El 17 de octubre de 2024 marcó la fecha límite para que los Estados miembros de la Unión Europea transpusieran la Directiva (UE) 2022/2555, conocida como NIS2, al ordenamiento jurídico nacional. Casi dos años después, la fotografía europea sigue siendo desigual.
En julio de 2026, la Comisión Europea decidió llevar a España, Francia, Irlanda y Países Bajos ante el Tribunal de Justicia de la Unión Europea por no haber notificado la transposición completa de NIS2. La Directiva pretende establecer un nivel elevado y común de ciberseguridad en la Unión y afecta a 18 sectores críticos. Portugal ofrece, sin embargo, una fotografía diferente.
El país aprobó el Decreto-Ley n.º 125/2025, de 4 de diciembre, por el que se establece un nuevo Régimen Jurídico da Cibersegurança (RJC), transponiendo NIS2 al ordenamiento portugués. El nuevo régimen entró en vigor el 3 de abril de 2026. Posteriormente, el Reglamento n.º 756/2026, de 22 de junio, desarrolló aspectos esenciales de su aplicación.
1. NIS2: mucho más que una actualización de NIS1
NIS2 representa un cambio sustancial respecto de la primera Directiva NIS. Su objetivo no es únicamente incrementar las medidas técnicas de seguridad. El nuevo marco europeo introduce una visión mucho más amplia de la ciberseguridad, basada en la gestión del riesgo, la resiliencia, la responsabilidad de la dirección, la seguridad de la cadena de suministro y la capacidad de respuesta ante incidentes.
La Directiva amplía además significativamente su ámbito de aplicación, alcanzando 18 sectores, entre ellos energía, transporte, salud, infraestructuras digitales, agua, Administración pública y determinados servicios digitales.
- Mayor ámbito de aplicación.
- 18 sectores y nuevas categorías de entidades.
- Gestión del riesgo de ciberseguridad.
- Notificación y gestión de incidentes.
- Seguridad de la cadena de suministro.
- Gobernanza y responsabilidad de la dirección.
- Supervisión y sanciones.
Pero quizá el cambio conceptual más importante sea otro: La ciberseguridad deja de ser exclusivamente una cuestión de IT y se convierte en una cuestión de gobierno.
2.Portugal: de la directiva europea al régimen Jurídico de la Ciberseguridad
El punto de inflexión portugués llega con el Decreto-Ley n.º 125/2025. La norma aprueba el nuevo Régimen Jurídico da Cibersegurança (RJC) y transpone formalmente la Directiva NIS2. Además, incorpora al ordenamiento portugués determinadas obligaciones derivadas del Cybersecurity Act europeo y establece un marco nacional de certificación de ciberseguridad.
El nuevo régimen sustituye al marco portugués anterior y redefine el modelo nacional alrededor de las nuevas exigencias europeas.
3. El segundo hito: del marco jurídico al modelo operativo
La aprobación del RJC era necesaria, pero no suficiente. El propio Decreto-Ley 125/2025 preveía el desarrollo reglamentario de diferentes aspectos del régimen. Ese desarrollo llegó con el Reglamento n.º 756/2026, publicado el 22 de junio de 2026. El Reglamento desarrolla cuestiones especialmente relevantes para las organizaciones:
- Funcionamiento de la plataforma electrónica.
- Autoidentificación y cualificación de entidades.
- Notificación de incidentes.
- Comunicación con la autoridad competente.
- Designación del responsable de ciberseguridad.
- Punto de contacto permanente.
- Informe anual.
- Medidas mínimas de ciberseguridad.
- Niveles de conformidad.
- Gestión del riesgo residual.
- Quadro Nacional de Referência para a Cibersegurança (QNRCS).
4. El modelo portugués introduce una idea especialmente interesante: niveles de conformidad basados en riesgo
Uno de los elementos más interesantes del Reglamento 756/2026 es la creación de un sistema de niveles de conformidad.
Las entidades pueden quedar clasificadas en niveles: Básico, Sustancial y Elevado. La determinación de estos niveles se relaciona con una matriz de riesgo, de la que se derivan las medidas mínimas de ciberseguridad que deben adoptar las entidades afectadas.
Desde una perspectiva de GRC, este punto merece especial atención. Representa una evolución desde un modelo puramente basado en checklist hacia un modelo donde el nivel de exigencia se relaciona con el nivel de riesgo.
5. El CNCS: de coordinador técnico a pieza central del modelo de governance
Otro aspecto relevante del modelo portugués es el papel del Centro Nacional de Cibersegurança (CNCS).
El nuevo régimen refuerza su papel como autoridad nacional de ciberseguridad, sin perjuicio de las competencias de otras autoridades sectoriales. El Reglamento 756/2026 establece que la autoridad competente puede ser el CNCS o, cuando corresponda, una autoridad nacional sectorial.
Esto refleja una tendencia que estamos observando en toda Europa: los organismos nacionales de ciberseguridad están evolucionando desde un papel predominantemente técnico y de coordinación hacia funciones de regulación, supervisión, evaluación y enforcement.
