MyCiber: las entidades tienen 60 días hábiles para registrarse en el nuevo régimen de ciberseguridad

La puesta en marcha de la plataforma MyCiber marca una nueva etapa para la ciberseguridad en Portugal. Las entidades incluidas en el nuevo Régimen Jurídico de la Ciberseguridad disponen ahora de un plazo de 60 días hábiles para registrarse, realizar su autoidentificación e iniciar un proceso formal de cualificación ante las autoridades competentes. Más que una obligación administrativa, este paso representa un cambio estructural en la forma en que las organizaciones públicas y privadas deben afrontar la protección de sus sistemas, datos, servicios digitales y activos críticos.

Según la información comunicada por el Centro Nacional de Ciberseguridad, la plataforma MyCiber, disponible en myciber.gov.pt, pasa a ser el principal canal de comunicación entre las entidades incluidas y las autoridades de ciberseguridad competentes. A través de esta plataforma, las organizaciones deben cumplir deberes de registro, nombrar responsables, presentar información obligatoria, comunicar incidentes y seguir su encuadramiento en el régimen. Para muchas entidades, este será el primer contacto formal con obligaciones de ciberseguridad definidas por ley de una forma más prescriptiva.

El nuevo marco surge en un contexto en el que la dependencia digital de las empresas, de la Administración Pública y de los servicios esenciales es cada vez mayor. Plataformas de e-commerce, sistemas de facturación, infraestructuras de comunicaciones, servicios financieros, unidades sanitarias, operadores logísticos, productores alimentarios, entidades de investigación y proveedores de servicios digitales son solo algunos ejemplos de actividades que dependen de sistemas tecnológicos fiables. Cuando estos sistemas fallan, el impacto puede superar la dimensión técnica y afectar a la continuidad del negocio, la confianza de los ciudadanos y la estabilidad de los servicios esenciales. 

Por eso también forma parte de la misión de BYDAS implicarse en estos asuntos, aunque no sea un proveedor de servicios en esta área específica. Es imprescindible mantener a nuestra base de clientes en compliance con esta nueva realidad, no solo por los aspectos legales, sino también por lo más importante: garantizar que todos los sistemas estén seguros y que quienes los utilizan no corran el riesgo de que sus datos sean robados.

¿Qué es la plataforma MyCiber?

MyCiber es la plataforma electrónica prevista en el Decreto-Ley n.º 125/2025, creada para permitir que entidades esenciales, entidades importantes y entidades públicas relevantes cumplan su deber de registro en el marco del Régimen Jurídico de la Ciberseguridad. Es puesta a disposición por el Centro Nacional de Ciberseguridad, como Autoridad Nacional de Ciberseguridad, y sirve para gestionar información relevante sobre obligaciones legales, notificaciones de incidentes y comunicación con las autoridades competentes.

En la práctica, la plataforma centraliza datos sobre las entidades reguladas, sus responsables, los puntos de contacto permanentes, los informes anuales, la lista de activos públicamente accesibles y las posibles notificaciones de incidentes. Esta concentración de información permite tener una visión más clara sobre el nivel de riesgo, la conformidad y las medidas de ciberseguridad aplicables a cada organización.

MyCiber no debe verse únicamente como un formulario digital. Su objetivo es crear una base operativa para acompañar el cumplimiento de las obligaciones previstas en el nuevo régimen. Al reunir información de entidades de varios sectores, la plataforma contribuye a una lectura más dinámica del ecosistema nacional de ciberseguridad y a una articulación más eficaz entre organizaciones y autoridades.

¿Quién debe registrarse?

El registro se aplica a entidades esenciales, entidades importantes y entidades públicas relevantes. El ámbito de aplicación depende de la naturaleza de la entidad, su dimensión, el sector de actividad y el nivel de riesgo asociado a los servicios prestados. Entre los sectores mencionados en el marco del régimen se encuentran agua potable, aguas residuales, banca, energía, espacio, gestión de residuos, servicios de tecnologías de la información y comunicación entre empresas, industria manufacturera, infraestructuras digitales, infraestructuras del mercado financiero, investigación, servicios digitales, producción y distribución de productos químicos, producción y distribución alimentaria, salud, servicios postales y de mensajería y transportes.

La Administración Pública también está contemplada, siempre que encaje en las categorías previstas. Este alcance es especialmente relevante porque muchos servicios públicos dependen de sistemas digitales para asegurar la atención, la gestión documental, los pagos, la comunicación con los ciudadanos y la prestación de servicios esenciales.

