NIS2 in Portugal: Zwei Fristen, die deutsche Unternehmen übersehen

Wer in Deutschland beim BSI registriert ist, hat in Portugal noch nichts erledigt — und die Frist für die Selbstidentifizierung der portugiesischen Einheit ist inzwischen abgelaufen. Seit dem 3. April 2026 gilt das Decreto-Lei n.º 125/2025, Portugals Umsetzung der NIS2-Richtlinie ^[1][3]. Es unterscheidet sich an zwei Stellen deutlich vom BSIG: Auf die Selbstidentifizierung der Einrichtung folgt ein förmlicher Qualifizierungsbescheid der Behörde, an den mehrere Folgefristen anknüpfen — und die eigentlichen Sicherheitsmaßnahmen werden erst 24 Monate nach der Durchführungsregulierung des CNCS vom 22. Juni 2026 wirksam.

Dieser Leitfaden zeigt, welche Pflichten mit dem Qualifizierungsbescheid greifen, welche bis Juni 2028 ruhen — und wo das portugiesische Modell deutsche Konzernstrukturen trifft.

Gilt das portugiesische Recht für Ihr Unternehmen?

Kurz gefasst: Eine Niederlassung in Portugal reicht, sofern Sektor und Unternehmensgröße passen. Territorial knüpft Artikel 4 Abs. 1 lit. a die Anwendbarkeit allein daran ^[1] — und zwar zusätzlich zum deutschen BSIG, nicht anstelle davon.

Die aus NIS2 bekannte Regel, dass nur der Mitgliedstaat der Hauptniederlassung zuständig ist, greift in Portugal ausdrücklich nur für die digitalen Diensteanbieter in Artikel 4 Abs. 1 lit. c — DNS, Cloud, Rechenzentren, CDN, Managed (Security) Services, Online-Marktplätze, Suchmaschinen und soziale Netzwerke. Für Fertigung, Energie, Gesundheit, Transport oder Chemie gilt sie nicht: Eine deutsche Gruppe mit produzierender Tochter in Setúbal bedient zwei Regimes.

Konstellation	Portugiesisches Recht (DL 125/2025)	Deutsches Recht (BSIG)
Deutsche Muttergesellschaft, portugiesische Tochter in einem Anhang-I/II-Sektor	Ja — die Tochter fällt eigenständig darunter, wenn sie die Schwellenwerte erreicht (Art. 3 Abs. 1, Art. 4 Abs. 1 lit. a)	Mutter separat, wenn sie selbst betroffen ist
Deutsche Gesellschaft mit Zweigniederlassung oder Betriebsstätte in Portugal	Ja — die Niederlassung begründet die Anwendbarkeit (Art. 4 Abs. 1 lit. a)	Zusätzlich
Cloud-, RZ-, MSP- oder Marktplatzanbieter mit Hauptniederlassung in Portugal	Ja — und zwar primär (Art. 4 Abs. 1 lit. c, Abs. 2)	Nein
Deutsche Gesellschaft liefert nur nach Portugal, ohne Niederlassung	In der Regel nein — Ausnahme u. a. für Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste (Art. 4 Abs. 1 lit. b)	Ja

Ist die Hauptniederlassung strittig, entscheidet Artikel 4 Abs. 2 in fester Reihenfolge: der Ort der überwiegenden Cyberrisiko-Entscheidungen, hilfsweise der Ort der Cybersicherheitsoperationen, hilfsweise die Niederlassung mit den meisten Beschäftigten.

Zwei Uhren: was ab der Qualifizierung gilt und was bis 2028 ruht

Kurz gefasst: Die Selbstidentifizierung auf MyCiber war binnen 60 Tagen nach dem Start der Plattform fällig. Cybersicherheitsbeauftragter, Kontaktstelle und Vorfallmeldung knüpfen an den Qualifizierungsbescheid an. Die eigentlichen Sicherheitsmaßnahmen und der Jahresbericht gelten erst ab Juni 2028 — samt der zugehörigen Bußgeldtatbestände.

