MyCiber: entidades têm 60 dias úteis para se registarem no novo regime de cibersegurança

A entrada em funcionamento da plataforma MyCiber marca uma nova etapa para a cibersegurança em Portugal. As entidades abrangidas pelo novo Regime Jurídico da Cibersegurança têm agora um prazo de 60 dias úteis para se registarem, procederem à autoidentificação e iniciarem um processo formal de qualificação perante as autoridades competentes. Mais do que uma obrigação administrativa, este passo representa uma mudança estrutural na forma como organizações públicas e privadas devem encarar a proteção dos seus sistemas, dados, serviços digitais e ativos críticos.

Segundo a informação comunicada peloCentro Nacional de Cibersegurança, a plataforma MyCiber, disponível em myciber.gov.pt, passa a ser o principal canal de comunicação entre as entidades abrangidas e as autoridades de cibersegurança competentes. Através desta plataforma, as organizações devem cumprir deveres de registo, indicar responsáveis, submeter informação obrigatória, comunicar incidentes e acompanhar o seu enquadramento no regime. Para muitas entidades, este será o primeiro contacto formal com obrigações de cibersegurança definidas por lei de forma mais prescritiva.

O novo quadro surge num contexto em que a dependência digital das empresas, da Administração Pública e dos serviços essenciais é cada vez maior. Plataformas de e-commerce, sistemas de faturação, infraestruturas de comunicações, serviços financeiros, unidades de saúde, operadores logísticos, produtores alimentares, entidades de investigação e prestadores de serviços digitais são apenas alguns exemplos de atividades que dependem de sistemas tecnológicos fiáveis. Quando esses sistemas falham, o impacto pode ultrapassar a dimensão técnica e afetar a continuidade de negócio, a confiança dos cidadãos e a estabilidade de serviços essenciais. Pelo que é, também missão da BYDAS, envolver-se nestes assuntos mesmo não sendo um prestador de serviços nesta área. Mas é imperativo manter a nossa base de clientes em compliance para esta nova realidade, não só pelos aspetos legais, mas também pelo que é mais importante - garantir que todos os sistemas estão seguros e que quem os usa não corre o risco de ter os seus dados roubados.

O que é a plataforma MyCiber?

A MyCiber é a plataforma eletrónica prevista no Decreto-Lei n.º 125/2025, criada para permitir que entidades essenciais, entidades importantes e entidades públicas relevantes cumpram o seu dever de registo no âmbito do Regime Jurídico da Cibersegurança. É disponibilizada pelo Centro Nacional de Cibersegurança, enquanto Autoridade Nacional de Cibersegurança, e serve para gerir informação relevante sobre obrigações legais, notificações de incidentes e comunicação com as autoridades competentes.

Na prática, a plataforma centraliza dados sobre as entidades reguladas, os seus responsáveis, os pontos de contacto permanentes, os relatórios anuais, a lista de ativos publicamente acessíveis e eventuais notificações de incidentes. Esta concentração de informação permite uma visão mais clara sobre o nível de risco, a conformidade e as medidas de cibersegurança aplicáveis a cada organização.

A MyCiber não deve ser vista apenas como um formulário digital. O seu objetivo é criar uma base operacional para acompanhar o cumprimento das obrigações previstas no novo regime. Ao reunir informação de entidades de vários setores, a plataforma contribui para uma leitura mais dinâmica do ecossistema nacional de cibersegurança e para uma articulação mais eficaz entre organizações e autoridades.

Quem tem de se registar?

O registo aplica-se a entidades essenciais, entidades importantes e entidades públicas relevantes. A abrangência depende da natureza da entidade, da dimensão, do setor de atividade e do nível de risco associado aos serviços prestados. Entre os setores referidos no âmbito do regime estão água potável, águas residuais, banca, energia, espaço, gestão de resíduos, serviços de tecnologias da informação e comunicação entre empresas, indústria transformadora, infraestruturas digitais, infraestruturas do mercado financeiro, investigação, serviços digitais, produção e distribuição de produtos químicos, produção e distribuição alimentar, saúde, serviços postais e de estafetas e transportes.

A Administração Pública também está contemplada, sempre que se enquadre nas categorias previstas. Esta abrangência é particularmente relevante porque muitos serviços públicos dependem de sistemas digitais para assegurar atendimento, gestão documental, pagamentos, comunicação com cidadãos e prestação de serviços essenciais.