De acuerdo con la información divulgada, se espera que cerca de seis mil entidades queden incluidas en el nuevo régimen, un aumento muy significativo frente a las aproximadamente 450 entidades incluidas en el marco anterior. Este crecimiento demuestra que la ciberseguridad ha dejado de ser una preocupación restringida a operadores muy específicos y ha pasado a formar parte de la realidad de un número mucho más amplio de organizaciones.

El plazo de 60 días hábiles y lo que significa

Las entidades que ya se encuentren en actividad deben realizar el registro en el plazo de 60 días tras la disponibilidad de la plataforma MyCiber. Para las entidades que inicien actividad después de la entrada en vigor del Decreto-Ley n.º 125/2025, el plazo indicado es de 30 días después del inicio de la actividad. La obligación no termina en el momento del registro: las entidades deben mantener debidamente actualizada la información que facilitan en la plataforma.

Este plazo de 60 días hábiles debe entenderse como una ventana crítica para organizar información interna, confirmar poderes de representación, identificar responsables y entender si la entidad queda encuadrada en el régimen. Las prisas de última hora pueden provocar errores, omisiones o dificultades en la presentación de documentos. Por ello, las organizaciones deben iniciar el proceso con antelación y tratar el registro como una etapa estratégica.

Antes del registro, las entidades pueden recurrir al simulador disponible en la plataforma para comprobar su posible encuadramiento. El resultado es indicativo y depende del rigor de la información proporcionada. No vincula al Centro Nacional de Ciberseguridad ni exime del registro obligatorio cuando la entidad esté incluida, pero puede ayudar a aclarar dudas iniciales y a preparar la documentación necesaria.

Registro, autoidentificación y cualificación: tres conceptos esenciales

El proceso previsto en MyCiber implica más que crear una cuenta. En primer lugar, la entidad debe registrarse en la plataforma. Después, debe proceder a su autoidentificación, declarando información que permita evaluar si está incluida en el régimen y en qué categoría puede encuadrarse. Por último, las autoridades competentes analizan la información y emiten un Proyecto de Acto de Cualificación.

Ese proyecto puede concluir que la entidad no está incluida o que sí lo está, indicando su respectiva cualificación. Si la entidad discrepa o pretende corregir información, dispone de un período de audiencia de interesados, referido como 10 días hábiles después del envío de la notificación. Si no existe pronunciamiento, la información se confirma y la entidad recibe el Acto de Cualificación. A partir de ese momento, las obligaciones derivadas del Régimen Jurídico de la Ciberseguridad pasan a aplicarse formalmente.

La cualificación es determinante porque define el grado de exigencia aplicable. Las entidades esenciales, las entidades importantes y las entidades públicas relevantes pueden quedar sujetas a conjuntos de medidas mínimas diferentes, ajustadas al riesgo, la dimensión y el sector de actividad. Esta lógica busca evitar un enfoque genérico y crear criterios más previsibles para organizaciones y autoridades.

¿Qué información debe comunicarse a través de MyCiber?

Tras la cualificación, las entidades incluidas deben utilizar la plataforma para comunicar varias obligaciones. Entre ellas se encuentran el nombramiento del Responsable de Ciberseguridad, el nombramiento del Punto de Contacto Permanente, el envío del informe anual, el envío de la lista de activos públicamente accesibles y la notificación de incidentes.

El Responsable de Ciberseguridad asume un papel central en la articulación interna y externa de la organización. Debe conocer los riesgos, acompañar la implementación de medidas, promover buenas prácticas y asegurar la conexión con las obligaciones legales. El Punto de Contacto Permanente, por su parte, garantiza que exista una vía de comunicación operativa con las autoridades competentes, esencial en caso de incidente o necesidad de respuesta rápida.

La lista de activos públicamente accesibles es otro elemento importante. Sitios web, aplicaciones, portales, tiendas online, APIs, servidores y otros sistemas expuestos a Internet representan posibles puertas de entrada para ataques. Una entidad que no conoce sus activos digitales difícilmente puede protegerlos de forma eficaz. Este levantamiento es, por tanto, una etapa fundamental para reducir riesgos y crear prioridades de intervención.