Das ist keine Auslegung, sondern steht in Artikel 10 Abs. 2 des Decreto-Lei selbst: Artikel 27 Abs. 1 und 2, die Artikel 28 bis 30, Artikel 33 sowie die Bußgeldtatbestände in Artikel 61 Abs. 1 lit. b, c und f entfalten ihre Wirkung erst 24 Monate nach der Veröffentlichung der in den Artikeln 8, 14, 26, 31, 32 und 83 genannten Regulierung ^[1]. Diese Regulierung ist das Regulamento n.º 756/2026, veröffentlicht am 22. Juni 2026 ^[2]. Der CNCS bestätigt, dass die 24-Monats-Frist mit dieser Veröffentlichung zu laufen begann ^[11] — die Maßnahmenpflichten werden damit im Juni 2028 wirksam. (Zur Lesart der Fundstellen: Das Decreto-Lei hat elf eigene Artikel; die materiellen Pflichten stehen im als Anhang beschlossenen Regime jurídico da cibersegurança. Artikelangaben ohne Zusatz beziehen sich in diesem Beitrag auf dieses Regime.)

Pflicht	Rechtsgrundlage	Gilt
Selbstidentifizierung und Registrierung auf MyCiber	Art. 8, Art. 35	60 Tage ab dem 23.06.2026 — Frist verstrichen
Benennung des Cybersicherheitsbeauftragten	Art. 31; Art. 14 Regulamento	20 Werktage ab Zustellung des Qualifizierungsbescheids
Ständige Kontaktstelle (24/7)	Art. 32; Art. 15 Regulamento	20 Werktage ab Zustellung des Qualifizierungsbescheids
Meldung erheblicher Vorfälle	Art. 40–44	Ab dem Qualifizierungsbescheid
Liste der aus dem Internet erreichbaren Assets	Art. 32 Regulamento	Bis 31. Januar des Folgejahres oder 6 Monate nach dem Bescheid — je nachdem, was früher eintritt
Cybersicherheitsmaßnahmen inkl. Lieferkette und Restrisiko	Art. 27 Abs. 1–2, Art. 28–29	24 Monate nach dem 22.06.2026
Jahresbericht	Art. 30	24 Monate nach dem 22.06.2026
Bußgeld für Verstöße gegen Maßnahmen und Jahresbericht	Art. 61 Abs. 1 lit. b, c, f	24 Monate nach dem 22.06.2026

Der Umkehrschluss ist die eigentliche Nachricht: Die Bußgeldtatbestände für den Cybersicherheitsbeauftragten (Art. 61 Abs. 1 lit. d), die Kontaktstelle (lit. e) und die Meldepflichten (lit. j) sind von der Verschiebung nicht erfasst — sie gehören zur höchsten Kategorie und greifen, sobald die Einrichtung qualifiziert ist. Wer annimmt, in Portugal sei bis 2028 nichts zu tun, verwechselt die ruhende Maßnahmenpflicht mit den Organisationspflichten, die schon mit dem Bescheid fällig werden.

Der CNCS-Koordinator hatte die 24 Monate im Juni 2026 so formuliert, dass man sie auf die Qualifizierung beziehen konnte ^[4]; Gesetz und offizielle CNCS-Darstellung knüpfen an die Veröffentlichung des Regulamento an ^[1][11]. Maßgeblich für die Planung ist damit Juni 2028, unabhängig vom Datum des Bescheids.

Registrierungsfrist abgelaufen, Folgefristen laufen ab dem Bescheid

Kurz gefasst: Die Frist zur Selbstidentifizierung auf MyCiber ist nach beiden diskutierten Lesarten abgelaufen. Beauftragter und Kontaktstelle sind nach dem Regulamento binnen 20 Werktagen ab dem Qualifizierungsbescheid zu melden — nicht, wie der Gesetzeswortlaut nahelegt, ab April 2026.

