet jeśli NIS2 nie dotyczy Pana/Pani bezpośrednio, klienci będą mierzyć Pana/Panią według tych standardów
5. Rozważyć, czy jest Pan/Pani bezpośrednio objęty/objęta przepisami jako dostawca usług cyfrowych lub MSP — sprawdzić, czy NIS2 dotyczy Pana/Pani organizacji

Nie jest Pan/Pani pewien/pewna, jaka jest sytuacja Pana/Pani organizacji? Wykonaj darmowy NIS2 Quick Scan i dowiedz się w pięć minut, czy jest Pan/Pani objęty/objęta — bezpośrednio lub przez łańcuch dostaw.

Szerszy obraz: egzekwowanie NIS2 przyspiesza

Dołączenie Portugalii do mapy egzekwowania jest częścią szerszego trendu. Co miesiąc kolejne państwo członkowskie UE aktywuje swoje krajowe prawo NIS2. Dla organizacji działających transgranicznie lub obsługujących klientów w wielu krajach UE oznacza to, że skumulowana presja zgodności szybko rośnie.

Aspekt łańcucha dostaw jest najistotniejszy. Nie trzeba być bezpośrednio objętym NIS2, żeby odczuć skutki. Jeśli Pana/Pani klienci są objęci przepisami — w Portugalii, Niemczech, Holandii, Francji, Włoszech, Hiszpanii, Polsce lub jakimkolwiek innym państwie członkowskim — wymagania NIS2 dotyczące bezpieczeństwa łańcucha dostaw dotrą do Pana/Pani.

Członkowie zarządu powinni również rozumieć implikacje osobistej odpowiedzialności wynikające z Article 20. NIS2 to nie tylko kwestia IT — to obowiązek w zakresie ładu korporacyjnego.

Organizacje, które przygotują się teraz — mapując swoją ekspozycję, dokumentując swoją postawę bezpieczeństwa i proaktywnie spełniając wymagania łańcucha dostaw — będą tymi, które wygrywają kontrakty, a nie je tracą.

Źródła

• Vieira de Almeida (VDA): NIS 2 Directive transposed in Portugal (target="_blank")
• iCompliance: NIS2 Implementation in Portugal — Practical Roadmap (target="_blank")
• Rumos: NIS2 comes into force on April 3 (target="_blank")
• NIS-2-Directive.com: Portugal Transposition Status (target="_blank")