Entrou em vigor, no passado dia 23 de junho de 2026, o regulamento de execução do Regime Jurídico da Cibersegurança (RJC), aplicável às entidades essenciais, importantes e públicas relevantes, qualificadas nos termos do RJC, em função de critérios como a importância, a dimensão e a tipologia da entidade, sob supervisão do Centro Nacional de Cibersegurança (CNCS).
O RJC estabelece o quadro de prevenção e gestão dos riscos de cibersegurança, bem como de tratamento de incidentes e o regime sancionatório aplicável. Com a publicação do regulamento, iniciou-se também o prazo de 24 meses para a aplicação das medidas de cibersegurança e para a obrigatoriedade de comunicação do Relatório Anual (RA) pelas entidades essenciais.
MyCiber: plataforma central de registo, qualificação e comunicações
A plataforma MyCiber, anunciada como plenamente operacional pelo CNCS, centraliza o processo de identificação e registo das entidades essenciais, importantes e públicas relevantes, bem como outros aspetos do cumprimento do RJC.
É igualmente através da MyCiber que se processam:
- o dever de registo das entidades;
- o processo de qualificação das organizações;
- a comunicação do responsável de cibersegurança e do ponto de contacto permanente;
- o envio dos relatórios anuais;
- a notificação de incidentes de cibersegurança e as notificações de incidentes e de “quase incidentes” por qualquer cidadão ou entidade.
Principais aspetos regulamentados
O regulamento desenvolve várias matérias previstas no RJC, designadamente:
- as regras de funcionamento da plataforma eletrónica, incluindo o procedimento de autoidentificação e qualificação das entidades;
- as regras das notificações obrigatórias de incidentes e das notificações voluntárias de informações pertinentes;
- as regras relativas às comunicações entre entidades e o CNCS ou a autoridade setorial, incluindo o RA, o Responsável de Cibersegurança e o Ponto de Contacto Permanente;
- as regras relativas à gestão dos riscos residuais;
- o conteúdo dos quatro anexos do regulamento, incluindo o Quadro Nacional de Referência para a Cibersegurança, a Metodologia da Matriz de Risco, as medidas mínimas para entidades essenciais e importantes e as medidas aplicáveis a entidades públicas relevantes.
Prazos operacionais a reter
Dois prazos merecem particular atenção:
- a notificação de incidentes significativos deve ocorrer até 24 horas após o conhecimento;
- o envio do RA pelas entidades essenciais e a implementação das Medidas de Cibersegurança para entidades essenciais, importantes e públicas relevantes devem ocorrer 24 meses após a publicação do regulamento.
Quanto ao registo na plataforma, os prazos indicados são os seguintes:
- 30 dias úteis para entidades que iniciem atividade após a entrada em vigor do RJC;
- 60 dias úteis para entidades já em atividade.
Adicionalmente, a comunicação do responsável de cibersegurança na plataforma MyCiber deve ser efetuada no prazo de 20 dias úteis após a notificação de qualificação.
Registo e autenticação na MyCiber
Uma entidade pode testar o seu enquadramento no âmbito do RJC através do simulador disponibilizado para esse efeito.
Quando exista associação ao Sistema de Certificação de Atributos Profissionais (SCAP), surgirá uma listagem das entidades associadas, permitindo selecionar a entidade a registar. Se não existir SCAP, ou se a entidade em causa não estiver associada ao SCAP relevante, o preenchimento deverá ser feito em modo manual. Mesmo existindo SCAP, a identificação automática abrange o NIF/NIPC e o nome da entidade, sendo os restantes elementos objeto de preenchimento manual.
Qualificação da entidade e designação de funções
Após o cumprimento do dever de registo e a notificação da qualificação final com o Ato de Qualificação, a entidade deve comunicar ao CNCS — ou, quando aplicável, à Autoridade Nacional Setorial de Cibersegurança Competente — a informação relativa ao Responsável de Cibersegurança e ao Ponto de Contacto Permanente.
Ao comunicar essa informação, o utilizador que realizou o registo deve associar utilizadores na MyCiber a essas funções, identificando-os pelo respetivo NIF ou número de passaporte.
