NIS2 dans les PME : le guide de cybersécurité gérée pour respecter le décret-loi 125/2025

• Texte Décret-loi n.º 125/2025 du 4 décembre, qui crée le régime juridique de la cybersécurité ; entré en vigueur 120 jours après sa publication.
• Règlement Règlement n.º 756/2026 du CNCS du 22 juin, qui a ouvert la plateforme MyCiber le 23 juin 2026.
• Périmètre Environ six mille entités, selon le CNCS cité par Lusa, contre environ 450 dans le régime précédent.
• Incidents Notification initiale sous 24 heures, mise à jour sous 72 heures, rapport final sous 30 jours ouvrés.
• Amendes Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial (entités essentielles) ; jusqu'à 7 millions ou 1,4 % (entités importantes).
• Mesures techniques À mettre en œuvre d'ici mi-2028.

NIS2 est une directive européenne transposée dans chaque État membre. La loi portugaise répartit les entités concernées entre essentielles, issues des secteurs les plus critiques et de plus grande taille, et importantes, les autres.

Les deux doivent appliquer des mesures de sécurité et notifier les incidents. Ce qui varie, c'est le niveau d'exigence, l'intensité de la supervision et le plafond des amendes. Les mesures minimales se répartissent en trois niveaux attribués selon le risque : basique avec 39 mesures, substantiel avec 75 et élevé avec 91.

Un seul « oui » aux trois premières questions suffit pour qu'elle soit probablement dans le périmètre. Formalisez toujours la conclusion avec un appui juridique.

1. Secteur — figure-t-il dans les annexes de la loi ? Énergie, transports, banque, santé, eau, infrastructures numériques, gestion des services TIC, administration publique, services postaux, déchets, chimie, agroalimentaire, industrie manufacturière et recherche, entre autres.
2. Taille — compte-t-elle 50 salariés ou plus, ou un chiffre d'affaires et un bilan annuels tous deux supérieurs à 10 millions d'euros ? Selon la définition européenne, ce n'est plus une petite entreprise.
3. Service concerné sans seuil de taille — fournit-elle des communications électroniques, des services de confiance, du DNS, ou est-elle l'unique prestataire d'un service essentiel ?
4. Groupe — fait-elle partie d'un groupe ? Elle peut devoir additionner effectifs et montants, et une « petite » entreprise compte alors comme moyenne.
5. Chaîne d'approvisionnement — fournit-elle une entité concernée ? Même hors périmètre, elle recevra questionnaires, clauses et demandes de preuves, car ses clients doivent gérer le risque de leurs fournisseurs.
6. MyCiber — a-t-elle fait l'autoévaluation ? S'identifier relève de la responsabilité de l'entreprise, pas du CNCS. Si elle est concernée et ne l'a pas encore fait, traitez le sujet immédiatement avec votre juriste.

Les articles 42 à 44 fixent la séquence face à un incident ayant un impact significatif :

1. 24 heures après sa constatation — notification initiale.
2. 72 heures, si nécessaire — mise à jour avec l'évaluation initiale de la gravité et de l'impact.
3. 24 heures après la fin de l'impact significatif — notification de fin d'impact.
4. 30 jours ouvrés plus tard — rapport final.

Personne ne notifie sous 24 heures un incident qu'il n'a pas encore vu. Respecter ce délai exige une supervision active, des journaux conservés et une procédure écrite qui précise qui décide et qui communique. Une attaque qui commence le vendredi soir et n'est découverte que le lundi matin naît déjà hors délai.

C'est pourquoi, pour les entreprises concernées, nous recommandons la formule IT Unlimited Premium 365 : c'est la seule à couvrir les nuits, les week-ends et les jours fériés, avec une supervision 24/7.

Le montant des amendes retient l'attention, mais le changement de fond est ailleurs. Les organes de direction approuvent et supervisent les mesures de cybersécurité, encouragent une formation régulière et ne peuvent pas déléguer librement cette responsabilité. La formation concerne les administrateurs comme les salariés. La cybersécurité est devenue un sujet de conseil d'administration.

Quel que soit le niveau attribué, certaines mesures reviennent toujours. Ce sont d'ailleurs de bonnes pratiques que toute entreprise de plus de 10 postes devrait appliquer, concernée ou non :

1. Inventaire des actifs — serveurs, ordinateurs, réseau, cloud et accès. Point de départ : la checklist d'audit du parc informatique.
2. MFA — sur la messagerie, le cloud et l'accès à distance ; voir le guide de l'authentification multifacteur en entreprise.
3. Sauvegardes externalisées et testées — avec des délais de restauration définis ; plus d'informations sur la sauvegarde et la récupération des données.
4. Pare-feu géré et réseau segmenté — périmètre contrôlé et VLAN par fonction.
5. Protection des terminaux et mises à jour — EDR et gestion des correctifs avec traçabilité.
6. Politiques et formation documentées — avec registre de présence ; servez-vous des 7 politiques internes de cybersécurité.
7. Plan de réponse aux incidents — responsables désignés et simulations périodiques.

Avec NIS2, il ne suffit pas d'être protégé : il faut pouvoir le prouver, c'est pourquoi chaque mesure est documentée. Notre service est décrit dans mise en œuvre technique de NIS2.

Ventask est cliente de DataRoad depuis 2016 et compte plus de 350 postes de travail en IT Unlimited. Nous gérons tout le réseau, les pare-feu d'entreprise, la protection des terminaux, le télétravail sécurisé et le réseau sans fil, avec supervision et alertes proactives dans la formule Premium 365.

Périmètre, terminaux, accès à distance et surveillance continue — les couches qu'exige NIS2 — dans un seul contrat. Découvrir le cas Ventask en détail.

Nous comparons votre infrastructure aux mesures techniques de NIS2 et remettons un rapport écrit détaillant chaque lacune, son urgence et le coût de sa résolution. Proposition sans engagement. Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone.

Découvrez aussi notre offre de cybersécurité gérée pour les entreprises.

• Décret-loi n.º 125/2025 du 4 décembre — Diário da República ; texte intégral également sur EUR-Lex.
• Règlement n.º 756/2026 du 22 juin (CNCS) — Diário da República.
• Plateforme MyCiber (CNCS) — myciber.gov.pt.
• Commission européenne, définition des PME — ec.europa.eu.
• ECO/Lusa, 24 juin 2026 — Les entités ont 60 jours ouvrés pour s'enregistrer sur MyCiber.