Cibersegurança: novas obrigações entram em vigor

Com a entrada em vigor do Regulamento n.º 756/2026, o novo Regime Jurídico da Cibersegurança ganha aplicação prática, estabelecendo procedimentos concretos para empresas e entidades públicas abrangidas. 

O regulamento, publicado pelo Centro Nacional de Cibersegurança (CNCS), operacionaliza as regras previstas no Decreto-Lei n.º 125/2025, que transpôs para Portugal a Diretiva NIS2 da União Europeia. Entre as principais novidades estão as novas obrigações de registo, identificação das entidades abrangidas, comunicação de incidentes e implementação de medidas mínimas de segurança. 

Registo obrigatório na plataforma MyCiber 

Uma das primeiras etapas para as organizações potencialmente abrangidas passa pelo registo na plataforma MyCiber. 

Segundo o coordenador do CNCS, as entidades dispõem de 60 dias úteis para efetuarem o registo e a respetiva autoidentificação na plataforma, um processo que permitirá determinar se estão ou não abrangidas pelo novo regime jurídico. 

Para facilitar esta tarefa, o CNCS disponibiliza também ferramentas de apoio que ajudam as organizações a perceber se estão sujeitas às novas regras. Ainda assim, essas orientações têm carácter meramente informativo e não substituem a obrigação de realizar a autoidentificação quando aplicável. 

Que entidades estão abrangidas? 

O novo enquadramento aplica-se às chamadas entidades essenciais, entidades importantes e entidades públicas relevantes, abrangendo diversos setores considerados críticos para a economia e para o funcionamento do Estado. 

A qualificação de cada organização depende de vários fatores, como o setor de atividade, a dimensão da empresa, os serviços prestados e outros critérios definidos na legislação. Após a submissão da informação na plataforma, o CNCS analisa os dados e comunica a decisão sobre o enquadramento da entidade e, quando aplicável, o respetivo nível de conformidade. 

Mais do que cumprir uma formalidade 

O novo regime não se limita a obrigações administrativas. As organizações abrangidas passam a ter responsabilidades acrescidas na gestão da cibersegurança, incluindo a adoção de medidas proporcionais ao risco, a manutenção de processos internos de gestão de risco e a capacidade de resposta a incidentes. 

As entidades deverão ainda manter permanentemente atualizada a informação comunicada ao CNCS através da plataforma eletrónica, assegurando que os dados refletem a sua realidade operacional. 

Gestão do risco passa a ser um processo contínuo 

O regulamento reforça uma abordagem baseada na avaliação contínua dos riscos. As entidades abrangidas devem analisar regularmente os riscos que podem afetar as suas redes e sistemas de informação, bem como avaliar o risco residual após a implementação das medidas de proteção. 

Essa análise deverá considerar fatores como o histórico de incidentes, o número de utilizadores potencialmente afetados, a duração das ocorrências, a dependência de outros setores e as orientações técnicas emitidas pelo CNCS. 

O que devem fazer as organizações? 

Para muitas empresas e organismos públicos, este é um momento de adaptação. Além de verificarem se estão abrangidos pelo novo regime, importa garantir que existem processos internos capazes de responder às novas exigências legais. 

Entre as medidas que poderão ser necessárias estão: 

• Verificar se a organização está abrangida pelo Regime Jurídico da Cibersegurança; 

• Proceder ao registo e autoidentificação na plataforma MyCiber dentro do prazo previsto; 

• Rever políticas internas de segurança da informação e gestão de risco; 

• Garantir que existem procedimentos para resposta e notificação de incidentes; 

• Manter atualizada a informação comunicada ao CNCS. 

Uma mudança estrutural 

A entrada em vigor deste regulamento representa um passo importante na estratégia nacional de reforço da cibersegurança. O objetivo passa por aumentar a resiliência das organizações portuguesas perante ameaças digitais, promovendo uma cultura de prevenção, gestão do risco e resposta rápida a incidentes. 

Para as entidades abrangidas, o cumprimento destas obrigações deixa de ser apenas uma questão de conformidade legal e passa a fazer parte da própria gestão do negócio e da continuidade operacional.