Artikel 31 Abs. 4 und Artikel 32 Abs. 4 lassen bereits tätigen Einrichtungen 20 Werktage „a contar desta data“ — dem Wortlaut nach ab dem Inkrafttreten am 3. April 2026 ^[1]. Das Regulamento verlegt den Fristbeginn für diese Fälle ausdrücklich auf die Zustellung des Qualifizierungsbescheids (Art. 14 Abs. 2 und Art. 15 Abs. 2 des Regulamento) ^[2], so kommuniziert es auch der CNCS ^[11]. Eine im Mai 2026 abgelaufene Frist gibt es danach nicht. Person und Berichtslinie sollten aber feststehen, bevor der Bescheid eintrifft: 20 Werktage sind für eine Konzernabstimmung knapp, und ein Versäumnis fällt unter die schwerste Bußgeldkategorie.

Bei der Registrierung gab es eine echte Unklarheit über die Fristlänge. Artikel 8 Abs. 1 spricht von 60 „dias“ nach Bereitstellung der Plattform, ohne den Zusatz „úteis“; so geben es auch einzelne Kanzleien wieder ^[5]. Der CNCS nennt auf seiner MyCiber-Seite dagegen 60 „dias úteis“, also 60 Werktage ^[11], und sein Koordinator bestätigte das am 24. Juni 2026 öffentlich ^[4]. Da MyCiber seit dem 23. Juni 2026 in Betrieb ist ^[5], ergibt das den 22. August 2026 nach der einen und den 15. September 2026 nach der anderen Lesart.

Stand Oktober 2026 sind beide Daten verstrichen. Wer die portugiesische Einheit noch nicht identifiziert hat, sollte das umgehend nachholen: Das Unterlassen ist ein eigener Bußgeldtatbestand (Art. 62 Abs. 1 lit. a und b), und erst die Selbstidentifizierung setzt das Qualifizierungsverfahren in Gang, an das alle weiteren Fristen anknüpfen.

Datum	Pflicht oder Ereignis	Grundlage
04.12.2025	Veröffentlichung des Decreto-Lei n.º 125/2025	DR 1.ª série Nr. 234
03.04.2026	Inkrafttreten (120 Tage nach Veröffentlichung)	DL Art. 11
22.06.2026	Regulamento n.º 756/2026 veröffentlicht	DR 2.ª série Nr. 118
23.06.2026	Regulamento in Kraft, MyCiber verfügbar — Registrierungsfrist beginnt	Art. 8 Abs. 1; Art. 34 Regulamento
22.08. bzw. 15.09.2026	Ende der Registrierungsfrist (Kalender- bzw. Werktage) — verstrichen	Art. 8 Abs. 1 / CNCS
Bescheid + 20 Werktage	Cybersicherheitsbeauftragter und Kontaktstelle zu melden	Art. 14 Abs. 2, Art. 15 Abs. 2 Regulamento
31.01. des Folgejahres bzw. Bescheid + 6 Monate	Erste Liste der aus dem Internet erreichbaren Assets (früheres Datum maßgeblich)	Art. 32 Abs. 3 Regulamento
03.04.2027	Ende des 12-Monats-Zeitraums für den Bußgelderlass	Art. 65
Juni 2028	Sicherheitsmaßnahmen und Jahresbericht werden wirksam (24 Monate ab 22.06.2026)	DL Art. 10 Abs. 2

Zum Vergleich: In Deutschland verlangt § 33 BSIG die Registrierung beim BSI binnen drei Monaten ab dem Zeitpunkt, zu dem eine Einrichtung erstmals unter das Gesetz fällt ^[6]. Von den rund 29.500 erwarteten Einrichtungen waren zum Stichtag 6. März 2026 etwa 11.500 registriert; im Juni 2026 teilte das BSI mit, es gehe davon aus, dass die ausstehenden Registrierungen bis spätestens 31. Juli 2026 abgeschlossen werden — eine neue gesetzliche Frist ist das nicht ^[9]. Portugal erwartet rund 6.000 Einrichtungen — gegenüber bislang etwa 450 ebenfalls eine drastische Ausweitung ^[4].

