Neste artigo
Cibersegurança em Portugal em 2025: 5 coisas que toda a empresa precisa de saber
“O Relatório CNCS 2025 revela um aumento de 36% nos ciberataques em Portugal, face ao período homólogo anterior. Saiba o que isto significa para a sua empresa, em linguagem simples, sem jargão.”
O que significa para o seu negócio?
Todos os anos, o Centro Nacional de Cibersegurança (CNCS) publica o relatório mais completo sobre o estado da cibersegurança em Portugal. O de 2025 tem 86 páginas. Nós lemos por si.
O que encontrámos não é tranquilizador. Mas é importante, especialmente se gere uma empresa com menos de 150 pessoas e não tem um departamento de TI próprio.
Este guia resume os 5 dados mais relevantes, sem jargão técnico, e explica o que cada um significa para o seu negócio.
1- Os ataques cresceram 36% e o alvo favorito já não é só a banca
Em 2024, o CERT.PT registou 2.758 incidentes de cibersegurança, um aumento de 36% face ao ano anterior.
O phishing e o smishing continuam a ser as ameaças mais frequentes, seguidos de perto pela engenharia social, mas o que mudou é quem está a ser imitado: para além dos bancos e transportadoras, os atacantes passaram a usar a imagem de serviços públicos como a Chave Móvel Digital para enganar os utilizadores.
| +36% | de aumento nos incidentes registados em Portugal em 2024. Fonte: CNCS, Relatório Riscos & Conflitos 2025 |
2- O malware que rouba passwords silenciosamente é agora a ameaça dominante
Um novo tipo de ameaça domina o panorama: os infostealers. São programas que se instalam nos dispositivos dos colaboradores e roubam silenciosamente as credenciais guardadas nos browsers (emails, acessos a sistemas internos, contas cloud). Sem alarme. Sem aviso.
No terceiro trimestre de 2025, representavam mais de 80% de toda a atividade de malware detetada em Portugal. O colaborador nem sabe que foi comprometido. Os atacantes usam essas credenciais dias ou semanas depois para aceder à sua empresa.
| +80% | da atividade de malware em Portugal no 3.º trimestre de 2025 foi causada por infostealers. Fonte: CNCS / CERT.PT |
3- A maioria das empresas acha que está protegida. Não está.
Este é o paradoxo mais perturbador do relatório. A “Ilusão” das Medidas Básicas, cerca de 95% das pequenas empresas portuguesas dizem adotar pelo menos uma medida de segurança. Parece positivo, até ver o número seguinte: quando se pergunta quantas adotam TODAS as medidas recomendadas, a resposta cai para 4,3%.
Ter um antivírus não é cibersegurança. É o equivalente a ter um cinto de segurança e achar que o carro é à prova de acidentes. As medidas que mais falham? Autenticação de dois fatores MFA (Apenas 36% das empresas portuguesas utilizam a autenticação de dois fatores (MFA)), gestão de vulnerabilidades e backups testados regularmente.
| +4,3% | das pequenas empresas portuguesas implementam TODAS as medidas de segurança recomendadas. Fonte: Eurostat / CNCS |
4- Sem especialistas TI, a exposição ao risco dispara
A Crise do Recrutamento. Um dado crítico para a resiliência nacional é que 68% das empresas portuguesas admitem que as dificuldades em contratar especialistas de TI aumentaram diretamente a sua exposição a incidentes de cibersegurança (uns dos motivos para ter uma equipa informática na sua empresa). Este número é 20 pontos percentuais acima da média europeia, o que significa que Portugal tem um problema específico e agravado.
A realidade das PME é simples: não existe budget para um departamento de TI interno completo. Mas a alternativa, não ter ninguém, é a opção mais cara que existe, quando o incidente acontece.
| 68% | das empresas em Portugal consideram que a falta de especialistas TI aumentou a sua exposição ao risco. Fonte: Eurobarómetro / CNCS |
5- A NIS2 entrou em vigor. A sua empresa pode já ter obrigações legais
Em abril de 2026, entrou em vigor em Portugal o Decreto-Lei 125/2025 que transpõe a Diretiva NIS2 da União Europeia. A lei obriga entidades essenciais e importantes a garantir que os seus fornecedores também cumprem requisitos mínimos de cibersegurança.
Se a sua empresa presta serviços a hospitais, câmaras municipais, empresas de logística, energia ou telecomunicações, pode já estar abrangida, mesmo sem saber. O incumprimento tem consequências legais e pode significar a perda de contratos.
| Abril 2026 | Data de entrada em vigor da NIS2 em Portugal (DL 125/2025). A janela de adaptação está a correr. |
O que fazer com esta informação?
O Relatório de 2025 é claro: a ciber-resiliência não se atinge apenas com software, mas com uma combinação de investimento económico, capacitação humana e higiene digital constante. Portugal tem evoluído na documentação e políticas (sendo o 3.º país da UE que mais documenta procedimentos), mas falha ainda na mitigação prática de vulnerabilidades antigas e na adoção generalizada do MFA.
O relatório do CNCS não foi escrito para assustar. Foi escrito para informar. E a informação mais importante é esta: os riscos são reais, crescentes e evitáveis, quando se age a tempo.
A boa notícia é que a maioria das falhas identificadas no relatório não exige grandes investimentos. Exige processos certos, ferramentas adequadas e alguém que os gira de forma consistente.
É exatamente isso que a QuietFly faz (há mais de 15 anos) para PME na região de Aveiro e Porto. Atuamos como o seu Departamento de TI externo: monitorização contínua, proteção ativa, backups testados, conformidade NIS2 e suporte humano sempre disponível.
A sua empresa está entre os 4,3% realmente protegidos?
Conheça os nossos serviços de cibersegurança para PME, com SLA documentado, monitorização remota e proximidade humana, em QueitFly.com