Medidas mínimas y plazo de adaptación de 24 meses

Una de las principales diferencias frente al régimen anterior está en la definición de medidas mínimas. Antes, la lógica se basaba sobre todo en el análisis de riesgo realizado por la entidad, que después implementaba las medidas que consideraba adecuadas. Ese enfoque podía ser flexible, pero también generaba indefinición. Muchas organizaciones tenían dificultades para entender qué era suficiente, aceptable o proporcional.

El nuevo modelo es más prescriptivo. Tras la cualificación, las entidades reciben un conjunto de medidas mínimas que deben implementar en un plazo de 24 meses. Ese plazo no debe interpretarse como un aplazamiento del problema, sino como una oportunidad para estructurar una transformación interna. En dos años, una organización puede revisar políticas, formar equipos, reforzar accesos, documentar procesos, probar planes de respuesta a incidentes y mejorar la seguridad de sus sistemas.

Las medidas mínimas deben verse como una base de madurez. Para algunas entidades, representarán un punto de partida. Para otras, permitirán formalizar prácticas ya existentes. En cualquier caso, el objetivo es reducir el riesgo a un nivel aceptable y asegurar que los servicios esenciales y críticos mantengan un nivel elevado de ciberseguridad.

¿Por qué es tan relevante este nuevo régimen?

El aumento de los ataques informáticos, la sofisticación del cibercrimen, la actividad de agentes estatales, el activismo en el ciberespacio y la rápida evolución de tecnologías como la inteligencia artificial generativa convierten la ciberseguridad en una prioridad nacional. Las amenazas ya no se limitan a virus o mensajes sospechosos. Hoy incluyen robo de credenciales, explotación de vulnerabilidades, secuestro de datos, ataques a proveedores, campañas de phishing, manipulación de información e interrupción de servicios.

En un entorno digital interconectado, un fallo en una entidad puede afectar a clientes, socios, proveedores y usuarios finales. Un proveedor tecnológico vulnerable puede comprometer a varias empresas. Un portal público no disponible puede impedir que los ciudadanos accedan a servicios esenciales. Una tienda online insegura puede exponer datos de clientes y perjudicar la reputación de una marca. La ciberseguridad ha pasado, por tanto, a formar parte de la gestión del riesgo, la continuidad operativa y la confianza digital.

Para empresas con una presencia digital relevante, la seguridad no es solo una exigencia legal. También es un factor competitivo. Clientes, socios e inversores valoran a las organizaciones capaces de proteger datos, asegurar disponibilidad y responder a incidentes con transparencia. La confianza se ha convertido en un activo digital.

El papel del Marco Nacional de Referencia para la Ciberseguridad

El nuevo reglamento integra instrumentos estructurantes, entre ellos el Marco Nacional de Referencia para la Ciberseguridad. Este marco define buenas prácticas de ciberseguridad en Portugal y permite que las entidades tengan una referencia más clara sobre madurez, control y conformidad.

Una de las novedades es la posibilidad de que las entidades obtengan un certificado de conformidad con el Marco Nacional de Referencia para la Ciberseguridad o con el sello de madurez digital en la componente de ciberseguridad. Este tipo de certificación puede ofrecer mayor tranquilidad a la administración y a los responsables internos, al demostrar que la organización sigue prácticas reconocidas y cumple obligaciones relevantes.

La certificación no debe verse como un fin en sí misma. El valor real está en el proceso de mejora que la sostiene: identificación de riesgos, definición de responsabilidades, control de accesos, protección de activos, respuesta a incidentes, monitorización, formación y revisión continua. La ciberseguridad es un ciclo permanente, no un proyecto con una fecha de cierre definitiva.

Qué deben preparar las entidades antes del registro

Para iniciar el registro en MyCiber, es necesario asegurar medios de autenticación y documentación adecuados. La plataforma prevé el uso de la Chave Móvel Digital o del Cartão de Cidadão con lector de tarjetas. En los casos en que el representante legal no disponga del Sistema de Certificación de Atributos Profesionales, puede ser necesario presentar un comprobante de los poderes de representación. Cuando el registro lo realiza otra persona, interna o externa, debe existir un documento que pruebe el mandato o la atribución de poderes específicos.

Además de estos elementos formales, es recomendable que la entidad reúna previamente información sobre su estructura, actividad, sector, servicios prestados, activos digitales, contactos internos, responsables técnicos y posibles proveedores críticos. Cuanto más organizada esté la información, más sencillo será el proceso de registro y autoidentificación.

