Porque deve o enquadramento ser analisado antes do registo?
O Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025, de 4 de dezembro, transpôs para o direito português a Diretiva NIS 2 e alargou o universo das entidades sujeitas a obrigações em matéria de cibersegurança.
O dever de identificação e registo na MyCiber recai sobre as entidades abrangidas pelo artigo 3.º daquele regime, suscetíveis de qualificação como:
- entidades essenciais;
- entidades importantes; ou
- entidades públicas relevantes.
A aplicação do regime não deve ser aferida apenas em função da atividade principal ou do código de atividade económica da entidade. Exige a análise das atividades efetivamente exercidas, da dimensão da organização e dos critérios gerais e especiais previstos na lei.
Esta avaliação deve preceder o registo, uma vez que a informação submetida será analisada pelo Centro Nacional de Cibersegurança ou, quando aplicável, pela autoridade nacional setorial competente, para determinar se a entidade está abrangida e qual a respetiva qualificação.
Nos processos que estamos a acompanhar, a análise tem exigido que se vá além do objeto social e do código de atividade económica, identificando as diferentes atividades efetivamente desenvolvidas e, quando aplicável, examinando a estrutura societária do grupo para determinar a dimensão relevante da entidade.
O simulador disponibilizado pelo Centro Nacional de Cibersegurança é suficiente?
Não. O simulador pode auxiliar a avaliação preliminar do âmbito de aplicação do regime, mas o resultado apresentado é meramente indicativo, depende da informação introduzida e não está sujeito a uma avaliação formal pelo Centro Nacional de Cibersegurança.
Além disso, o simulador não abrange os critérios previstos nas alíneas b), c), d) e e) do n.º 2 nem no n.º 5 do artigo 3.º do Decreto-Lei n.º 125/2025. A sua utilização também não dispensa o registo das entidades abrangidas.
No trabalho desenvolvido com os nossos clientes, o resultado do simulador é utilizado como elemento auxiliar e confrontado com as atividades efetivamente exercidas, a dimensão da organização e os critérios legais que a ferramenta não considera.
O simulador pode, portanto, constituir um ponto de partida, mas não substitui a análise jurídica do enquadramento da entidade.
Que informação deve ser validada antes da submissão?
Antes de efetuar o registo, importa confirmar a coerência da informação relativa às atividades exercidas, à dimensão da entidade e ao setor ou setores em que esta atua.
Esta análise assume particular importância quando a entidade:
- desenvolve mais do que uma atividade;
- atua em diferentes setores;
- integra um grupo de sociedades;
- mantém relações com empresas parceiras ou associadas relevantes para o apuramento da sua dimensão; ou
- exerce uma atividade cujo enquadramento não resulta imediatamente das categorias previstas no regime.
São estas as situações que o Departamento CyberSegurança da Belzuz Abogados, S.L.P. encontra com maior frequência na assessoria legal que presta aos seus clientes. Consoante o caso, a preparação do registo tem exigido a articulação de informação sobre as atividades desenvolvidas, a estrutura societária, o número de trabalhadores e os elementos financeiros relevantes, para que os dados submetidos reflitam corretamente a realidade da organização.
Deve igualmente ser verificado quem dispõe de poderes para representar a entidade na MyCiber e qual a documentação necessária para comprovar esses poderes.
A preparação do registo não deve, por isso, limitar-se ao preenchimento dos campos da plataforma. A informação submetida deve ser coerente, estar devidamente sustentada e permitir à autoridade competente apreciar corretamente o enquadramento da entidade.
Qual é o prazo para efetuar o registo?
As entidades que já exerciam atividade antes da entrada em vigor do Regime Jurídico da Cibersegurança devem efetuar o registo no prazo de 60 dias úteis a contar da disponibilização da plataforma.
As entidades que tenham iniciado atividade depois da entrada em vigor do regime dispõem de 30 dias úteis para cumprir esta obrigação.
O prazo aplicável deve ser confirmado à luz da situação concreta da entidade. A necessidade de cumprir o registo dentro do prazo não dispensa a análise prévia do respetivo enquadramento.
O registo pode ser efetuado por um advogado em representação da entidade?
Sim. O registo pode ser realizado pelo representante legal da entidade ou por uma pessoa, interna ou externa à organização, à qual tenham sido conferidos poderes para esse efeito.
Um advogado pode, assim, efetuar o registo na MyCiber em nome e representação da entidade, desde que disponha dos necessários poderes de representação.
A Belzuz Abogados, S.L.P. tem vindo a assegurar este acompanhamento de forma integrada: analisamos o enquadramento da entidade, validamos com o cliente a informação necessária, preparamos os poderes de representação e, quando mandatados para o efeito, realizamos o registo em seu nome.
O registo determina automaticamente a qualificação da entidade?
Não. O registo dá início ao procedimento de qualificação.
Com base na informação submetida, o Centro Nacional de Cibersegurança ou, quando aplicável, a autoridade nacional setorial competente analisa se a entidade está abrangida pelo Regime Jurídico da Cibersegurança e qual a categoria aplicável.
A entidade é notificada de um projeto de ato de qualificação, que indicará:
- que a entidade não está abrangida pelo regime; ou
- que a entidade está abrangida e qual a respetiva qualificação.
A entidade pode pronunciar-se em audiência de interessados no prazo de 10 dias úteis após o envio da notificação. Concluído o procedimento, é emitido o ato de qualificação final.
Porque deve o projeto de ato de qualificação ser analisado?
O projeto de ato deve ser apreciado quanto aos pressupostos de facto e de direito em que assenta.