MyCiber: erst Selbstidentifizierung, dann behördliche Qualifizierung

Kurz gefasst: In beiden Ländern beginnt es mit der eigenen Prüfung des Unternehmens. Portugal ergänzt sie um einen behördlichen Qualifizierungsbescheid, der auch die Konformitätsstufe festlegt — mit kurzer Anhörungsfrist.

Der Ablauf ist zweistufig: Zuerst identifiziert sich die Einrichtung selbst auf MyCiber (Art. 8 Abs. 1); dafür muss sie selbst prüfen, ob sie unter Artikel 3 fällt. Danach stellt die Behörde einen Entscheidungsentwurf zur Qualifizierung zu, zu dem die Einrichtung 10 Werktage lang Stellung nehmen kann (Art. 9 des Regulamento) ^[2]; benachrichtigt wird spätestens 30 Tage nach der Qualifizierung (Art. 8 Abs. 5) ^[1]. Erst mit dem endgültigen Bescheid gelten nach Darstellung des CNCS die Pflichten aus dem Regime ^[11].

Für deutsche Konzernjuristen ist das ein struktureller Unterschied, kein Verfahrensdetail. Nach § 33 BSIG registriert sich eine Einrichtung, weil sie selbst zu dem Ergebnis gekommen ist, betroffen zu sein; eine behördliche Bestätigung gibt es nicht, das Risiko einer Fehleinschätzung bleibt beim Unternehmen. In Portugal liegt die Ersteinschätzung ebenfalls beim Unternehmen, am Ende steht aber ein Bescheid, der sich im Konzern-Reporting und gegenüber Auditoren verwenden lässt. Die Kehrseite: Für die Stellungnahme bleiben nur zehn Werktage — und wer die Selbstidentifizierung unterlässt, erhält gar keinen Bescheid.

Fällt eine Einrichtung gleichzeitig unter mehrere Kategorien, gilt nach Artikel 9 stets die strengere — wesentliche Einrichtung vor wichtiger, dann relevante öffentliche Einrichtung der Gruppe A, dann Gruppe B ^[1]. Die deutsche Abgrenzung zwischen besonders wichtigen und wichtigen Einrichtungen kennt keinen vergleichbaren ausdrücklichen Vorrang.

Drei Konformitätsstufen statt einer Maßnahmenliste

Kurz gefasst: Portugal weist jeder Einrichtung eine von drei Stufen zu — Básico, Substancial, Elevado. Die Stufe legt die Mindestmaßnahmen fest, die in Deutschland jedes Unternehmen im Rahmen seiner Verhältnismäßigkeitsprüfung selbst bestimmt.

Grundlage ist das Quadro Nacional de Referência para a Cibersegurança (QNRCS), das nationale Referenzwerk nach Artikel 14 des Regimes. Es gliedert die Kontrollen in sechs Ziele — Steuern, Identifizieren, Schützen, Erkennen, Reagieren, Wiederherstellen — und wird mindestens alle fünf Jahre aktualisiert (Art. 23, 25 und Anhang I des Regulamento) ^[2]. Welche Stufe gilt, ergibt sich aus einer Risikomatrix nach Sektor, Teilsektor und Unternehmensgröße (Art. 28 und Anhang II); mitgeteilt wird sie mit dem Qualifizierungsbescheid (Art. 9 Abs. 5). Die Stufen wirken kumulativ: Wer auf Elevado eingestuft ist, muss auch die Mindestmaßnahmen der darunterliegenden Stufen umsetzen (Art. 30 des Regulamento).

