NIS2 für KMU: der Leitfaden zur Managed Cybersecurity für das Decreto-Lei 125/2025

• Rechtsakt Decreto-Lei n.º 125/2025 vom 4. Dezember, mit dem das Regime Jurídico da Cibersegurança (Rechtsrahmen für Cybersicherheit) geschaffen wurde; in Kraft 120 Tage nach der Veröffentlichung.
• Verordnung Regulamento n.º 756/2026 des CNCS vom 22. Juni, mit dem die Plattform MyCiber am 23. Juni 2026 geöffnet wurde.
• Betroffene Rund sechstausend Einrichtungen laut CNCS, zitiert von Lusa, gegenüber rund 450 im bisherigen Regime.
• Vorfälle Erstmeldung binnen 24 Stunden, Aktualisierung binnen 72 Stunden, Abschlussbericht binnen 30 Arbeitstagen.
• Bußgelder Bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes (wesentliche Einrichtungen); bis zu 7 Millionen oder 1,4 % (wichtige Einrichtungen).
• Technische Maßnahmen Umzusetzen bis Mitte 2028.

NIS2 ist eine europäische Richtlinie, die in jedem Mitgliedstaat umgesetzt wird. Das portugiesische Gesetz unterteilt die betroffenen Einrichtungen in wesentliche Einrichtungen aus den kritischsten Sektoren und mit größerer Dimension sowie wichtige Einrichtungen, die übrigen.

Beide müssen Sicherheitsmaßnahmen umsetzen und Vorfälle melden. Unterschiedlich sind der Grad der Anforderungen, die Intensität der Aufsicht und die Obergrenze der Bußgelder. Die Mindestmaßnahmen gliedern sich in drei risikobasierte Stufen: Basis mit 39 Maßnahmen, substanziell mit 75 und hoch mit 91.

Ein „Ja“ bei den ersten drei Fragen genügt, damit eine Betroffenheit wahrscheinlich ist. Lassen Sie die Schlussfolgerung immer rechtlich absichern.

1. Sektor — sind Sie in den Anhängen des Gesetzes aufgeführt? Energie, Verkehr, Banken, Gesundheit, Wasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung, Postdienste, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe und Forschung, unter anderem.
2. Größe — haben Sie 50 oder mehr Beschäftigte, oder liegen Jahresumsatz und Bilanzsumme beide über 10 Millionen Euro? Nach europäischer Definition sind Sie dann kein Kleinunternehmen mehr.
3. Betroffener Dienst ohne Größengrenze — erbringen Sie elektronische Kommunikation, Vertrauensdienste, DNS, oder sind Sie der einzige Anbieter eines wesentlichen Dienstes?
4. Gruppe — gehören Sie zu einer Gruppe? Dann müssen Beschäftigte und Werte gegebenenfalls zusammengerechnet werden, und ein „kleines“ Unternehmen zählt als mittleres.
5. Lieferkette — beliefern Sie eine betroffene Einrichtung? Selbst außerhalb des Anwendungsbereichs erhalten Sie Fragebögen, Vertragsklauseln und Nachweisanforderungen, weil Ihre Kunden das Lieferantenrisiko managen müssen.
6. MyCiber — haben Sie die Selbstbewertung bereits durchgeführt? Die Selbstidentifizierung liegt in der Verantwortung des Unternehmens, nicht des CNCS. Wenn Sie betroffen sind und dies noch nicht getan haben, klären Sie es umgehend mit Ihrem Rechtsberater.

Die Artikel 42 bis 44 legen den Ablauf bei einem Vorfall mit erheblichen Auswirkungen fest:

1. 24 Stunden nach Feststellung — Erstmeldung.
2. 72 Stunden, falls nötig — Aktualisierung mit der ersten Bewertung von Schwere und Auswirkungen.
3. 24 Stunden nach Ende der erheblichen Auswirkungen — Meldung über das Ende der Auswirkungen.
4. 30 Arbeitstage danach — Abschlussbericht.

