Com a publicação do Regulamento n.º 756/2026 no Diário da República a 22 de junho de 2026, entrou oficialmente em funcionamento a plataforma MyCiber — o portal eletrónico do Centro Nacional de Cibersegurança (CNCS) através do qual as entidades abrangidas pelo novo Regime Jurídico da Cibersegurança (RJC) devem cumprir as suas obrigações legais decorrentes da transposição da diretiva europeia NIS2.
O que é a MyCiber
A MyCiber é a plataforma eletrónica prevista no artigo 8.º do Decreto-Lei n.º 125/2025 que transpôs a diretiva NIS2 para o ordenamento jurídico português. Gerida pelo CNCS, a plataforma funciona como ponto central de interação entre as organizações abrangidas pelo regime e as autoridades competentes — nomeadamente o CNCS, a ANACOM e o Gabinete Nacional de Segurança (GNS).
É através da MyCiber que as entidades essenciais, importantes e públicas relevantes procedem ao registo e auto-identificação, declaram o setor em que atuam e as características que determinam a sua qualificação, e comunicam incidentes de cibersegurança ao CNCS. O acesso requer autenticação via Chave Móvel Digital ou Cartão de Cidadão.
Prazos que já estão a contar
Com a publicação do Regulamento em vigor, os prazos são formais e o incumprimento pode constituir contraordenação grave:
- Registo na MyCiber: entidades já ativas à data de entrada em vigor do diploma (3 de abril de 2026) dispunham de 60 dias após a disponibilização da plataforma para se registarem.
- Designação do Responsável de Cibersegurança: 20 dias úteis após a entrada em vigor (para entidades já existentes) ou após a qualificação pelo CNCS.
- Lista de Ativos: até 31 de janeiro de 2027, ou 6 meses após a notificação de qualificação final.
- Relatório Anual: 24 meses após a publicação do Regulamento — obrigação exclusiva para entidades essenciais.
- Notificação de incidentes significativos: notificação inicial ao CNCS no prazo de 24 horas após o conhecimento do incidente.
Quem é abrangido pelo regime
O RJC abrange organizações de 17 setores de atividade e a Administração Pública, dividindo-as em duas categorias: entidades essenciais (maior dimensão e criticidade) e entidades importantes (menor dimensão mas ainda relevantes para a sociedade e economia). Os setores abrangidos incluem energia, transportes, banca, infraestruturas dos mercados financeiros, saúde, água potável, águas residuais, infraestruturas digitais, serviços TIC, administração pública e espaço, entre outros.
O CNCS disponibilizou um simulador integrado na MyCiber que permite às organizações avaliar, de forma indicativa, se estão abrangidas pelo regime. Contudo, este simulador não substitui a avaliação formal nem o registo obrigatório.
O que acontece após o registo
Após a submissão dos dados, o CNCS analisa o registo e determina se a entidade está abrangida pelo RJC e qual a sua qualificação (essencial ou importante). A entidade recebe um Projeto de Ato de Qualificação e dispõe de 10 dias úteis para se pronunciar. Após a qualificação final, começam a contar prazos adicionais para implementação de medidas de segurança.
O que fazer agora
- Aceder a myciber.gov.pt e verificar se a organização está abrangida pelo simulador.
- Completar o registo formal com autenticação via Chave Móvel Digital.
- Designar o Responsável de Cibersegurança e o Ponto de Contacto operacional.
- Iniciar o levantamento das medidas de gestão de risco exigidas pelo regime.
- Garantir mecanismos de notificação de incidentes operacionais.
Fonte: CNCS, Regulamento n.º 756/2026, Decreto-Lei n.º 125/2025, Diário da República.