Esta preparación también puede revelar lagunas importantes. Muchas organizaciones descubren, en este tipo de ejercicio, que no tienen un inventario actualizado de sistemas, que los accesos no están debidamente documentados o que no existe un proceso formal para comunicar incidentes. Aunque estas deficiencias puedan parecer administrativas, tienen un impacto directo en la capacidad de respuesta ante ataques.

Cómo crear una cultura de ciberseguridad

El último paso indicado por la propia lógica de la plataforma es implementar una cultura de ciberseguridad que garantice el cumplimiento de las obligaciones jurídicas. Esta expresión es importante porque la protección digital no depende solo de la tecnología. También depende de personas, procesos, decisiones de gestión y hábitos diarios.

Una cultura de ciberseguridad empieza por la administración. Sin implicación del liderazgo, las iniciativas tienden a quedar limitadas al departamento técnico. Es necesario definir prioridades, asignar recursos, responsabilizar equipos e integrar la seguridad en las decisiones de negocio. La pregunta ha dejado de ser simplemente «¿tenemos antivirus?» y ha pasado a ser «¿podemos mantener la operación si ocurre un incidente grave?».

La formación de los colaboradores es igualmente decisiva. Gran parte de los incidentes empieza con errores humanos, credenciales comprometidas o mensajes fraudulentos. La sensibilización debe ser práctica, regular y adaptada a las funciones de cada equipo. Un equipo financiero tiene riesgos diferentes a los de un equipo de atención al cliente, marketing o desarrollo tecnológico.

También es esencial revisar proveedores. Muchas empresas dependen de plataformas externas para alojamiento, pagos, comunicación, software de gestión, automatización comercial o atención al cliente. La seguridad de la organización depende, en parte, de la seguridad de esos socios. Contratos, accesos, integraciones y responsabilidades deben revisarse con atención.

Impacto para empresas con tiendas online y servicios digitales

Las empresas que operan tiendas online, plataformas de reservas, portales de cliente, aplicaciones o servicios digitales deben prestar especial atención a este nuevo contexto. Incluso cuando no estén directamente incluidas como entidades esenciales o importantes, pueden formar parte de cadenas de suministro de organizaciones incluidas. Esto significa que la exigencia de ciberseguridad también puede llegar por vía contractual, comercial o reputacional.

En un proyecto de Shopify, por ejemplo, la seguridad debe considerarse desde la arquitectura de la tienda hasta la gestión de accesos, las aplicaciones instaladas, las integraciones con sistemas externos, los medios de pago y el tratamiento de datos personales. Una tienda online puede ofrecer una excelente experiencia de compra, pero si no cuenta con procesos seguros, políticas claras y un mantenimiento adecuado, queda expuesta a riesgos que afectan a las ventas y a la confianza.

Lo mismo se aplica a sitios institucionales y proyectos de generación de contactos. El SEO técnico, el rendimiento y la seguridad van muchas veces de la mano. Un sitio lento, desactualizado, vulnerable o mal configurado perjudica la experiencia del usuario y puede afectar a la visibilidad orgánica. La seguridad no es un detalle escondido en el servidor; forma parte de la calidad global de la presencia digital.

De la obligación legal a la oportunidad de mejora

El registro en MyCiber puede parecer, a primera vista, otra obligación legal. Sin embargo, las organizaciones deben aprovechar este momento para mejorar procesos internos y ganar madurez. La necesidad de nombrar responsables, listar activos, notificar incidentes e implementar medidas mínimas crea una oportunidad para organizar lo que muchas veces está disperso.

Una buena respuesta pasa por transformar la obligación en un plan de acción. Primero, confirmar si la entidad está incluida. Después, preparar el registro y la documentación. A continuación, identificar responsabilidades internas. Por último, mapear medidas ya existentes, detectar lagunas y definir prioridades para los 24 meses de adaptación.

Este enfoque evita decisiones reactivas. En ciberseguridad, actuar solo después del incidente casi siempre resulta más caro. El impacto puede incluir indisponibilidad de sistemas, pérdida de datos, interrupciones de ingresos, daños reputacionales, costes jurídicos y pérdida de confianza. La prevención, por el contrario, permite reducir la exposición, mejorar la respuesta y demostrar diligencia.