Umzusetzen sind die Mindestmaßnahmen bis Juni 2028 ^[11]. Die eigene Risikoanalyse ersetzt die Stufe nicht: Zusätzliche Maßnahmen aus der Analyse der Restrisiken bleiben verlangt (Art. 26 Abs. 6, Art. 29) ^[1]. Hilfreich für Konzerne mit bestehender Zertifizierung: Nach Artikel 27 des Regulamento kann die Behörde die Einhaltung der Stufe anhand eines akkreditierten Zertifikats bescheinigen, etwa nach ISO/IEC 27001, sofern dessen Geltungsbereich die betroffenen Systeme vollständig abdeckt ^[2]. Der Schluss für einen deutschen CISO lautet deshalb nicht, ein zweites ISMS aufzubauen, sondern das vorhandene Kontrollset gegen die zugewiesene Stufe zu mappen — und die Kumulationsregel ernst zu nehmen, weil sie weniger Spielraum lässt als die eigene Abwägung bei den Risikomanagementmaßnahmen nach § 30 BSIG.

Pflichten ohne deutsches Gegenstück

Kurz gefasst: Drei portugiesische Pflichten haben im BSIG keine Entsprechung — Jahresbericht, organisatorische Verankerung des Beauftragten, dauerhaft erreichbare Kontaktstelle.

Pflicht	Portugal (DL 125/2025)	Deutschland (BSIG)
Regelmäßige Berichterstattung	Art. 30: wesentliche Einrichtungen jährlich bis zum letzten Werktag im Januar; wichtige Einrichtungen nur auf Anforderung	Kein allgemeiner Jahresbericht. § 39 BSIG verlangt Nachweise alle drei Jahre — und nur von Betreibern kritischer Anlagen [7]
Cybersicherheitsbeauftragter	Art. 31 Abs. 1: muss Mitglied des Leitungsorgans sein oder diesem unmittelbar und organisch berichten	Keine entsprechende Rolle in den § § 30–42 BSIG vorgeschrieben
Ständige Kontaktstelle	Art. 32 Abs. 1: 24 Stunden an 7 Tagen erreichbar, aktiviert durch die Behörde	Kein Dauer-Erreichbarkeitsgebot; § 33 BSIG verlangt lediglich aktuelle Kontaktdaten bei der Registrierung [6]
Leitungsorgan	Art. 25 Abs. 1: billigt die Maßnahmen, überwacht ihre Anwendung, sorgt für regelmäßige Schulungen im Unternehmen; Abs. 2 Haftung bei Vorsatz oder grober Fahrlässigkeit; Abs. 3 nicht delegierbar außer an ein anderes Leitungsmitglied	§ 38 BSIG: Umsetzung und Überwachung der Maßnahmen nach § 30 (Abs. 1); Haftung gegenüber der eigenen Einrichtung nach Gesellschaftsrecht (Abs. 2); die Geschäftsleitung muss selbst regelmäßig an Schulungen teilnehmen (Abs. 3) [10]

Artikel 31 Abs. 1 betrifft deutsche Matrixorganisationen unmittelbar. Viele Gruppen betreuen ihre iberischen Gesellschaften über eine regionale IT-Funktion; der lokale Sicherheitsverantwortliche berichtet dann an einen Group CISO in Deutschland, nicht an die Geschäftsführung der portugiesischen Einheit. Verlangt ist aber die Zugehörigkeit zum Leitungsorgan oder eine unmittelbare, organische Berichtslinie zu ihm. Zugleich lässt Artikel 31 Abs. 7 für Unternehmensgruppen ausdrücklich zu, dass jede Gesellschaft nur eine Kontaktperson stellt, die unter der Koordination eines gemeinsamen Sicherheitsverantwortlichen der Gruppe arbeitet ^[1]. Wie das mit der Berichtslinie nach Absatz 1 zusammenspielt, regelt das Gesetz nicht näher; eine Klärung mit portugiesischen Beratern oder dem CNCS ist ratsam. Die Verantwortung des Leitungsorgans selbst ist nach Artikel 25 Abs. 3 nur an ein anderes Mitglied des Leitungsorgans delegierbar. Wer die Geschäftsleitungspflichten nach BSIG bereits geordnet hat, sollte diesen Schritt für Portugal gesondert prüfen.