6. El QNRCS: el puente entre la regulación y los controles
Probablemente uno de los elementos más interesantes del modelo portugués desde una perspectiva internacional sea el Quadro Nacional de Referência para a Cibersegurança (QNRCS).
El Reglamento 756/2026 incorpora una segunda versión del QNRCS y lo reconoce como instrumento estructurante del nuevo régimen portugués. Su finalidad es proporcionar a las entidades un referencial que sistematiza normas, estándares y buenas prácticas para establecer controles y medidas de ciberseguridad.
El QNRCS se apoya en referencias internacionales como NIST Cybersecurity Framework 2.0, ISO/IEC 27001:2022, ISO/IEC 27002:2022, CIS Critical Security Controls v8.1, NIST SP 800-53 y CyberFundamentals Framework.
Además, estructura sus objetivos alrededor de seis funciones: Gerir, Identificar, Proteger, Detetar, Responder y Recuperar.
7. NIS2 no existe aislada: el reto de la convergencia regulatoria
El caso portugués no puede analizarse exclusivamente desde NIS2.
El entorno regulatorio europeo está construyendo simultáneamente diferentes capas relacionadas con el riesgo digital: el reglamento DORA, el AI Act, GDPR, Cybersecutity Act, entre otros.
Esto plantea una pregunta fundamental para cualquier organización portuguesa: “¿Tiene sentido gestionar cada regulación como un proyecto independiente de compliance?”
Una misma organización puede estar sometida simultáneamente a obligaciones de ciberseguridad, privacidad, resiliencia operacional, seguridad de productos y gobierno de IA. Por ello, el verdadero reto no consiste en construir un catálogo independiente de controles para cada regulación. Consiste en construir un marco integrado de riesgo digital y GRC.
8. Portugal y España: dos momentos diferentes ante el mismo reto europeo
La situación portuguesa resulta especialmente interesante para España. No porque Portugal deba considerarse necesariamente un modelo superior, sino porque ambos países se enfrentan al mismo marco europeo desde momentos regulatorios diferentes. Portugal cuenta actualmente con un régimen nacional de ciberseguridad derivado de NIS2, en vigor desde abril de 2026, y con su desarrollo reglamentario publicado el pasado mes de junio.
España, por el contrario, se encontraba en julio de 2026 entre los Estados miembros remitidos por la Comisión Europea al Tribunal de Justicia por no haber notificado la transposición completa de NIS2. Esta diferencia temporal ofrece una oportunidad de aprendizaje.
9. Del compliance al governance
Quizá la principal lección que puede extraerse del caso portugués sea que el cumplimiento de NIS2 no debería entenderse como un ejercicio puntual de compliance.
10. 2026: el comienzo del verdadero reto
Portugal ha completado una parte fundamental del viaje. Pero la publicación de una norma no significa que el riesgo haya desaparecido. El verdadero reto comienza ahora.
Las organizaciones tendrán que traducir las nuevas obligaciones en capacidades concretas.
Conclusión: NIS2 no termina con la transposición
Portugal ofrece en 2026 un caso de estudio particularmente interesante sobre la evolución del modelo europeo de ciberseguridad. El país ha pasado de la Directiva NIS2 al Régimen Jurídico de la Ciberseguridad; del régimen jurídico a un desarrollo reglamentario; y del desarrollo reglamentario a un modelo que conecta riesgo, niveles de conformidad, controles, responsables, reporting y supervisión.
El papel del QNRCS resulta especialmente significativo porque permite tender un puente entre la obligación jurídica y la implementación práctica de controles, utilizando estándares y frameworks internacionales como referencia.
Pero quizá la principal conclusión sea más amplia: NIS2 no debería interpretarse únicamente como una nueva obligación regulatoria. Es parte de una transformación más profunda del concepto de ciberseguridad en Europa.
Fuentes principales
- Comisión Europea — NIS2 Directive — https://digital-strategy.ec.europa.eu/en/policies/nis2-directive
- Comisión Europea — Referral of Ireland, Spain, France and the Netherlands — https://digital-strategy.ec.europa.eu/en/news/commission-refers-ireland-spain-france-and-netherlands-court-justice-failing-transpose-rules
- Diário da República — Decreto-Lei n.º 125/2025 — https://diariodarepublica.pt/dr/detalhe/decreto-lei/125-2025-962603401
- Diário da República — Regulamento n.º 756/2026 — https://diariodarepublica.pt/dr/detalhe/regulamento/756-2026-1134399056
- CNCS — Quadro Nacional de Referência para a Cibersegurança — https://www.cncs.gov.pt/pt/quadro-nacional/
- EUR-Lex — Directiva (UE) 2022/2555 (NIS2) — https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32022L2555
- NIST — Cybersecurity Framework 2.0 — https://www.nist.gov/cyberframework
- ISO — ISO/IEC 27001 — https://www.iso.org/standard/27001
Un comentario
El artículo deja muy claro que hasta Portugal nos saca ventaja en los temas relacionados con la ciberseguridad.
Muy técnico y muy claro para los que conocemos muy poco este tema.