Sanciones y responsabilidad de las entidades

El incumplimiento de las obligaciones previstas en el nuevo Régimen Jurídico de la Ciberseguridad, incluida la obligación de registro, puede dar lugar a sanciones. Los importes de las multas dependen de la cualificación de la entidad y de la gravedad de la infracción. Esta dimensión sancionadora refuerza la necesidad de tratar el tema con seriedad, pero no debe ser el único motivo para actuar.

La responsabilidad digital de las organizaciones va más allá de la multa. Cuando una entidad presta servicios críticos, gestiona datos sensibles o mantiene sistemas accesibles al público, asume una responsabilidad ante clientes, ciudadanos, socios y colaboradores. Cumplir la ley es lo mínimo; construir resiliencia es el objetivo más importante.

Para administraciones y equipos directivos, la ciberseguridad debe estar presente en las decisiones estratégicas. Inversiones en tecnología, contratación de proveedores, lanzamiento de plataformas digitales, campañas de marketing, integraciones con terceros y recogida de datos deben evaluarse también desde la perspectiva del riesgo digital.

¿Qué hacer ahora?

Las entidades potencialmente incluidas deben empezar por analizar su encuadramiento en el régimen y utilizar el simulador disponible en MyCiber como apoyo indicativo. Después, deben reunir documentación, confirmar quién puede realizar el registro, identificar representantes y preparar información sobre la actividad y los activos digitales. A partir de ahí, el registro debe realizarse dentro del plazo aplicable.

Tras el registro, la organización debe seguir las notificaciones, analizar el Proyecto de Acto de Cualificación y prepararse para cumplir las obligaciones derivadas del Acto de Cualificación. El nombramiento del Responsable de Ciberseguridad y del Punto de Contacto Permanente debe hacerse con criterio, ya que estos roles serán esenciales para la relación con las autoridades y para la gestión interna del proceso.

En paralelo, es prudente iniciar un diagnóstico de ciberseguridad. Ese diagnóstico puede incluir inventario de activos, revisión de accesos, evaluación de proveedores, análisis de vulnerabilidades, políticas de contraseñas, copias de seguridad, plan de respuesta a incidentes, formación de colaboradores y revisión de plataformas digitales. Cuanto antes se inicie esta evaluación, más controlado será el camino de adaptación.

La ciberseguridad como parte de la estrategia digital

El lanzamiento de MyCiber confirma una tendencia clara: la presencia digital de las organizaciones exige gobernanza, control y responsabilidad. Ya no basta con tener un sitio web, una tienda online, una plataforma de atención o un sistema interno. Es necesario garantizar que esos activos sean conocidos, protegidos, monitorizados y gestionados a lo largo del tiempo.

Para las empresas, esto significa acercar a los equipos de gestión, tecnología, marketing, operaciones y jurídico. La seguridad debe integrarse en la planificación de los proyectos digitales desde el inicio, y no añadirse solo al final. Esta lógica reduce costes, evita retrabajo y mejora la calidad de las soluciones.

La ciberseguridad también tiene una dimensión de comunicación. En caso de incidente, la forma en que la organización comunica puede influir en la confianza del mercado. La transparencia, la rapidez y la claridad son fundamentales. Por ello, los planes de respuesta deben incluir no solo medidas técnicas, sino también procedimientos de comunicación interna y externa.

La plataforma MyCiber inaugura una fase más exigente para la ciberseguridad en Portugal. El plazo de 60 días hábiles para el registro y la autoidentificación debe verse como el inicio de un recorrido de conformidad, madurez y resiliencia. Para muchas entidades, los próximos meses serán decisivos para entender obligaciones, estructurar responsabilidades y preparar la implementación de medidas mínimas en el plazo de 24 meses.

El nuevo Régimen Jurídico de la Ciberseguridad busca responder a un escenario de amenazas cada vez más complejo. Al exigir registro, cualificación, responsables, comunicación de incidentes y medidas mínimas, crea una base más robusta para proteger servicios esenciales, organizaciones públicas, empresas privadas y ciudadanos. La digitalización ha traído eficiencia, escala y nuevas oportunidades, pero también ha aumentado la exposición al riesgo. La respuesta debe ser proporcional, organizada y continua.

BYDAS ayuda a marcas y empresas a construir presencia digital con visión estratégica, rendimiento y seguridad. En proyectos de tiendas online, desarrollo web y consultoría digital, la preparación técnica es esencial para crecer con confianza en un mercado cada vez más regulado.