Relatório anual (RA): conteúdo e calendário
O responsável de cibersegurança deve assegurar o cumprimento das obrigações referentes à elaboração do RA qualificado como uma das medidas de cibersegurança.
As entidades essenciais e importantes devem elaborar e manter um relatório anual com, entre outros elementos:
- descrição sumária das principais atividades desenvolvidas em matéria de segurança das redes e dos serviços de informação;
- estatística trimestral de todos os incidentes, com número e tipo dos incidentes;
- EXECUÇÃO DO REGIME JURÍDICO DA CIBERSEGURANÇA E PLATAFORMA MYCIBER análise agregada dos incidentes com impacto significativo, incluindo informação sobre o número de utilizadores afetados, duração, distribuição geográfica, eventual impacto transfronteiriço, problemas identificados, medidas implementadas e recomendações de melhoria.
Quanto ao calendário de submissão:
- o primeiro RA é submetido até ao último dia útil de janeiro do ano civil seguinte ao primeiro ano civil de atividade, quando esta tenha tido início no primeiro semestre;
- se a atividade tiver tido início no segundo semestre, o primeiro relatório é submetido até ao último dia útil de janeiro do segundo ano civil seguinte ao primeiro ano civil de atividade;
- os RAs subsequentes são submetidos até ao último dia útil de janeiro do ano civil seguinte àquele a que respeitam.
As entidades essenciais remetem o RA à autoridade de cibersegurança competente, devidamente assinado pelo responsável de cibersegurança. As entidades importantes comunicam o relatório ao CNCS sempre que solicitado. Os modelos de apresentação do relatório são adotados pelo CNCS, ouvidas as autoridades nacionais setoriais de cibersegurança.
Medidas mínimas e certificação
O regulamento estabelece níveis de conformidade —básico, substancial e elevado — associados às medidas mínimas que as entidades devem implementar.
O CNCS define por regulamento as medidas de cibersegurança mínimas e específica e os níveis de conformidade a adotar pelas entidades essenciais e importantes, tendo em conta o setor de atividade, a dimensão da entidade e a matriz de risco definida.
As medidas mínimas não prejudicam a adoção de outras medidas necessárias e proporcionais, em resultado da análise e gestão dos riscos residuais de cibersegurança. Quanto às entidades públicas relevantes, estas devem adotar as medidas técnicas, operacionais e organizativas adequadas determinadas pelo CNCS, em função do grupo a que pertençam.
As entidades essenciais e importantes podem beneficiar de uma presunção de cumprimento quando apresentem à autoridade de cibersegurança competente um certificado emitido por organismo de certificação acreditado. Essa presunção abrange as medidas de cibersegurança do RJC e as Medidas de Cibersegurança Mínimas do novo regulamento.
Incumprimento e exposição sancionatória
O incumprimento dos deveres relativos ao RA constitui contraordenação muito grave:
- EXECUÇÃO DO REGIME JURÍDICO DA CIBERSEGURANÇA E PLATAFORMA MYCIBER para entidade essencial que seja pessoa coletiva, a coima varia entre €2.000 e €10.000.000 ou 2% do volume de negócios anual a nível mundial no exercício financeiro anterior, consoante o montante mais elevado;
- para entidade importante que seja pessoa coletiva, a coima varia entre €1.250 e €7.000.000, ou até um montante máximo não inferior a 1,4% do volume de negócios anual a nível mundial no exercício financeiro anterior, consoante o montante mais elevado;
- quando praticada por pessoa singular, a coima situa-se entre €350 e €200.000.
Em suma, para organizações potencialmente abrangidas pelo RJC, o quadro agora em vigor exige atenção imediata a três planos distintos: (i) enquadramento e qualificação da entidade, (ii) cumprimento dos deveres de registo e comunicação através da MyCiber e (iii) preparação atempada das medidas de cibersegurança e do reporte anual.
A operacionalização da MyCiber torna especialmente relevante a revisão dos fluxos internos de governance, designação de responsáveis e capacidade de resposta a incidentes, tendo em conta os prazos de notificação e as obrigações formais já em curso.
Aceda ao artigo completo aqui.