Auch die Schulungspflicht zeigt in unterschiedliche Richtungen: § 38 Abs. 3 BSIG verpflichtet die Geschäftsleitung, selbst regelmäßig an Schulungen teilzunehmen ^[10]; Artikel 25 Abs. 1 lit. d verlangt vom Leitungsorgan, regelmäßige Schulungsmaßnahmen im Unternehmen sicherzustellen. Wer nur eines von beiden dokumentiert, erfüllt jeweils nur ein Regime.

Meldefristen und Bußgelder

Kurz gefasst: 24 und 72 Stunden — plus ein dritter Meldepunkt ohne deutsches Gegenstück. Bei den Bußgeldern kennt Portugal Untergrenzen, aber auch ein befristetes Erlassfenster.

Die Kette nach den Artikeln 42 bis 44 läuft so: Erstmeldung ohne ungerechtfertigte Verzögerung und innerhalb von 24 Stunden, nachdem die Einrichtung zu dem Schluss kommt, dass ein erheblicher Vorfall vorliegt oder vorliegen könnte; erforderlichenfalls eine Aktualisierung innerhalb von 72 Stunden; dann eine gesonderte Meldung innerhalb von 24 Stunden nach dem Ende der erheblichen Auswirkung (Art. 43); und schließlich der Abschlussbericht innerhalb von 30 Werktagen ab dieser Meldung (Art. 44 Abs. 1) ^[1]. Ist ein Vorfall binnen zwei Stunden nach der Erkennung behoben, genügt die Meldung des Endes der erheblichen Auswirkung (Art. 41 Abs. 2).

Zwei Abweichungen zählen. Erstens ist die Meldung des Endes der erheblichen Auswirkung ein eigener Auslöser — sie fehlt in Eskalationsplänen, die entlang der deutschen Meldepflichten gebaut wurden, häufig, weil das BSIG keine solche Meldung kennt. Zweitens beginnt die Frist für den Abschlussbericht erst mit dieser Meldung und läuft in Werktagen, während die Richtlinie auf einen Monat ab der Vorfallmeldung abstellt — bei langlaufenden Vorfällen verschiebt sie sich dadurch nach hinten, nicht nach vorn.

Kategorie	Sehr schwere Verstöße (Art. 61)	Schwere Verstöße (Art. 62)
Wesentliche Einrichtung (juristische Person)	2.000 € bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist	1.250 € bis 5 Mio. € oder 1 %
Wichtige Einrichtung (juristische Person)	1.250 € bis 7 Mio. € oder ein Höchstbetrag von mindestens 1,4 %	875 € bis 3,5 Mio. € oder mindestens 0,7 %
Natürliche Person	350 € bis 200.000 €	250 € bis 125.000 €

Die Obergrenzen der sehr schweren Kategorie entsprechen den Höchstbeträgen, die die deutschen NIS2-Bußgelder für die gravierendsten Verstöße vorsehen ^[10]. Drei portugiesische Besonderheiten stehen daneben:

