A MyCiber é a plataforma do Centro Nacional de Cibersegurança onde as empresas abrangidas pela nova lei da cibersegurança se registam, se qualificam e passam a comunicar com o Estado. O prazo do primeiro registo terminou a 15 de setembro de 2026, mas muitas entidades ficaram de fora. Se a sua empresa é uma delas, o passo continua a ser o mesmo: registar já e reduzir a exposição a coimas.

Em resumo:

• A MyCiber é a plataforma do CNCS para cumprir o novo regime de cibersegurança, que transpõe a NIS2;
  
  
• O registo era obrigatório até 15 de setembro de 2026 e cerca de metade das entidades ficou de fora;
  
  
• Ser PME não exclui automaticamente: o que decide é o setor e a atividade;
  
  
• E quem não se registou deve fazê-lo já, para reduzir o risco de coima.

O que é a MyCiber

A MyCiber é a plataforma eletrónica criada pelo Centro Nacional de Cibersegurança (CNCS) para pôr em prática o novo Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025, que transpõe para Portugal a diretiva europeia NIS2. Está em funcionamento desde 23 de junho de 2026.

Na prática, é o ponto único de contacto entre a sua empresa e as autoridades de cibersegurança. É na MyCiber que a entidade se regista, se autoidentifica como abrangida, designa o responsável de cibersegurança, comunica o ponto de contacto e notifica incidentes. Deixa de haver emails soltos ou formulários dispersos: passa tudo por aqui.

Este artigo trata da plataforma e do registo. Se ainda tem dúvidas sobre a lei em si, quem abrange e que obrigações traz, veja o nosso guia sobre o novo regime da NIS2 em Portugal.

Quem tem de se registar na MyCiber

O registo é obrigatório para as entidades essenciais, importantes e públicas relevantes, em 17 setores considerados críticos. Fica abrangido quem cai nestas categorias:

• Setores de energia, transportes, banca, saúde, água e infraestruturas digitais, entre outros do anexo da lei;
  
  
• Prestadores de serviços de gestão de TIC, de serviços digitais, de registo de domínios e de DNS;
  
  
• Entidades da administração pública com funções relevantes de segurança;
  
  
• E casos especiais que entram independentemente da dimensão, como o prestador único de um serviço essencial.

O erro mais comum que vemos é o gestor assumir que, por ser uma PME, está de fora. Ser pequena ou média empresa não exclui automaticamente. O que decide é o setor, a atividade e o papel que a empresa tem na cadeia. Uma PME de serviços informáticos que gere sistemas de clientes maiores pode muito bem estar abrangida.

O prazo era 15 de setembro. E agora

O primeiro registo tinha um prazo: 60 dias úteis a contar de 23 de junho, ou seja, 15 de setembro de 2026. Segundo o CNCS, quando essa data chegou apenas cerca de metade das entidades estimadas se tinha registado. Se a sua empresa não entrou a tempo, não é caso único.

O prazo ter passado não anula a obrigação. A empresa continua a ter de se registar, e agora com um risco acrescido: o incumprimento está sujeito a coima. Registar já, mesmo em atraso, é a forma de fechar essa exposição e mostrar que a entidade está a cumprir. Adiar só aumenta o problema.

Como registar a empresa na MyCiber, passo a passo

O processo faz-se em myciber.gov.pt e segue esta ordem:

1. Correr o simulador para uma primeira avaliação de enquadramento;
   
   
2. Reunir os dados da empresa: identificação, número de contribuinte, setor e um email institucional que seja mesmo monitorizado;
   
   
3. Autenticar com a Chave Móvel Digital ou o Cartão de Cidadão de quem tem poderes para representar a empresa;
   
   
4. Preencher a autoidentificação, declarando a categoria em que a entidade se enquadra;
   
   
5. E aguardar o ato de qualificação do CNCS, com um prazo para se pronunciar sobre a decisão proposta.

O ponto que costuma travar as empresas é a autenticação com poderes de representação. Quem entra na plataforma tem de poder agir em nome da empresa. Vale a pena confirmar isto antes de começar, para não ficar a meio do formulário.

