A MyCiber é a plataforma do Centro Nacional de Cibersegurança para o registo, a autoidentificação e as comunicações das entidades abrangidas pelo Regime Jurídico da Cibersegurança. O prazo inicial para as entidades já em atividade terminou a 15 de setembro de 2026. A obrigação de registo mantém-se depois dessa data.
Em resumo:
- A MyCiber é a plataforma do CNCS para cumprir o novo regime de cibersegurança, que transpõe a NIS2;
- Para as entidades já em atividade à entrada em vigor do regime, o prazo inicial terminou a 15 de setembro de 2026.
- Ser PME não exclui automaticamente: o que decide é o setor e a atividade;
- E quem não se registou deve fazê-lo já, para reduzir o risco de coima.
O que é a MyCiber
A MyCiber é a plataforma eletrónica criada pelo Centro Nacional de Cibersegurança (CNCS) para pôr em prática o novo Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025, que transpõe para Portugal a diretiva europeia NIS2. Está em funcionamento desde 23 de junho de 2026.
Na prática, é o ponto único de contacto entre a sua empresa e as autoridades de cibersegurança. É na MyCiber que a entidade se regista, se autoidentifica como abrangida, designa o responsável de cibersegurança, comunica o ponto de contacto e notifica incidentes. Deixa de haver emails soltos ou formulários dispersos: passa tudo por aqui.
Este artigo trata da plataforma e do registo. Se ainda tem dúvidas sobre a lei em si, quem abrange e que obrigações traz, veja o nosso guia sobre o novo regime da NIS2 em Portugal.
Quem tem de se registar na MyCiber
O registo é obrigatório para as entidades essenciais, importantes e públicas relevantes, em 17 setores considerados críticos. Fica abrangido quem cai nestas categorias:
- Setores de energia, transportes, banca, saúde, água e infraestruturas digitais, entre outros do anexo da lei;
- Prestadores de serviços de gestão de TIC, de serviços digitais, de registo de domínios e de DNS;
- Entidades da administração pública com funções relevantes de segurança;
- E casos especiais que entram independentemente da dimensão, como o prestador único de um serviço essencial.
O erro mais comum que vemos é o gestor assumir que, por ser uma PME, está de fora. Ser pequena ou média empresa não exclui automaticamente. O que decide é o setor, a atividade e o papel que a empresa tem na cadeia. Uma PME de serviços informáticos que gere sistemas de clientes maiores pode muito bem estar abrangida.
O prazo era 15 de setembro. E agora
Para as entidades já em atividade, o prazo inicial de 60 dias úteis contou-se a partir da disponibilização da plataforma, a 23 de junho, e terminou a 15 de setembro de 2026. Para as entidades que iniciam atividade depois da entrada em vigor do regime, o artigo 8.º do Decreto-Lei n.º 125/2025 conta o prazo de 30 dias a partir do início da atividade.
A obrigação de registo mantém-se após o prazo. O incumprimento pode dar lugar a coima, mesmo que a entidade se registe posteriormente. Nos primeiros 12 meses de vigência do regime, o artigo 65.º permite pedir à autoridade competente a dispensa das coimas previstas nesse artigo, mediante pedido fundamentado na falta de um procedimento interno de adaptação. A decisão cabe à autoridade.
Como registar a empresa na MyCiber, passo a passo
O processo faz-se em myciber.gov.pt e segue esta ordem:
- Correr o simulador para uma primeira avaliação de enquadramento;
- Reunir os dados da empresa: identificação, número de contribuinte, setor e um email institucional que seja mesmo monitorizado;
- Autenticar com a Chave Móvel Digital ou o Cartão de Cidadão de quem tem poderes para representar a empresa;
- Preencher a autoidentificação, declarando a categoria em que a entidade se enquadra;
- E aguardar o ato de qualificação do CNCS, com um prazo para se pronunciar sobre a decisão proposta.
O ponto que costuma travar as empresas é a autenticação com poderes de representação. Quem entra na plataforma tem de poder agir em nome da empresa. Vale a pena confirmar isto antes de começar, para não ficar a meio do formulário.
O simulador da MyCiber: como saber se está abrangido
A plataforma tem um simulador que ajuda a fazer uma primeira leitura de enquadramento. Responde a algumas perguntas sobre setor e atividade e indica se a empresa tende a ficar dentro do regime.
Uma nota importante: o resultado do simulador é indicativo e não vincula o CNCS. Serve para orientar, não para decidir por si. Se o simulador der uma resposta ambígua, ou se a empresa opera em vários setores, o mais seguro é validar o enquadramento com quem conhece o regime antes de fazer a autoidentificação.