• Mindestbeträge. Portugal setzt eine Untergrenze — 2.000 € beziehungsweise 1.250 € bei sehr schweren Verstößen. § 65 BSIG nennt dagegen ausschließlich Obergrenzen („bis zu“) und keinen Mindestbetrag ^[10].
• Befristeter Bußgelderlass. Nach Artikel 65 können wesentliche, wichtige und relevante öffentliche Einrichtungen mit begründetem Antrag den Erlass der Geldbußen nach Artikel 61 Abs. 2 und Artikel 62 Abs. 2 beantragen — gestützt darauf, dass ein internes Anpassungsverfahren an das neue Regime noch fehlte. Die Vorschrift nennt dafür einen Zeitraum von 12 Monaten ab dem Inkrafttreten, also bis zum 3. April 2027; ob sich diese 12 Monate auf die Antragstellung oder auf den Tatzeitraum beziehen, lässt der Wortlaut offen. Das ist ein Antragsrecht, kein Anspruch: Über den Erlass entscheidet die zuständige Behörde.
• Vorherige Aufforderung. Außer bei Vorsatz setzt die Einleitung eines Bußgeldverfahrens nach Artikel 66 Abs. 5 voraus, dass die Behörde zuvor zur Erfüllung der unterlassenen Pflicht innerhalb einer angemessenen Frist aufgefordert hat.

Kontraintuitiv ist die Zuordnung der Tatbestände: Die unterlassene Registrierung nach Artikel 8 und Artikel 35 ist ein schwerer Verstoß (Art. 62), die unterlassene Benennung des Cybersicherheitsbeauftragten und der Kontaktstelle dagegen ein sehr schwerer (Art. 61 Abs. 1 lit. d und e). Die 20-Werktage-Frist nach dem Bescheid wiegt damit schwerer als die Registrierung selbst. Bei Fahrlässigkeit halbieren sich beide Grenzen (Art. 64).

Was deutsche Unternehmen jetzt tun sollten

Rolle	Nächster Schritt
Compliance und Recht	Prüfen, ob die portugiesische Einheit auf MyCiber identifiziert ist, und das gegebenenfalls umgehend nachholen. Die Meldung von Beauftragtem und Kontaktstelle so vorbereiten, dass sie binnen 20 Werktagen nach dem Bescheid erfolgen kann. Solange der Zeitraum nach Artikel 65 bis zum 3. April 2027 läuft, einen begründeten Erlassantrag als Option prüfen.
Geschäftsführung (DE und PT)	Berichtslinie des Cybersicherheitsbeauftragten gegen Artikel 31 Abs. 1 prüfen und klären, ob und wie die Gruppenlösung nach Artikel 31 Abs. 7 genutzt werden soll. Die Verantwortung des Leitungsorgans lässt sich nach Artikel 25 Abs. 3 nur an ein anderes Mitglied des Leitungsorgans delegieren.
CISO und IT-Sicherheit	Nach Zustellung des Qualifizierungsbescheids die zugewiesene QNRCS-Stufe gegen das Konzern-Kontrollset mappen und die kumulative Anwendung der niedrigeren Stufen einplanen. Die Liste der aus dem Internet erreichbaren Assets (Art. 32 des Regulamento) vorbereiten.
Vorfallmanagement	Eskalationsplan um die portugiesische 24-Stunden-Erstmeldung und um die separate Meldung des Endes der erheblichen Auswirkung ergänzen — Letztere fehlt in aus dem BSIG abgeleiteten Playbooks häufig.

Portugal zeigt damit erneut, dass dieselbe Richtlinie in jedem Mitgliedstaat eigene Pflichten erzeugt — wie auch Italiens Umsetzung durch das D.Lgs. 138/2024. Portugal gehörte, wie Deutschland, zu den 19 Mitgliedstaaten, denen die Europäische Kommission am 7. Mai 2025 wegen fehlender Umsetzung eine mit Gründen versehene Stellungnahme zustellte; Italien war nicht darunter ^[8]. Harmonisiert ist das Ziel, nicht das Verfahren.

Häufig gestellte Fragen

Muss die deutsche Muttergesellschaft ihre portugiesische Tochter registrieren?

Nein — die portugiesische Einheit identifiziert sich selbst auf MyCiber, vertreten durch ihren gesetzlichen Vertreter oder eine bevollmächtigte Person (Art. 7 des Regulamento). Sie ist nach Artikel 4 Abs. 1 lit. a eigenständig betroffen, wenn sie eine Niederlassung in Portugal unterhält und die Schwellenwerte des Artikels 3 Abs. 1 erreicht. Die Mutter kann das im Konzern koordinieren und überwachen.