De acordo com a informação divulgada, espera-se que cerca de seis mil entidades fiquem abrangidas pelo novo regime, um aumento muito significativo face às cerca de 450 entidades abrangidas pelo enquadramento anterior. Este crescimento demonstra que a cibersegurança deixou de ser uma preocupação restrita a operadores muito específicos e passou a integrar a realidade de um número alargado de organizações.

O prazo dos 60 dias úteis e o que ele significa

As entidades que já se encontrem em atividade devem realizar o registo no prazo de 60 dias após a disponibilização da plataforma MyCiber. Para entidades que iniciem atividade após a entrada em vigor do Decreto-Lei n.º 125/2025, o prazo referido é de 30 dias após o início da atividade. A obrigação não termina no momento do registo: as entidades devem manter a informação disponibilizada devidamente atualizada.

Este prazo de 60 dias úteis deve ser encarado como uma janela crítica para organizar informação interna, confirmar poderes de representação, identificar responsáveis e perceber se a entidade se enquadra no regime. A pressa de última hora pode levar a erros, omissões ou dificuldades na submissão de documentos. Por isso, as organizações devem iniciar o processo com antecedência e tratar o registo como uma etapa estratégica.

Antes do registo, as entidades podem recorrer ao simulador disponível na plataforma para testar o seu possível enquadramento. O resultado é indicativo e depende do rigor da informação fornecida. Não vincula o Centro Nacional de Cibersegurança nem dispensa o registo obrigatório quando a entidade esteja abrangida, mas pode ajudar a clarificar dúvidas iniciais e a preparar a documentação necessária.

Registo, autoidentificação e qualificação: três conceitos essenciais

O processo previsto na MyCiber envolve mais do que a criação de uma conta. Em primeiro lugar, a entidade deve registar-se na plataforma. Depois, deve proceder à autoidentificação, declarando informação que permita avaliar se está abrangida pelo regime e em que categoria se pode enquadrar. Por fim, as autoridades competentes analisam a informação e emitem um Projeto de Ato de Qualificação.

Esse projeto pode concluir que a entidade não está abrangida ou que está abrangida, indicando a respetiva qualificação. Caso a entidade discorde ou pretenda corrigir informação, dispõe de um período de audiência de interessados, referido como 10 dias úteis após o envio da notificação. Se não existir pronúncia, a informação é confirmada e a entidade recebe o Ato de Qualificação. A partir desse momento, as obrigações decorrentes do Regime Jurídico da Cibersegurança passam a aplicar-se formalmente.

A qualificação é determinante porque define o grau de exigência aplicável. Entidades essenciais, entidades importantes e entidades públicas relevantes podem ficar sujeitas a conjuntos de medidas mínimas diferentes, ajustados ao risco, à dimensão e ao setor de atividade. Esta lógica procura evitar uma abordagem genérica e criar critérios mais previsíveis para organizações e autoridades.

Que informação deve ser comunicada através da MyCiber?

Após a qualificação, as entidades abrangidas devem utilizar a plataforma para comunicar várias obrigações. Entre elas estão a nomeação do Responsável de Cibersegurança, a nomeação do Ponto de Contacto Permanente, o envio do relatório anual, o envio da lista de ativos publicamente acessíveis e a notificação de incidentes.

O Responsável de Cibersegurança assume um papel central na articulação interna e externa da organização. Deve conhecer os riscos, acompanhar a implementação de medidas, promover boas práticas e assegurar a ligação com as obrigações legais. Já o Ponto de Contacto Permanente garante que existe uma via de comunicação operacional com as autoridades competentes, essencial em caso de incidente ou necessidade de resposta rápida.

A lista de ativos publicamente acessíveis é outro elemento importante. Sites, aplicações, portais, lojas online, APIs, servidores e outros sistemas expostos à Internet representam portas de entrada potenciais para ataques. Uma entidade que não conhece os seus ativos digitais dificilmente consegue protegê-los de forma eficaz. Este levantamento é, por isso, uma etapa fundamental para reduzir riscos e criar prioridades de intervenção.