Niemand meldet innerhalb von 24 Stunden einen Vorfall, den er noch nicht gesehen hat. Diese Frist einzuhalten, erfordert aktives Monitoring, aufbewahrte Logs und ein schriftliches Verfahren, das festlegt, wer entscheidet und wer kommuniziert. Ein Angriff, der Freitagnacht beginnt und erst Montagmorgen entdeckt wird, ist von Anfang an außerhalb der Frist.

Deshalb empfehlen wir betroffenen Unternehmen den Plan IT Unlimited Premium 365: Er ist der einzige mit Abdeckung in Nächten, an Wochenenden und Feiertagen, einschließlich 24/7-Monitoring.

Die Höhe der Bußgelder erregt Aufmerksamkeit, doch die grundlegende Änderung ist eine andere. Die Leitungsorgane genehmigen und beaufsichtigen die Cybersicherheitsmaßnahmen, fördern regelmäßige Schulungen und können diese Verantwortung nicht frei delegieren. Die Schulung umfasst Geschäftsführer und Mitarbeiter. Cybersicherheit ist zu einem Thema der Unternehmensleitung geworden.

Unabhängig von der zugewiesenen Stufe gibt es Maßnahmen, die immer auftauchen. Es sind im Übrigen bewährte Praktiken, die jedes Unternehmen mit mehr als 10 Arbeitsplätzen haben sollte, ob betroffen oder nicht:

1. Asset-Inventar — Server, Computer, Netzwerk, Cloud und Zugänge. Ausgangspunkt: die Checkliste für das Audit der IT-Landschaft.
2. MFA — für E-Mail, Cloud und Fernzugriff; siehe den Leitfaden zur Multi-Faktor-Authentifizierung in Unternehmen.
3. Externe, getestete Backups — mit definierten Wiederherstellungszeiten; mehr unter Backup und Datenwiederherstellung.
4. Managed Firewall und segmentiertes Netzwerk — kontrollierter Perimeter und VLAN nach Funktion.
5. Endpoint-Schutz und Updates — EDR und Patch-Management mit Protokollierung.
6. Dokumentierte Richtlinien und Schulungen — mit Anwesenheitsnachweis; als Grundlage dienen die 7 internen Richtlinien zur Cybersicherheit.
7. Plan zur Reaktion auf Vorfälle — benannte Verantwortliche und regelmäßige Übungen.

Bei NIS2 genügt es nicht, geschützt zu sein: Man muss es nachweisen können, deshalb wird jede Maßnahme dokumentiert. Unser Service ist unter technische Umsetzung von NIS2 beschrieben.

Ventask ist seit 2016 Kunde von DataRoad und hat mehr als 350 Arbeitsplätze mit IT Unlimited. Wir verwalten das gesamte Networking, die Unternehmens-Firewalls, den Endpoint-Schutz, sicheres mobiles Arbeiten und das WLAN, mit proaktivem Monitoring und Alarmierung im Plan Premium 365.

Perimeter, Endpoints, Fernzugriffe und kontinuierliche Überwachung – die Schichten, die NIS2 verlangt – in einem einzigen Vertrag. Zur ausführlichen Fallstudie Ventask.

Wir gleichen Ihre Infrastruktur mit den technischen Maßnahmen von NIS2 ab und liefern einen schriftlichen Bericht mit jeder Lücke, ihrer Dringlichkeit und den Kosten ihrer Behebung. Unverbindliches Angebot. Mehr als 10 Arbeitsplätze · Wartungsvertrag · Remote-, Vor-Ort- und telefonischer Support.

Siehe auch unser Angebot für Managed Cybersecurity für Unternehmen.

• Decreto-Lei n.º 125/2025 vom 4. Dezember — Diário da República; Volltext auch in EUR-Lex.
• Regulamento n.º 756/2026 vom 22. Juni (CNCS) — Diário da República.
• Plattform MyCiber (CNCS) — myciber.gov.pt.
• Europäische Kommission, KMU-Definition — ec.europa.eu.
• ECO/Lusa, 24. Juni 2026 — Einrichtungen haben 60 Arbeitstage, um sich auf MyCiber zu registrieren.