Importa verificar, em particular, se a autoridade competente considerou corretamente:
- as atividades efetivamente desenvolvidas pela entidade;
- o setor relevante;
- a dimensão da organização;
- os critérios especiais eventualmente aplicáveis; e
- os elementos submetidos no registo.
Se o enquadramento proposto não refletir a situação da entidade, ou se os elementos considerados carecerem de correção ou esclarecimento, deverá ser ponderado o exercício do direito de audiência dentro do prazo concedido.
Nos processos que acompanhamos, a informação que sustenta o registo é validada e documentada desde o início, para poder ser devidamente fundamentada durante o procedimento de qualificação.
O acompanhamento jurídico não termina, portanto, com a submissão do registo. Deve abranger a análise do projeto de ato e, quando se justifique, a preparação da pronúncia da entidade.
Que obrigações devem ser preparadas enquanto decorre a qualificação?
A entidade não deve aguardar pela conclusão do procedimento para começar a preparar as obrigações que poderão decorrer da qualificação.
No prazo de 20 dias úteis após a notificação da qualificação final, a entidade deve comunicar através da MyCiber:
- o Responsável de Cibersegurança; e
- a pessoa ou as pessoas que asseguram as funções de Ponto de Contacto Permanente.
Estas funções devem ser definidas antes do termo do prazo, com identificação clara das pessoas designadas e da respetiva articulação com os procedimentos internos de gestão do risco e de resposta a incidentes.
Com os nossos clientes, estas decisões são preparadas durante o procedimento de qualificação, mediante a definição das funções, dos poderes necessários e da articulação com as estruturas internas de cada organização.
Quando deve ser comunicada a lista de ativos?
As entidades essenciais, importantes e públicas relevantes devem enviar a lista de ativos até 31 de janeiro de 2027 ou no prazo de seis meses após a notificação da qualificação final, consoante o prazo que se vença primeiro.
O cumprimento desta obrigação pressupõe o levantamento dos ativos relevantes para as redes e os sistemas de informação da entidade. Este trabalho não deve ser adiado até à qualificação final: exige a intervenção prévia das equipas relevantes e a identificação e validação da informação a comunicar.
Os procedimentos de notificação de incidentes já estão preparados?
As entidades abrangidas, registadas e qualificadas devem utilizar a área reservada da MyCiber para notificar os incidentes com impacto significativo.
A notificação inicial deve ser apresentada no prazo de 24 horas após a entidade ter conhecimento do incidente. As restantes notificações e os relatórios associados ao mesmo incidente são igualmente comunicados através da plataforma.
O cumprimento deste prazo exige que a entidade tenha previamente definido:
- quem recebe internamente a informação sobre o incidente;
- quem avalia a sua relevância;
- quem decide sobre a necessidade de notificação;
- quem assegura a comunicação através da plataforma; e
- como são reunidos e validados os elementos necessários às comunicações subsequentes.
Na revisão destes procedimentos com os nossos clientes, a equipa da Belzuz Abogados, S.L.P. que presta serviços jurídicos especializados em risco cibernético, cibersegurança e conformidade digital, destaca que o principal desafio não reside no acesso à plataforma, mas na rapidez com que a informação circula internamente e chega às pessoas designadas com competência para avaliar o incidente e decidir sobre a sua notificação.
Não basta, portanto, identificar quem terá acesso à MyCiber. É necessário assegurar que existe um circuito interno capaz de detetar, avaliar e comunicar o incidente dentro do prazo aplicável.
Quando se tornam exigíveis as medidas de cibersegurança?
O Regulamento do Regime Jurídico da Cibersegurança foi publicado em 22 de junho de 2026 e entrou em vigor no dia seguinte.
A sua publicação iniciou a contagem do prazo legal de 24 meses para a produção de efeitos das medidas de cibersegurança e para a obrigatoriedade de comunicação do relatório anual pelas entidades essenciais.
Este prazo não suspende nem adia as obrigações que já se encontram em curso, designadamente o registo, o procedimento de qualificação e as comunicações subsequentes ao ato de qualificação final.
O que devem as entidades fazer agora?
As entidades potencialmente abrangidas devem começar por confirmar o respetivo enquadramento no Regime Jurídico da Cibersegurança.
Importa, desde já:
- identificar as atividades efetivamente desenvolvidas e os critérios legais aplicáveis;
- verificar a dimensão da entidade e, quando relevante, as relações societárias que devam ser consideradas;
- reunir e validar a informação necessária e formalizar os poderes de representação;
- preparar e efetuar o registo dentro do prazo aplicável;
- acompanhar o procedimento de qualificação; e
- antecipar a designação das funções legalmente previstas, o levantamento dos ativos e a revisão dos procedimentos de notificação de incidentes.
A prioridade não é apenas efetuar o registo dentro do prazo.
É assegurar que o enquadramento da entidade foi corretamente determinado, que a informação submetida corresponde à sua realidade e que a organização está preparada para as obrigações que poderão resultar da qualificação.
A equipa da Belzuz Abogados, S.L.P. na área de Cyber Segurança e Compliance Digital presta assessoria integral nas seguintes áreas;
- Resposta a Incidentes: Suporte legal em casos de violação de dados (data breaches), ataques de ransomware ou fraude informática.
- Conformidade e Regulação: Análise e registo na plataforma MyCiber, auditorias e conformidade com o RGPD e procedimentos de cibersegurança em Portugal e UE.
- Contencioso e Criminal: Representação em processos de cibercrime (hacking, phishing, etc) e investigações.