Medidas mínimas e prazo de adaptação de 24 meses

Uma das principais diferenças face ao regime anterior está na definição de medidas mínimas. Antes, a lógica assentava sobretudo na análise de risco feita pela entidade, que depois implementava as medidas consideradas adequadas. Essa abordagem podia ser flexível, mas também criava indefinição. Muitas organizações tinham dificuldade em perceber o que era suficiente, aceitável ou proporcional.

O novo modelo é mais prescritivo. Após a qualificação, as entidades recebem um conjunto de medidas mínimas que devem implementar no prazo de 24 meses. Esse prazo não deve ser interpretado como um adiamento do problema, mas como uma oportunidade para estruturar uma transformação interna. Em dois anos, uma organização pode rever políticas, formar equipas, reforçar acessos, documentar processos, testar planos de resposta a incidentes e melhorar a segurança dos seus sistemas.

As medidas mínimas devem ser vistas como uma base de maturidade. Para algumas entidades, representarão um ponto de partida. Para outras, permitirão formalizar práticas já existentes. Em qualquer caso, o objetivo é reduzir o risco para um nível aceitável e assegurar que serviços essenciais e críticos mantêm um nível elevado de cibersegurança.

Porque é que este novo regime é tão relevante?

O aumento dos ataques informáticos, a sofisticação do cibercrime, a atividade de agentes estatais, o ativismo no ciberespaço e a rápida evolução de tecnologias como a inteligência artificial generativa tornam a cibersegurança uma prioridade nacional. As ameaças já não se limitam a vírus ou mensagens suspeitas. Hoje, incluem roubo de credenciais, exploração de vulnerabilidades, sequestro de dados, ataques a fornecedores, campanhas de phishing, manipulação de informação e interrupção de serviços.

Num ambiente digital interligado, uma falha numa entidade pode afetar clientes, parceiros, fornecedores e utilizadores finais. Um fornecedor tecnológico vulnerável pode comprometer várias empresas. Um portal público indisponível pode impedir cidadãos de aceder a serviços essenciais. Uma loja online insegura pode expor dados de clientes e prejudicar a reputação de uma marca. A cibersegurança passou, por isso, a fazer parte da gestão de risco, da continuidade operacional e da confiança digital.

Para empresas com presença digital relevante, a segurança não é apenas uma exigência legal. É também um fator competitivo. Clientes, parceiros e investidores valorizam organizações capazes de proteger dados, assegurar disponibilidade e responder a incidentes com transparência. A confiança tornou-se um ativo digital.

O papel do Quadro Nacional de Referência para a Cibersegurança

O novo regulamento integra instrumentos estruturantes, entre os quais o Quadro Nacional de Referência para a Cibersegurança. Este quadro define boas práticas de cibersegurança em Portugal e permite que as entidades tenham uma referência mais clara sobre maturidade, controlo e conformidade.

Uma das novidades é a possibilidade de as entidades obterem um certificado de conformidade com o Quadro Nacional de Referência para a Cibersegurança ou com o selo de maturidade digital na componente de cibersegurança. Este tipo de certificação pode oferecer maior conforto à administração e aos responsáveis internos, ao demonstrar que a organização segue práticas reconhecidas e cumpre obrigações relevantes.

A certificação não deve ser vista como um fim em si mesma. O valor real está no processo de melhoria que a suporta: identificação de riscos, definição de responsabilidades, controlo de acessos, proteção de ativos, resposta a incidentes, monitorização, formação e revisão contínua. A cibersegurança é um ciclo permanente, não um projeto com data de fecho definitiva.

O que as entidades devem preparar antes do registo

Para iniciar o registo na MyCiber, é necessário assegurar meios de autenticação e documentação adequada. A plataforma prevê o uso de Chave Móvel Digital ou Cartão de Cidadão com leitor de cartões. Nos casos em que o representante legal não tenha Sistema de Certificação de Atributos Profissionais, pode ser necessário apresentar comprovativo dos poderes de representação. Quando o registo é feito por outra pessoa, interna ou externa, deve existir documento comprovativo de mandato ou atribuição de poderes específicos.

Além destes elementos formais, é recomendável que a entidade reúna previamente informação sobre a sua estrutura, atividade, setor, serviços prestados, ativos digitais, contactos internos, responsáveis técnicos e eventuais fornecedores críticos. Quanto mais organizada estiver a informação, mais simples será o processo de registo e autoidentificação.

