Coimas e sanções
Quanto custa não cumprir.
Coimas máximas
Dois limites por categoria. Aplica-se o mais alto.
| Categoria | Montante máximo | Ou, se for mais alto |
|---|---|---|
| Entidades essenciais | 10 M€ | 2% do volume de negócios anual mundial |
| Entidades importantes | 7 M€ | 1,4% do volume de negócios anual mundial |
Exemplo: uma entidade essencial com 1 000 M€ de volume de negócios anual. 2% são 20 M€ — mais do que 10 M€. A coima máxima é 20 M€.
São valores máximos. O montante concreto é fixado caso a caso pela autoridade competente.
Exemplos
Casos práticos (cenários ilustrativos)
Hospital privado — 80 M€ de volume de negócios
- Cenário
- Sofre um ataque de ransomware e não envia o alerta inicial em 24 horas.
- Quem é visado
- Entidade essencial (setor da saúde)
- Infração
- Falta de notificação de incidente
- Classificação
- Muito grave
Coima máxima
Até 10 M€
Os 2% do volume de negócios seriam 1,6 M€; aplica-se o montante fixo.
Operador de energia — 2 000 M€ de volume de negócios
- Cenário
- Não tem análise de riscos nem plano de continuidade.
- Quem é visado
- Entidade essencial (setor da energia)
- Infração
- Falta de medidas de cibersegurança
- Classificação
- Muito grave
Coima máxima
Até 40 M€
Os 2% do volume de negócios (40 M€) ultrapassam o montante fixo de 10 M€.
Fabricante industrial — 30 M€ de volume de negócios
- Cenário
- Não se registou na plataforma do CNCS.
- Quem é visado
- Entidade importante (indústria transformadora, Anexo II)
- Infração
- Falta de registo na plataforma do CNCS
- Classificação
- Grave
Coima máxima
Até 3,5 M€
Os 0,7% do volume de negócios seriam 210 000 €; aplica-se o montante fixo.
Empresa de gestão de resíduos — 15 M€ de volume de negócios
- Cenário
- Notifica um incidente significativo só ao 4.º dia, por descuido e sem intenção.
- Quem é visado
- Entidade importante (gestão de resíduos)
- Infração
- Falta de notificação de incidente, por negligência
- Classificação
- Muito grave, por negligência (limites a metade)
Coima máxima
Até 3,5 M€
Os 0,7% do volume de negócios seriam 105 000 €; aplica-se o montante fixo.
Entidade pública do Grupo A
- Cenário
- Não aplica as medidas de cibersegurança exigidas.
- Quem é visado
- Entidade pública relevante (Grupo A)
- Infração
- Falta de medidas de cibersegurança
- Classificação
- Muito grave
Coima máxima
Até 4 M€
Se a entidade fosse do Grupo B, o máximo seria 350 000 €.
Administrador de uma entidade essencial
- Cenário
- Recebe relatórios de risco repetidos e não aprova nem supervisiona medidas.
- Quem é visado
- Membro do órgão de gestão (pessoa singular)
- Infração
- Incumprimento dos deveres da administração — responsabilidade pessoal por dolo ou culpa grave
- Classificação
- Muito grave
Coima máxima
Até 200 000 €
Empresa com selo de certificação caducado
- Cenário
- Mostra no site um selo de certificação de cibersegurança que já caducou.
- Quem é visado
- Pessoa coletiva (qualquer categoria)
- Infração
- Uso indevido de marca de certificação
- Classificação
- Leve
Coima máxima
Até 45 000 €
O que pesa na decisão
Os valores dos casos são máximos, não valores prováveis. Para fixar a coima concreta, a autoridade tem em conta:
- a gravidade da infração
- a culpa
- a situação económica do infrator
- o benefício económico retirado da infração
A negligência é punível em infrações muito graves, infrações graves e uso indevido de marcas de certificação, com os limites reduzidos a metade.
Além das coimas, a autoridade pode usar medidas não sancionatórias:
- advertências
- instruções vinculativas
- auditorias
- designação temporária de um supervisor
Período de dispensa
Durante os 12 meses a seguir à entrada em vigor do Decreto-Lei n.º 125/2025 — até 3 de abril de 2027 — as entidades podem pedir dispensa de coimas, se demonstrarem que estão em processo de adaptação.
A dispensa não é automática: é preciso pedi-la e prová-la, por exemplo com um plano de implementação e o registo do que já foi feito.
A NIS2Comply reúne essa prova num só sítio: plano de implementação com responsáveis e prazos, e registo de evidências pronto a apresentar.
Calcule a coima máxima para a sua organização
Em milhões de euros (ex.: 1,5 ou 250). Inclua o grupo, se aplicável.
Entidade essencial
Coima máxima
10 M€
= 10% do seu volume de negócios anual
- Montante fixoaplica-se10 M€
- 2% do seu volume de negócios2 M€
Entidade importante
Coima máxima
7 M€
= 7% do seu volume de negócios anual
- Montante fixoaplica-se7 M€
- 1,4% do seu volume de negócios1,4 M€
Abaixo de 500 M€ de volume de negócios aplica-se sempre o montante fixo.
Cálculo indicativo do limite máximo legal. Não é uma estimativa da coima que seria aplicada.
Administradores
A responsabilidade não fica só na empresa.
Os órgãos de gestão têm de aprovar as medidas de cibersegurança, supervisionar a sua aplicação e frequentar formação.
Quem não o fizer pode incorrer em responsabilidade pessoal por dolo ou culpa grave. A coima à organização não afasta essa responsabilidade.
A melhor defesa é conseguir demonstrar o que fez.
Perante o supervisor, conta o que consegue provar: decisões da administração, avaliações de risco, incidentes notificados a tempo e fornecedores avaliados.
Reduza o risco com evidências organizadas.
A NIS2Comply guarda as decisões, as medidas e os prazos cumpridos — prontos a apresentar ao supervisor.