O simulador da MyCiber: como saber se está abrangido

A plataforma tem um simulador que ajuda a fazer uma primeira leitura de enquadramento. Responde a algumas perguntas sobre setor e atividade e indica se a empresa tende a ficar dentro do regime.

Uma nota importante: o resultado do simulador é indicativo e não vincula o CNCS. Serve para orientar, não para decidir por si. Se o simulador der uma resposta ambígua, ou se a empresa opera em vários setores, o mais seguro é validar o enquadramento com quem conhece o regime antes de fazer a autoidentificação.

Os prazos que se seguem ao registo

Registar é o primeiro passo, não o último. Depois da qualificação, a lei marca uma série de obrigações com datas próprias:

• Designar o responsável de cibersegurança e o ponto de contacto permanente, no prazo de 20 dias úteis após a qualificação;
  
  
• Entregar o inventário de ativos até 31 de janeiro de 2027, ou seis meses após a notificação de qualificação, consoante o que ocorrer primeiro;
  
  
• Aplicar as medidas mínimas de segurança e entregar o primeiro relatório anual até junho de 2028;
  
  
• E notificar qualquer incidente relevante no prazo de 24 horas a partir do momento em que é detetado.

É por isto que tratar o registo como uma tarefa isolada é um erro. As 24 horas para notificar um incidente não respeitam fins de semana nem férias, e a designação do responsável tem de estar feita a tempo. Quem deixa tudo para a véspera acaba a correr atrás do prazo.

Quanto custa não cumprir

As coimas do regime são pesadas e sobem com a gravidade. Para as entidades essenciais, podem chegar a 10 milhões de euros ou 2% do volume de negócios anual mundial, consoante o que for mais elevado. Para as entidades importantes, o teto é de 7 milhões de euros ou 1,4% do volume de negócios. Não notificar um incidente ou não se registar são das falhas mais gravemente punidas.

O que fazer esta semana

Se ainda não tratou disto, três passos concretos resolvem a parte urgente:

1. Correr o simulador em myciber.gov.pt e confirmar o enquadramento da empresa;
   
   
2. Verificar quem tem poderes para representar a empresa e a Chave Móvel Digital ou Cartão de Cidadão dessa pessoa;
   
   
3. E fazer o registo e a autoidentificação, mesmo em atraso, para fechar a exposição a coima.

No nosso trabalho a apoiar PME, a dúvida que mais chega não é técnica, é de enquadramento: «afinal isto aplica-se a mim?». É aí que se ganha ou perde tempo, e é aí que faz diferença ter alguém que já passou por outros registos ao lado.

Perguntas frequentes sobre a MyCiber

A MyCiber é obrigatória para a minha empresa?

Se a empresa se qualifica como entidade essencial, importante ou pública relevante, o registo na MyCiber é obrigatório. Ser PME não exclui automaticamente: o que decide é o setor e a atividade. O simulador dá uma primeira indicação.

Já passou o prazo de 15 de setembro. Ainda me posso registar?

Sim, e deve fazê-lo. A obrigação mantém-se depois do prazo, e registar já reduz a exposição a coima. Quanto mais tempo a empresa ficar por registar, maior é o risco.

O que preciso para fazer o registo?

Os dados da empresa, um email institucional monitorizado, e a Chave Móvel Digital ou o Cartão de Cidadão de quem tem poderes para a representar. Depois é preencher a autoidentificação e aguardar a qualificação do CNCS.

O que acontece depois de me registar?

Passa a ter prazos próprios: 20 dias úteis para designar o responsável de cibersegurança, o inventário de ativos até 31 de janeiro de 2027, as medidas mínimas e o primeiro relatório até junho de 2028, e 24 horas para notificar incidentes.

Trate do registo com quem já o faz

Se não tem a certeza se está abrangido, ou se prefere fazer o registo e a qualificação bem feitos à primeira, a Morebiz ajuda a sua empresa a tratar da MyCiber e do que vem a seguir. Agende uma consultoria grátis e saia da reunião a saber exatamente onde está e o que falta fazer.

Ao enviar o pedido, aceita ser contactado pela Morebiz sobre este assunto, nos termos da nossa política de privacidade.