Porque deve o enquadramento ser analisado antes do registo?<\/p>\n
O Regime Jur\u00eddico da Ciberseguran\u00e7a, aprovado pelo Decreto-Lei n.\u00ba 125\/2025, de 4 de dezembro, transp\u00f4s para o direito portugu\u00eas a Diretiva NIS 2 e alargou o universo das entidades sujeitas a obriga\u00e7\u00f5es em mat\u00e9ria de ciberseguran\u00e7a.<\/p>\n
O dever de identifica\u00e7\u00e3o e registo na MyCiber recai sobre as entidades abrangidas pelo artigo 3.\u00ba daquele regime, suscet\u00edveis de qualifica\u00e7\u00e3o como:<\/p>\n
A aplica\u00e7\u00e3o do regime n\u00e3o deve ser aferida apenas em fun\u00e7\u00e3o da atividade principal ou do c\u00f3digo de atividade econ\u00f3mica da entidade. Exige a an\u00e1lise das atividades efetivamente exercidas, da dimens\u00e3o da organiza\u00e7\u00e3o e dos crit\u00e9rios gerais e especiais previstos na lei.<\/p>\n
Esta avalia\u00e7\u00e3o deve preceder o registo, uma vez que a informa\u00e7\u00e3o submetida ser\u00e1 analisada pelo Centro Nacional de Ciberseguran\u00e7a ou, quando aplic\u00e1vel, pela autoridade nacional setorial competente, para determinar se a entidade est\u00e1 abrangida e qual a respetiva qualifica\u00e7\u00e3o.<\/p>\n
Nos processos que estamos a acompanhar, a an\u00e1lise tem exigido que se v\u00e1 al\u00e9m do objeto social e do c\u00f3digo de atividade econ\u00f3mica, identificando as diferentes atividades efetivamente desenvolvidas e, quando aplic\u00e1vel, examinando a estrutura societ\u00e1ria do grupo para determinar a dimens\u00e3o relevante da entidade.<\/p>\n
N\u00e3o. O simulador pode auxiliar a avalia\u00e7\u00e3o preliminar do \u00e2mbito de aplica\u00e7\u00e3o do regime, mas o resultado apresentado \u00e9 meramente indicativo, depende da informa\u00e7\u00e3o introduzida e n\u00e3o est\u00e1 sujeito a uma avalia\u00e7\u00e3o formal pelo Centro Nacional de Ciberseguran\u00e7a.<\/p>\n
Al\u00e9m disso, o simulador n\u00e3o abrange os crit\u00e9rios previstos nas al\u00edneas b), c), d) e e) do n.\u00ba 2 nem no n.\u00ba 5 do artigo 3.\u00ba do Decreto-Lei n.\u00ba 125\/2025. A sua utiliza\u00e7\u00e3o tamb\u00e9m n\u00e3o dispensa o registo das entidades abrangidas.<\/p>\n
No trabalho desenvolvido com os nossos clientes, o resultado do simulador \u00e9 utilizado como elemento auxiliar e confrontado com as atividades efetivamente exercidas, a dimens\u00e3o da organiza\u00e7\u00e3o e os crit\u00e9rios legais que a ferramenta n\u00e3o considera.<\/p>\n
O simulador pode, portanto, constituir um ponto de partida, mas n\u00e3o substitui a an\u00e1lise jur\u00eddica do enquadramento da entidade.<\/p>\n
Antes de efetuar o registo, importa confirmar a coer\u00eancia da informa\u00e7\u00e3o relativa \u00e0s atividades exercidas, \u00e0 dimens\u00e3o da entidade e ao setor ou setores em que esta atua.<\/p>\n
Esta an\u00e1lise assume particular import\u00e2ncia quando a entidade:<\/p>\n