Esta preparação pode também revelar lacunas importantes. Muitas organizações descobrem, neste tipo de exercício, que não têm inventário atualizado de sistemas, que os acessos não estão devidamente documentados ou que não existe um processo formal para comunicar incidentes. Embora estas falhas possam parecer administrativas, têm impacto direto na capacidade de resposta a ataques.

Como criar uma cultura de cibersegurança

O último passo indicado pela própria lógica da plataforma é implementar uma cultura de cibersegurança que garanta o cumprimento das obrigações jurídicas. Esta expressão é importante porque a proteção digital não depende apenas de tecnologia. Depende também de pessoas, processos, decisões de gestão e hábitos diários.

Uma cultura de cibersegurança começa pela administração. Sem envolvimento da liderança, as iniciativas tendem a ficar limitadas ao departamento técnico. É necessário definir prioridades, alocar recursos, responsabilizar equipas e integrar a segurança nas decisões de negócio. A pergunta deixou de ser apenas «temos antivírus?» e passou a ser «conseguimos manter a operação se ocorrer um incidente grave?».

A formação dos colaboradores é igualmente decisiva. Grande parte dos incidentes começa com erros humanos, credenciais comprometidas ou mensagens fraudulentas. A sensibilização deve ser prática, regular e adaptada às funções de cada equipa. Uma equipa financeira tem riscos diferentes de uma equipa de atendimento, de marketing ou de desenvolvimento tecnológico.

Também é essencial rever fornecedores. Muitas empresas dependem de plataformas externas para alojamento, pagamentos, comunicação, software de gestão, automação comercial ou atendimento ao cliente. A segurança da organização depende, em parte, da segurança desses parceiros. Contratos, acessos, integrações e responsabilidades devem ser revistos com atenção.

Impacto para empresas com lojas online e serviços digitais

As empresas que operam lojas online, plataformas de reservas, portais de cliente, aplicações ou serviços digitais devem prestar especial atenção a este novo contexto. Mesmo quando não estejam diretamente abrangidas como entidades essenciais ou importantes, podem integrar cadeias de fornecimento de organizações abrangidas. Isso significa que a exigência de cibersegurança pode chegar também por via contratual, comercial ou reputacional.

Num projeto de Shopify, por exemplo, a segurança deve ser considerada desde a arquitetura da loja até à gestão de acessos, aplicações instaladas, integrações com sistemas externos, meios de pagamento e tratamento de dados pessoais. Uma loja online pode ter uma excelente experiência de compra, mas se não tiver processos seguros, políticas claras e manutenção adequada, fica exposta a riscos que afetam vendas e confiança.

O mesmo se aplica a sites institucionais e projetos de geração de contactos. O SEO técnico, a performance e a segurança caminham muitas vezes em conjunto. Um site lento, desatualizado, vulnerável ou mal configurado prejudica a experiência do utilizador e pode afetar a visibilidade orgânica. A segurança não é um detalhe escondido no servidor; faz parte da qualidade global da presença digital.

Da obrigação legal à oportunidade de melhoria

O registo na MyCiber pode parecer, à primeira vista, mais uma obrigação legal. No entanto, as organizações devem aproveitar este momento para melhorar processos internos e ganhar maturidade. A necessidade de nomear responsáveis, listar ativos, notificar incidentes e implementar medidas mínimas cria uma oportunidade para organizar o que muitas vezes está disperso.

Uma boa resposta passa por transformar a obrigação em plano de ação. Primeiro, confirmar se a entidade está abrangida. Depois, preparar o registo e a documentação. Em seguida, identificar responsabilidades internas. Por fim, mapear medidas já existentes, perceber lacunas e definir prioridades para os 24 meses de adaptação.

Esta abordagem evita decisões reativas. Em cibersegurança, agir apenas depois do incidente é quase sempre mais caro. O impacto pode incluir indisponibilidade de sistemas, perda de dados, quebras de receita, danos reputacionais, custos jurídicos e perda de confiança. A prevenção, por outro lado, permite reduzir exposição, melhorar resposta e demonstrar diligência.