Reicht die Registrierung beim BSI für Portugal aus?

Nein, beide Registrierungen bestehen nebeneinander. Nur für die digitalen Kategorien des Artikels 4 Abs. 1 lit. c gilt das Prinzip der einen Hauptniederlassung.

Wann läuft die MyCiber-Registrierungsfrist genau ab?

Nach dem Gesetzeswortlaut (60 Tage ab dem 23. Juni 2026) am 22. August 2026, nach Angabe des CNCS (60 Werktage) am 15. September 2026. Beide Daten sind verstrichen. Wer die Einheit noch nicht identifiziert hat, sollte das umgehend nachholen; das Versäumnis ist ein schwerer Bußgeldtatbestand (Art. 62).

Gelten in Portugal andere Bußgeldobergrenzen als in Deutschland?

Für die schwerste Kategorie entsprechen die Obergrenzen den deutschen Höchstbeträgen — 10 Mio. € beziehungsweise 2 % für wesentliche, 7 Mio. € beziehungsweise 1,4 % für wichtige Einrichtungen. Portugal setzt zusätzlich Mindestbeträge, halbiert bei Fahrlässigkeit Mindest- und Höchstbeträge (Art. 64) und verlangt außer bei Vorsatz eine vorherige Aufforderung (Art. 66 Abs. 5).

Ist die Frist für den Cybersicherheitsbeauftragten schon abgelaufen?

Nach dem Regulamento in der Regel nicht: Für Einrichtungen, die schon vor dem 3. April 2026 tätig waren, laufen die 20 Werktage ab der Zustellung des Qualifizierungsbescheids (Art. 14 Abs. 2 und Art. 15 Abs. 2). Ein Versäumnis nach dem Bescheid ist ein sehr schwerer Bußgeldtatbestand; Artikel 66 Abs. 5 sieht außer bei Vorsatz eine vorherige Aufforderung vor.

Dieser Artikel stellt allgemeine Informationen bereit und stellt keine Rechts- oder Regulierungsberatung dar. Die konkreten Anforderungen variieren je nach Jurisdiktion, Sektor und Unternehmensform. Wenden Sie sich für eine auf Ihre Situation zugeschnittene Beratung an eine qualifizierte Rechtsanwältin, einen qualifizierten Rechtsanwalt oder eine Compliance-Fachkraft.

Quellen

1. Decreto-Lei n.º 125/2025, de 4 de dezembro — Diário da República, 1.ª série, n.º 234 (Volltext)
2. Regulamento n.º 756/2026, de 22 de junho — Diário da República, 2.ª série, n.º 118 (Durchführungsregulierung des CNCS)
3. Regime Jurídico da Cibersegurança — Centro Nacional de Cibersegurança (CNCS)
4. Entidades têm 60 dias úteis para se registarem na plataforma MyCiber — ECO, 24.06.2026 (mit Aussagen des CNCS-Koordinators)
5. Portugal: Novo regulamento de cibersegurança define obrigações e ativa a plataforma MyCiber — Garrigues
6. § 33 BSIG — Registrierungspflicht — Gesetze im Internet
7. § 39 BSIG — Nachweispflichten für Betreiber kritischer Anlagen — Gesetze im Internet
8. NIS2 Directive — transposition status — Europäische Kommission
9. BSI: 11,500 critical facilities registered under NIS2 (06.03.2026) und NIS2-Mahnung: BSI setzt neue Frist zur Registrierung bis Ende Juli (17.06.2026) — heise online
10. § 65 BSIG — Bußgeldvorschriften und § 38 BSIG — Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen — Gesetze im Internet
11. MyCiber — Calendário de obrigações und Regulamento do Regime Jurídico — Centro Nacional de Cibersegurança (CNCS)