S\u00e3o estas as situa\u00e7\u00f5es que o Departamento CyberSeguran\u00e7a da Belzuz Abogados, S.L.P.<\/a> <\/strong>encontra com maior frequ\u00eancia na assessoria legal que presta aos seus clientes. Consoante o caso, a prepara\u00e7\u00e3o do registo tem exigido a articula\u00e7\u00e3o de informa\u00e7\u00e3o sobre as atividades desenvolvidas, a estrutura societ\u00e1ria, o n\u00famero de trabalhadores e os elementos financeiros relevantes, para que os dados submetidos reflitam corretamente a realidade da organiza\u00e7\u00e3o.<\/p>\n Deve igualmente ser verificado quem disp\u00f5e de poderes para representar a entidade na MyCiber e qual a documenta\u00e7\u00e3o necess\u00e1ria para comprovar esses poderes.<\/p>\n A prepara\u00e7\u00e3o do registo n\u00e3o deve, por isso, limitar-se ao preenchimento dos campos da plataforma. A informa\u00e7\u00e3o submetida deve ser coerente, estar devidamente sustentada e permitir \u00e0 autoridade competente apreciar corretamente o enquadramento da entidade.<\/p>\n As entidades que j\u00e1 exerciam atividade antes da entrada em vigor do Regime Jur\u00eddico da Ciberseguran\u00e7a devem efetuar o registo no prazo de 60 dias \u00fateis a contar da disponibiliza\u00e7\u00e3o da plataforma.<\/p>\n As entidades que tenham iniciado atividade depois da entrada em vigor do regime disp\u00f5em de 30 dias \u00fateis para cumprir esta obriga\u00e7\u00e3o.<\/p>\n O prazo aplic\u00e1vel deve ser confirmado \u00e0 luz da situa\u00e7\u00e3o concreta da entidade. A necessidade de cumprir o registo dentro do prazo n\u00e3o dispensa a an\u00e1lise pr\u00e9via do respetivo enquadramento.<\/p>\n Sim. O registo pode ser realizado pelo representante legal da entidade ou por uma pessoa, interna ou externa \u00e0 organiza\u00e7\u00e3o, \u00e0 qual tenham sido conferidos poderes para esse efeito.<\/p>\n Um advogado pode, assim, efetuar o registo na MyCiber em nome e representa\u00e7\u00e3o da entidade, desde que disponha dos necess\u00e1rios poderes de representa\u00e7\u00e3o.<\/p>\n A Belzuz Abogados, S.L.P.<\/a> <\/strong>tem vindo a assegurar este acompanhamento de forma integrada: analisamos o enquadramento da entidade, validamos com o cliente a informa\u00e7\u00e3o necess\u00e1ria, preparamos os poderes de representa\u00e7\u00e3o e, quando mandatados para o efeito, realizamos o registo em seu nome.<\/p>\n N\u00e3o. O registo d\u00e1 in\u00edcio ao procedimento de qualifica\u00e7\u00e3o.<\/p>\n Com base na informa\u00e7\u00e3o submetida, o Centro Nacional de Ciberseguran\u00e7a ou, quando aplic\u00e1vel, a autoridade nacional setorial competente analisa se a entidade est\u00e1 abrangida pelo Regime Jur\u00eddico da Ciberseguran\u00e7a e qual a categoria aplic\u00e1vel.<\/p>\n A entidade \u00e9 notificada de um projeto de ato de qualifica\u00e7\u00e3o, que indicar\u00e1:<\/p>\n A entidade pode pronunciar-se em audi\u00eancia de interessados no prazo de 10 dias \u00fateis ap\u00f3s o envio da notifica\u00e7\u00e3o. Conclu\u00eddo o procedimento, \u00e9 emitido o ato de qualifica\u00e7\u00e3o final.<\/p>\n O projeto de ato deve ser apreciado quanto aos pressupostos de facto e de direito em que assenta.<\/p>\n Importa verificar, em particular, se a autoridade competente considerou corretamente:<\/p>\n Se o enquadramento proposto n\u00e3o refletir a situa\u00e7\u00e3o da entidade, ou se os elementos considerados carecerem de corre\u00e7\u00e3o ou esclarecimento, dever\u00e1 ser ponderado o exerc\u00edcio do direito de audi\u00eancia dentro do prazo concedido.<\/p>\n Nos processos que acompanhamos, a informa\u00e7\u00e3o que sustenta o registo \u00e9 validada e documentada desde o in\u00edcio, para poder ser devidamente fundamentada durante o procedimento de qualifica\u00e7\u00e3o.<\/p>\n O acompanhamento jur\u00eddico n\u00e3o termina, portanto, com a submiss\u00e3o do registo. Deve abranger a an\u00e1lise do projeto de ato e, quando se justifique, a prepara\u00e7\u00e3o da pron\u00fancia da entidade.<\/p>\n A entidade n\u00e3o deve aguardar pela conclus\u00e3o do procedimento para come\u00e7ar a preparar as obriga\u00e7\u00f5es que poder\u00e3o decorrer da qualifica\u00e7\u00e3o.<\/p>\n No prazo de 20 dias \u00fateis ap\u00f3s a notifica\u00e7\u00e3o da qualifica\u00e7\u00e3o final, a entidade deve comunicar atrav\u00e9s da MyCiber:<\/p>\n Estas fun\u00e7\u00f5es devem ser definidas antes do termo do prazo, com identifica\u00e7\u00e3o clara das pessoas designadas e da respetiva articula\u00e7\u00e3o com os procedimentos internos de gest\u00e3o do risco e de resposta a incidentes.<\/p>\n Com os nossos clientes, estas decis\u00f5es s\u00e3o preparadas durante o procedimento de qualifica\u00e7\u00e3o, mediante a defini\u00e7\u00e3o das fun\u00e7\u00f5es, dos poderes necess\u00e1rios e da articula\u00e7\u00e3o com as estruturas internas de cada organiza\u00e7\u00e3o.<\/p>\n As entidades essenciais, importantes e p\u00fablicas relevantes devem enviar a lista de ativos at\u00e9 31 de janeiro de 2027 ou no prazo de seis meses ap\u00f3s a notifica\u00e7\u00e3o da qualifica\u00e7\u00e3o final, consoante o prazo que se ven\u00e7a primeiro.<\/p>\n O cumprimento desta obriga\u00e7\u00e3o pressup\u00f5e o levantamento dos ativos relevantes para as redes e os sistemas de informa\u00e7\u00e3o da entidade. Este trabalho n\u00e3o deve ser adiado at\u00e9 \u00e0 qualifica\u00e7\u00e3o final: exige a interven\u00e7\u00e3o pr\u00e9via das equipas relevantes e a identifica\u00e7\u00e3o e valida\u00e7\u00e3o da informa\u00e7\u00e3o a comunicar.<\/p>\n As entidades abrangidas, registadas e qualificadas devem utilizar a \u00e1rea reservada da MyCiber para notificar os incidentes com impacto significativo.<\/p>\n A notifica\u00e7\u00e3o inicial deve ser apresentada no prazo de 24 horas ap\u00f3s a entidade ter conhecimento do incidente. As restantes notifica\u00e7\u00f5es e os relat\u00f3rios associados ao mesmo incidente s\u00e3o igualmente comunicados atrav\u00e9s da plataforma.<\/p>\n O cumprimento deste prazo exige que a entidade tenha previamente definido:<\/p>\nQual \u00e9 o prazo para efetuar o registo?<\/h2>\n
O registo pode ser efetuado por um advogado em representa\u00e7\u00e3o da entidade?<\/h2>\n
O registo determina automaticamente a qualifica\u00e7\u00e3o da entidade?<\/h2>\n
\n
Porque deve o projeto de ato de qualifica\u00e7\u00e3o ser analisado?<\/h2>\n
\n
Que obriga\u00e7\u00f5es devem ser preparadas enquanto decorre a qualifica\u00e7\u00e3o?<\/h2>\n
\n
Quando deve ser comunicada a lista de ativos?<\/h2>\n
Os procedimentos de notifica\u00e7\u00e3o de incidentes j\u00e1 est\u00e3o preparados?<\/h2>\n
\n