O Centro Nacional de Cibersegurança (CNCS) publicou a 22 de junho de 2026, em Diário da República, o Regulamento n.º 756/2026 — o diploma que estabelece as regras práticas de execução do novo Regime Jurídico da Cibersegurança (RJC), resultante da transposição da diretiva europeia NIS2 para o ordenamento jurídico português pelo Decreto-Lei n.º 125/2025. Com esta publicação, o quadro regulatório nacional de cibersegurança fica completo e os prazos formais para cumprimento das obrigações ficam definitivamente fixados.
O que define o Regulamento n.º 756/2026
O regulamento detalha os procedimentos operacionais que as entidades abrangidas pelo RJC devem cumprir. Entre as matérias reguladas destacam-se:
- Funcionamento da plataforma MyCiber: regras de acesso, registo, autenticação e utilização da plataforma eletrónica gerida pelo CNCS para cumprimento das obrigações legais.
- Notificação de incidentes: procedimentos detalhados para comunicação de incidentes de impacto significativo, incluindo os prazos (notificação inicial em 24 horas, relatório final em 72 horas para incidentes graves).
- Designação de responsáveis: obrigações relativas à designação do Responsável de Cibersegurança e do Ponto de Contacto operacional de cada entidade.
- Medidas mínimas de cibersegurança: definição das medidas técnicas e organizativas que as entidades devem implementar, proporcionais à sua classificação como essenciais ou importantes.
- Lista de Ativos: obrigação de envio ao CNCS da inventariação dos ativos digitais críticos da organização.
Quem é abrangido e o que muda
O RJC abrange organizações de 17 setores de atividade e a Administração Pública, dividindo-as em entidades essenciais e entidades importantes. Os setores incluem energia, transportes, banca, infraestruturas financeiras, saúde, água, infraestruturas digitais, serviços TIC, espaço e administração pública, entre outros.
Com o Regulamento em vigor, as obrigações deixam de ser apenas declarativas e passam a ter um enquadramento procedimental completo. As coimas por incumprimento podem ascender a 10 milhões de euros ou 2% do volume de negócios anual para entidades essenciais, e a 7 milhões de euros ou 1,4% para entidades importantes.
Os prazos que já estão a decorrer
- Registo na MyCiber: 60 dias após a disponibilização da plataforma (para entidades já em atividade)
- Responsável de Cibersegurança: 20 dias úteis após entrada em vigor
- Lista de Ativos: até 31 de janeiro de 2027
- Relatório Anual: 24 meses após a publicação do Regulamento
O contexto europeu
A publicação do Regulamento n.º 756/2026 representa o culminar de um processo legislativo que se iniciou com a aprovação da Diretiva NIS2 pelo Parlamento Europeu em 2022. Portugal, à semelhança dos restantes Estados-membros, tinha até outubro de 2024 para transpor a diretiva — tendo concluído o processo com a publicação do Decreto-Lei n.º 125/2025 e agora com este Regulamento de execução.
A coordenação do CNCS com o webinar “MyCiber na prática: do Registo à conformidade jurídica” (30 de junho de 2026) e o conjunto de guias de apoio disponíveis no seu website demonstram o esforço de acompanhamento às entidades na fase de implementação inicial.
Fonte: Diário da República, CNCS, Pplware — junho de 2026.
O que as organizações devem fazer agora
Com o Regulamento n.º 756/2026 em vigor, o momento para as organizações abrangidas agirem é agora. O processo de conformidade divide-se em etapas concretas e sequenciais. Primeiro, verificar através do simulador em myciber.gov.pt se a organização está abrangida pelo RJC e em que categoria (essencial ou importante). Segundo, proceder ao registo formal na plataforma MyCiber, com autenticação via Chave Móvel Digital ou Cartão de Cidadão pelo representante legal da entidade. Terceiro, designar formalmente o Responsável de Cibersegurança e o Ponto de Contacto operacional, comunicando-os ao CNCS através da plataforma. Quarto, iniciar o levantamento e inventariação dos ativos digitais críticos para preparar a Lista de Ativos. Quinto, rever e documentar as medidas de gestão de risco de cibersegurança já implementadas, identificando lacunas face aos requisitos mínimos do Regulamento.
O CNCS promoveu um webinar “MyCiber na prática: do Registo à conformidade jurídica” a 30 de junho de 2026, cujo conteúdo estará disponível para consulta posterior. A C-Academy (academy.cncs.gov.pt) disponibiliza formação específica para responsáveis de cibersegurança e executivos. Organizações com dúvidas sobre a sua qualificação podem contactar o CNCS diretamente através dos canais disponíveis em cncs.gov.pt. As sanções por incumprimento são significativas: até 10 milhões de euros ou 2% do volume de negócios anual para entidades essenciais, e até 7 milhões de euros ou 1,4% para entidades importantes — valores que tornam o investimento em conformidade claramente justificado.