Os prazos que se seguem ao registo
Registar é o primeiro passo, não o último. Depois da qualificação, a lei marca uma série de obrigações com datas próprias:
- Para as entidades essenciais e importantes, o prazo para comunicar o responsável de cibersegurança e o ponto de contacto permanente é de 20 dias úteis. Para as entidades já em atividade à entrada em vigor do regime, o prazo conta-se da notificação de qualificação. Nos restantes casos, conta-se do início de funções. Consulte os artigos 14.º e 15.º do Regulamento n.º 756/2026.
- Comunicar a lista inicial de ativos diretamente acessíveis pela Internet no primeiro de dois prazos: seis meses após a notificação de qualificação ou 31 de janeiro do ano seguinte ao da notificação. Consulte o artigo 32.º do Regulamento n.º 756/2026 e as instruções técnicas aplicáveis;
- Confirmar o calendário das medidas de cibersegurança e do relatório anual aplicável à sua entidade. O artigo 10.º do Decreto-Lei n.º 125/2025 prevê a produção de efeitos faseada para deveres específicos;
- Notificar os incidentes significativos à autoridade competente. Em regra, a notificação inicial é devida até 24 horas após verificar que o incidente é ou pode vir a ser significativo, nos termos dos artigos 40.º a 42.º. Se o incidente for resolvido nas primeiras duas horas após a deteção, o artigo 41.º, n.º 2, prevê apenas a notificação do fim do impacto significativo.
É por isto que tratar o registo como uma tarefa isolada é um erro. O prazo geral da notificação inicial conta-se em horas, incluindo fins de semana e feriados. Defina previamente quem avalia o impacto, quem notifica e qual o canal de contacto.
Quanto custa não cumprir
O Decreto-Lei n.º 125/2025 distingue as infrações. O incumprimento dos deveres de registo do artigo 8.º é uma contraordenação grave, nos termos do artigo 62.º. O incumprimento do dever de notificar um incidente significativo é uma contraordenação muito grave, nos termos do artigo 61.º. Os montantes das coimas variam com a infração e a categoria da entidade.
O que fazer esta semana
Se ainda não tratou disto, três passos concretos resolvem a parte urgente:
- Correr o simulador em myciber.gov.pt e confirmar o enquadramento da empresa;
- Verificar quem tem poderes para representar a empresa e a Chave Móvel Digital ou Cartão de Cidadão dessa pessoa;
- E fazer o registo e a autoidentificação, mesmo em atraso, para fechar a exposição a coima.
No nosso trabalho a apoiar PME, a dúvida que mais chega não é técnica, é de enquadramento: «afinal isto aplica-se a mim?». É aí que se ganha ou perde tempo, e é aí que faz diferença ter alguém que já passou por outros registos ao lado.
Perguntas frequentes sobre a MyCiber
A MyCiber é obrigatória para a minha empresa?
O registo é obrigatório para as entidades abrangidas pelos deveres do artigo 8.º. Na regra geral, confirme o tipo de entidade, a dimensão e o âmbito territorial. O artigo 3.º prevê casos que entram no regime independentemente da dimensão. O simulador dá uma primeira indicação.
Já passou o prazo de 15 de setembro. Ainda me posso registar?
A obrigação mantém-se para a entidade abrangida após o prazo inicial. Consulte a MyCiber e, se necessário, contacte a autoridade de cibersegurança competente para regularizar o registo.
O que preciso para fazer o registo?
Os dados da empresa, um email institucional monitorizado, e a Chave Móvel Digital ou o Cartão de Cidadão de quem tem poderes para a representar. Depois é preencher a autoidentificação e aguardar a qualificação do CNCS.
O que acontece depois de me registar?
Para as entidades essenciais e importantes, o prazo para comunicar o responsável de cibersegurança e o ponto de contacto permanente é de 20 dias úteis. Para as entidades já em atividade à entrada em vigor do regime, o prazo conta-se da notificação de qualificação. Nos restantes casos, conta-se do início de funções. Para a primeira lista de ativos diretamente acessíveis pela Internet, vale o prazo que terminar primeiro: seis meses após a notificação ou 31 de janeiro do ano seguinte ao da notificação. A notificação de incidentes significativos segue os seus próprios prazos.
Trate do registo com quem já o faz
Se não tem a certeza se está abrangido, ou se prefere fazer o registo e a qualificação bem feitos à primeira, a Morebiz ajuda a sua empresa a tratar da MyCiber e do que vem a seguir. Agende uma consultoria grátis e saia da reunião a saber exatamente onde está e o que falta fazer.
Ao enviar o pedido, aceita ser contactado pela Morebiz sobre este assunto, nos termos da nossa política de privacidade.
