Faltam menos de duas semanas úteis. O prazo para as entidades já em atividade se registarem na plataforma MyCiber — o portal do Centro Nacional de Cibersegurança (CNCS) que operacionaliza o novo Regime Jurídico da Cibersegurança — termina a 15 de setembro de 2026. Milhares de organizações portuguesas ainda não cumpriram esta obrigação, e o CNCS já veio recordar que o ónus de avaliar se a entidade está abrangida recai sobre a própria organização.
Resposta rápida: a plataforma MyCiber está disponível desde 23 de junho de 2026, e as entidades que já estavam em atividade nessa data dispõem de 60 dias úteis para se identificarem e registarem — prazo que termina a 15 de setembro de 2026. O CNCS estima cerca de 6.000 entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a diretiva NIS2), contra apenas 450 no regime anterior. O incumprimento pode configurar contraordenação, com coimas que podem chegar aos 10 milhões de euros para entidades essenciais. Já explicámos o processo de registo passo a passo neste guia anterior — este artigo foca-se no que resta fazer com o prazo a terminar.
Uma janela que já não é confortável
Quando o registo abriu, em junho, 60 dias úteis pareciam tempo de sobra. Já não é esse o caso. Faltam pouco mais de dez dias úteis, e a experiência de outras obrigações regulatórias mostra um padrão recorrente: uma parte significativa das organizações deixa a submissão para os últimos dias, precisamente quando qualquer imprevisto — um documento em falta, uma indisponibilidade do representante legal, uma dúvida sobre poderes de representação — já não tem margem para ser resolvido a tempo.
Se a sua organização ainda não iniciou o registo, o momento de o fazer é agora — não na última semana de prazo.
O que precisa de ter à mão antes de começar
O registo na MyCiber (myciber.gov.pt) não é instantâneo se a documentação não estiver reunida com antecedência. Antes de iniciar, confirme que dispõe de:
- Chave Móvel Digital ou Cartão de Cidadão, com o respetivo leitor de cartões — é o método de autenticação exigido pela plataforma.
- Comprovativo dos poderes de representação da entidade, caso o representante legal não disponha do Sistema de Certificação de Atributos Profissionais (SCAP) — sem essa associação automática, a plataforma exige prova documental de que quem se autentica pode representar a organização.
- Documento comprovativo de mandato ou de atribuição de poderes específicos, sempre que o registo seja efetuado por uma pessoa diferente do representante legal (por exemplo, um responsável de TI ou um consultor externo a atuar em nome da entidade).
Porque é que a documentação “quase certa” não chega
Um dos pontos que mais atrasa processos deste tipo é a submissão de documentos que não comprovam, de forma expressa, os poderes de representação necessários. O CNCS é claro quanto a isto: documentação inadequada pode impedir a validação do registo e obrigar a apresentar novos elementos — o que, a poucos dias do fecho do prazo, pode significar ficar de fora por uma questão puramente administrativa, não por incumprimento de fundo.
Na prática, isto significa verificar com antecedência — e não apenas confiar que “deve estar tudo bem” — se o documento que comprova os poderes de representação especifica claramente essa competência, e não apenas o cargo ou a função genérica da pessoa em causa.
E se ainda não sei se a minha entidade está abrangida?
Esta é talvez a dúvida mais comum nesta fase final. A resposta do próprio regime é tranquilizadora: em caso de incerteza, o caminho prudente é registar. Se a autoridade competente concluir, após análise, que a entidade não está efetivamente abrangida pelo Decreto-Lei n.º 125/2025, o registo provisório é cancelado no prazo máximo de 90 dias, sem consequências para a organização. O risco de registar por precaução é, portanto, muito menor do que o risco de não registar e vir a estar abrangida.
O que acontece depois do registo
O registo e a autoidentificação são apenas o primeiro passo. Após a submissão, a autoridade competente — o CNCS ou autoridades setoriais como o GNS ou a ANACOM, consoante o caso — analisa os dados e emite uma decisão de qualificação, atribuindo à entidade o estatuto de essencial, importante ou relevante da Administração Pública. Essa qualificação determina o conjunto de medidas mínimas de segurança a implementar, para o qual as entidades têm depois 24 meses. Após a notificação da qualificação, há ainda um prazo de 20 dias úteis para designar formalmente o responsável de cibersegurança e o ponto de contacto permanente junto do CNCS.
Porque é que isto importa em Portugal
Com cerca de 6.000 entidades abrangidas — mais de 13 vezes o universo do regime anterior — este é, de longe, o alargamento mais significativo de obrigações de cibersegurança já feito em Portugal. Abrange não só grandes operadores de infraestruturas críticas, mas também um número considerável de PME em setores como energia, transportes, saúde, água, digital e administração pública, muitas das quais nunca antes estiveram sujeitas a este tipo de supervisão regulatória.
Para as organizações que ainda não avaliaram o seu enquadramento, a recomendação é simples e urgente: verificar hoje se a entidade está abrangida, reunir a documentação de representação necessária, e completar o registo em myciber.gov.pt antes de 15 de setembro. Com o prazo a menos de duas semanas úteis de terminar, adiar deixou de ser uma opção segura.
Esta informação tem caráter noticioso e baseia-se em comunicações públicas do Centro Nacional de Cibersegurança (CNCS) e no Decreto-Lei n.º 125/2025 e respetivo regulamento de execução.