Registo na MyCiber: a autoidentificação no CNCS

Quem tem de se registar

O art. 8.º, n.º 1, RJC obriga todas as entidades previstas no art. 3.º a identificar-se na plataforma eletrónica do CNCS: empresas dos anexos I e II a partir de média dimensão, os casos especiais independentes da dimensão, a Administração Pública, as instituições de ensino superior e as entidades críticas. A autoidentificação é o ponto de partida: só com ela o CNCS decide se a entidade é essencial, importante ou pública relevante.

A plataforma chama-se MyCiber e está disponível em myciber.gov.pt, em português e em inglês (art. 5.º, n.º 1, do Regulamento n.º 756/2026). Serve também para as comunicações seguintes: responsável de cibersegurança, ponto de contacto permanente, notificação de incidentes e relatório anual. Cada entidade tem uma única conta, mesmo que atue em vários setores (art. 6.º e 8.º, n.º 3, do Regulamento).

Prazos

A plataforma está ativa desde a entrada em vigor do Regulamento n.º 756/2026, a 23 de junho de 2026. O decreto-lei fala em «60 dias»; o CNCS contou o prazo em dias úteis e comunicou o fim a 15 de setembro de 2026. Segundo o CNCS, apenas cerca de metade das entidades estimadas se tinha registado poucos dias antes do fim do prazo. Quem ainda não o fez continua obrigado a fazê-lo.

Como funciona o procedimento

O que vem a seguir ao registo

A decisão de qualificação desencadeia novos prazos que já se aplicam, ao contrário de grande parte das medidas técnicas, adiadas para 2028:

• Responsável de cibersegurança: comunicação no prazo de 20 dias úteis. Para entidades já em atividade, o prazo conta a partir da notificação da qualificação (art. 31.º RJC; art. 14.º do Regulamento). Mais detalhes na página sobre o órgão de gestão.
• Ponto de contacto permanente: pelo menos um elemento ou equipa com disponibilidade 24 horas por dia e sete dias por semana durante os períodos de ativação, com contactos principais e alternativos, comunicado também em 20 dias úteis (art. 32.º RJC; art. 15.º do Regulamento).
• Lista de ativos acessíveis pela Internet: primeira entrega até 31 de janeiro do ano seguinte à notificação da qualificação, ou em seis meses se esse prazo terminar antes; depois, anualmente (art. 32.º do Regulamento). A lista inclui, por exemplo, serviço suportado, software e versão, endereço IP, FQDN e dependências.
• Notificação de incidentes: a partir da qualificação, os incidentes significativos são notificados na MyCiber. Os prazos estão explicados em notificação de incidentes.

As notificações do CNCS chegam à área reservada da entidade, com aviso por correio eletrónico. Consideram-se feitas na data da consulta ou, se esta não ocorrer, no terceiro dia após a receção (art. 19.º, n.º 4, do Regulamento). