¿Por qué debe analizarse el encuadramiento antes del registro?
El Régimen Jurídico de la Ciberseguridad, aprobado por el Decreto-Ley n.º 125/2025, de 4 de diciembre, incorporó al Derecho portugués la Directiva NIS 2 y amplió el universo de entidades sujetas a obligaciones en materia de ciberseguridad.
El deber de identificación y registro en MyCiber recae sobre las entidades comprendidas en el artículo 3 de dicho régimen, que pueden ser calificadas como:
- entidades esenciales;
- entidades importantes; o
- entidades públicas relevantes.
La aplicación del régimen no debe determinarse únicamente en función de la actividad principal o del código de actividad económica de la entidad. Exige analizar las actividades efectivamente desarrolladas, la dimensión de la organización y los criterios generales y especiales previstos en la ley.
Este análisis debe preceder al registro, ya que la información presentada será examinada por el Centro Nacional de Ciberseguridad o, cuando proceda, por la autoridad nacional sectorial competente, con el fin de determinar si la entidad está sujeta al régimen y cuál es su calificación.
En los procedimientos que estamos acompañando, el análisis ha exigido ir más allá del objeto social y del código de actividad económica, identificar las distintas actividades efectivamente desarrolladas y, cuando procede, examinar la estructura societaria del grupo para determinar la dimensión relevante de la entidad.
¿Es suficiente el simulador facilitado por el Centro Nacional de Ciberseguridad?
No. El simulador puede ayudar a realizar una evaluación preliminar del ámbito de aplicación del régimen, pero el resultado que ofrece es meramente orientativo, depende de la información introducida y no está sujeto a una evaluación formal por parte del Centro Nacional de Ciberseguridad.
Además, el simulador no contempla los criterios previstos en las letras b), c), d) y e) del apartado 2 ni en el apartado 5 del artículo 3 del Decreto-Ley n.º 125/2025. Su utilización tampoco exime del registro a las entidades sujetas al régimen.
En el trabajo que desarrollamos con nuestros clientes, el resultado del simulador se utiliza como elemento auxiliar y se contrasta con las actividades efectivamente desarrolladas, la dimensión de la organización y los criterios legales que la herramienta no contempla.
Por tanto, el simulador puede constituir un punto de partida, pero no sustituye el análisis jurídico del encuadramiento de la entidad.
¿Qué información debe validarse antes de presentar el registro?
Antes de efectuar el registro, es necesario comprobar la coherencia de la información relativa a las actividades desarrolladas, la dimensión de la entidad y el sector o sectores en los que opera.
Este análisis reviste especial importancia cuando la entidad:
- desarrolla más de una actividad;
- opera en distintos sectores;
- forma parte de un grupo de sociedades;
- mantiene relaciones con empresas vinculadas o asociadas relevantes para determinar su dimensión; o
- desarrolla una actividad cuyo encuadramiento no se desprende de forma inmediata de las categorías previstas en el régimen.
Estas son las situaciones que el Departamento de Ciberseguridad de Belzuz Abogados, S.L.P. encuentra con mayor frecuencia en el asesoramiento jurídico que presta a sus clientes. Según el caso, la preparación del registro ha exigido coordinar información sobre las actividades desarrolladas, la estructura societaria, el número de trabajadores y los datos financieros relevantes, para que la información presentada refleje correctamente la realidad de la organización.
También debe comprobarse quién dispone de facultades para representar a la entidad en MyCiber y qué documentación resulta necesaria para acreditar dichas facultades.
Por ello, la preparación del registro no debe limitarse a cumplimentar los campos de la plataforma. La información presentada debe ser coherente, estar debidamente respaldada y permitir que la autoridad competente valore correctamente el encuadramiento de la entidad.
¿Cuál es el plazo para efectuar el registro?
Las entidades que ya desarrollaban su actividad antes de la entrada en vigor del Régimen Jurídico de la Ciberseguridad deben registrarse en el plazo de 60 días hábiles desde la puesta a disposición de la plataforma.
Las entidades que hayan iniciado su actividad después de la entrada en vigor del régimen disponen de 30 días hábiles para cumplir esta obligación.
El plazo aplicable debe confirmarse atendiendo a la situación concreta de la entidad. La necesidad de efectuar el registro dentro de plazo no exime del análisis previo de su encuadramiento.
¿Puede un abogado efectuar el registro en representación de la entidad?
Sí. El registro puede realizarlo el representante legal de la entidad o una persona, interna o externa a la organización, a la que se hayan conferido facultades para ello.
Por tanto, un abogado puede efectuar el registro en MyCiber en nombre y representación de la entidad, siempre que disponga de las correspondientes facultades de representación.
Belzuz Abogados, S.L.P. viene prestando este acompañamiento de forma integral: analizamos el encuadramiento de la entidad, validamos con el cliente la información necesaria, preparamos los poderes de representación y efectuamos el registro en su nombre.
¿El registro determina automáticamente la calificación de la entidad?
No. El registro da inicio al procedimiento de calificación.
A partir de la información presentada, el Centro Nacional de Ciberseguridad o, cuando proceda, la autoridad nacional sectorial competente analiza si la entidad está sujeta al Régimen Jurídico de la Ciberseguridad y qué categoría le corresponde.
La entidad recibe la notificación de un proyecto de acto de calificación, en el que se indicará:
- que la entidad no está sujeta al régimen; o
- que la entidad está sujeta al régimen y cuál es su calificación.
La entidad puede formular alegaciones en el trámite de audiencia de los interesados en el plazo de 10 días hábiles desde el envío de la notificación. Una vez concluido el procedimiento, se dicta el acto de calificación definitivo.
¿Por qué debe analizarse el proyecto de acto de calificación?
El proyecto de acto debe examinarse a la luz de los presupuestos de hecho y de Derecho en los que se basa.
En particular, debe comprobarse si la autoridad competente ha considerado correctamente:
- las actividades efectivamente desarrolladas por la entidad;
- el sector relevante;
- la dimensión de la organización;
- los criterios especiales que, en su caso, resulten aplicables; y
- la información presentada en el registro.
Si el encuadramiento propuesto no refleja la situación de la entidad, o si los elementos considerados requieren corrección o aclaración, deberá valorarse el ejercicio del derecho de audiencia dentro del plazo concedido.
En los procedimientos que acompañamos, la información que sustenta el registro se valida y documenta desde el inicio, para que pueda fundamentarse adecuadamente durante el procedimiento de calificación.
El asesoramiento jurídico no termina, por tanto, con la presentación del registro. Debe abarcar el análisis del proyecto de acto y, cuando proceda, la preparación de las alegaciones de la entidad.
¿Qué obligaciones deben prepararse mientras se tramita la calificación?
La entidad no debe esperar a que concluya el procedimiento para comenzar a preparar las obligaciones que puedan derivarse de su calificación.
En el plazo de 20 días hábiles desde la notificación de la calificación definitiva, la entidad debe comunicar a través de MyCiber:
- el responsable de Ciberseguridad; y
- la persona o personas que desempeñarán las funciones de Punto de Contacto Permanente.
Estas funciones deben definirse antes de que finalice el plazo, identificando claramente a las personas designadas y su coordinación con los procedimientos internos de gestión de riesgos y respuesta a incidentes.
Con nuestros clientes, estas decisiones se preparan durante el procedimiento de calificación, mediante la definición de las funciones, las facultades necesarias y su articulación con las estructuras internas de cada organización.
¿Cuándo debe comunicarse la lista de activos?
Las entidades esenciales, importantes y públicas relevantes deben presentar la lista de activos antes del 31 de enero de 2027 o en el plazo de seis meses desde la notificación de la calificación definitiva, si este último venciera antes.
El cumplimiento de esta obligación exige identificar los activos relevantes para las redes y los sistemas de información de la entidad. Este trabajo no debe aplazarse hasta la calificación definitiva: requiere la intervención previa de los equipos pertinentes y la identificación y validación de la información que debe comunicarse.
¿Están preparados los procedimientos de notificación de incidentes?
Las entidades sujetas al régimen, registradas y calificadas deben utilizar el área reservada de MyCiber para notificar los incidentes con impacto significativo.
La notificación inicial debe presentarse en el plazo de 24 horas desde que la entidad tenga conocimiento del incidente. Las demás notificaciones y los informes relativos al mismo incidente se comunican igualmente a través de la plataforma.
El cumplimiento de este plazo exige que la entidad haya definido previamente:
- quién recibe internamente la información sobre el incidente;
- quién evalúa su relevancia;
- quién decide sobre la necesidad de notificarlo;
- quién se encarga de efectuar la comunicación a través de la plataforma; y
- cómo se recaban y validan los elementos necesarios para las comunicaciones posteriores.
En la revisión de estos procedimientos con nuestros clientes, el equipo de Belzuz Abogados, S.L.P. que presta servicios jurídicos especializados en riesgo cibernético, ciberseguridad y cumplimiento digital destaca que el principal reto no reside en el acceso a la plataforma, sino en la rapidez con la que la información circula internamente y llega a las personas designadas con competencia para evaluar el incidente y decidir sobre su notificación.
Por tanto, no basta con identificar quién tendrá acceso a MyCiber. Es necesario garantizar la existencia de un circuito interno capaz de detectar, evaluar y comunicar el incidente dentro del plazo aplicable.
¿Cuándo serán exigibles las medidas de ciberseguridad?
El Reglamento del Régimen Jurídico de la Ciberseguridad se publicó el 22 de junio de 2026 y entró en vigor al día siguiente.
Su publicación inició el cómputo del plazo legal de 24 meses para que produzcan efectos las medidas de ciberseguridad y para que resulte obligatoria la presentación del informe anual por parte de las entidades esenciales.
Este plazo no suspende ni aplaza las obligaciones que ya están en curso, en particular el registro, el procedimiento de calificación y las comunicaciones posteriores al acto de calificación definitivo.
¿Qué deben hacer ahora las entidades?
Las entidades potencialmente sujetas al régimen deben comenzar por confirmar su encuadramiento en el Régimen Jurídico de la Ciberseguridad.
Desde este momento, resulta necesario:
- identificar las actividades efectivamente desarrolladas y los criterios legales aplicables;
- comprobar la dimensión de la entidad y, cuando resulte pertinente, las relaciones societarias que deban tenerse en cuenta;
- recabar y validar la información necesaria y formalizar las facultades de representación;
- preparar y efectuar el registro dentro del plazo aplicable;
- acompañar el procedimiento de calificación; y
- anticipar la designación de las funciones legalmente previstas, la identificación de los activos y la revisión de los procedimientos de notificación de incidentes.
La prioridad no consiste únicamente en efectuar el registro dentro de plazo.
Consiste en garantizar que el encuadramiento de la entidad se ha determinado correctamente, que la información presentada se corresponde con su realidad y que la organización está preparada para las obligaciones que puedan derivarse de su calificación.
El equipo de Belzuz Abogados, S.L.P. especializado en Ciberseguridad y Cumplimiento Digital presta asesoramiento integral en las siguientes áreas:
- Respuesta a incidentes: asistencia jurídica en casos de violaciones de seguridad de los datos (data breaches), ataques de ransomware o fraude informático.
- Cumplimiento normativo y regulación: análisis y registro en la plataforma MyCiber, auditorías, cumplimiento del RGPD y procedimientos de ciberseguridad en Portugal y en la Unión Europea.
- Litigación y Derecho penal: representación en procedimientos por ciberdelitos (hacking, phishing, etc.) e investigaciones.