Sanções e responsabilidade das entidades

O incumprimento das obrigações previstas no novo Regime Jurídico da Cibersegurança, incluindo a obrigação de registo, pode resultar em sanções. Os valores das coimas dependem da qualificação da entidade e da gravidade da contraordenação. Esta dimensão sancionatória reforça a necessidade de tratar o tema com seriedade, mas não deve ser o único motivo para agir.

A responsabilidade digital das organizações vai além da multa. Quando uma entidade presta serviços críticos, gere dados sensíveis ou mantém sistemas acessíveis ao público, assume uma responsabilidade perante clientes, cidadãos, parceiros e colaboradores. Cumprir a lei é o mínimo; construir resiliência é o objetivo mais importante.

Para administrações e equipas de direção, a cibersegurança deve estar presente nas decisões estratégicas. Investimentos em tecnologia, contratação de fornecedores, lançamento de plataformas digitais, campanhas de marketing, integrações com terceiros e recolha de dados devem ser avaliados também sob a perspetiva do risco digital.

O que fazer agora?

As entidades potencialmente abrangidas devem começar por analisar o seu enquadramento no regime e utilizar o simulador disponível na MyCiber como apoio indicativo. Depois, devem reunir documentação, confirmar quem pode efetuar o registo, identificar representantes e preparar informação sobre a atividade e os ativos digitais. A partir daí, o registo deve ser feito dentro do prazo aplicável.

Após o registo, a organização deve acompanhar as notificações, analisar o Projeto de Ato de Qualificação e preparar-se para cumprir as obrigações decorrentes do Ato de Qualificação. A nomeação do Responsável de Cibersegurança e do Ponto de Contacto Permanente deve ser feita com critério, pois estes papéis serão essenciais para a relação com as autoridades e para a gestão interna do processo.

Em paralelo, é prudente iniciar um diagnóstico de cibersegurança. Esse diagnóstico pode incluir inventário de ativos, revisão de acessos, avaliação de fornecedores, análise de vulnerabilidades, políticas de palavra-passe, cópias de segurança, plano de resposta a incidentes, formação de colaboradores e revisão de plataformas digitais. Quanto mais cedo esta avaliação for iniciada, mais controlado será o percurso de adaptação.

A cibersegurança como parte da estratégia digital

O lançamento da MyCiber confirma uma tendência clara: a presença digital das organizações exige governação, controlo e responsabilidade. Já não basta ter um site, uma loja online, uma plataforma de atendimento ou um sistema interno. É necessário garantir que esses ativos são conhecidos, protegidos, monitorizados e geridos ao longo do tempo.

Para as empresas, isto significa aproximar as equipas de gestão, tecnologia, marketing, operações e jurídico. A segurança deve ser integrada no planeamento dos projetos digitais desde o início, e não acrescentada apenas no final. Esta lógica reduz custos, evita retrabalho e melhora a qualidade das soluções.

A cibersegurança também tem uma dimensão de comunicação. Em caso de incidente, a forma como a organização comunica pode influenciar a confiança do mercado. A transparência, a rapidez e a clareza são fundamentais. Por isso, os planos de resposta devem incluir não apenas medidas técnicas, mas também procedimentos de comunicação interna e externa.

Conclusão

A plataforma MyCiber inaugura uma fase mais exigente para a cibersegurança em Portugal. O prazo de 60 dias úteis para registo e autoidentificação deve ser encarado como o início de um percurso de conformidade, maturidade e resiliência. Para muitas entidades, os próximos meses serão decisivos para perceber obrigações, estruturar responsabilidades e preparar a implementação de medidas mínimas no prazo de 24 meses.

O novo Regime Jurídico da Cibersegurança procura responder a um cenário de ameaças cada vez mais complexo. Ao exigir registo, qualificação, responsáveis, comunicação de incidentes e medidas mínimas, cria uma base mais robusta para proteger serviços essenciais, organizações públicas, empresas privadas e cidadãos. A digitalização trouxe eficiência, escala e novas oportunidades, mas também aumentou a exposição ao risco. A resposta deve ser proporcional, organizada e contínua.

A BYDAS ajuda marcas e empresas a construir presença digital com visão estratégica, desempenho e segurança. Em projetos de lojas online, desenvolvimento web e consultoria digital, a preparação técnica é essencial para crescer com confiança num mercado cada vez mais regulado.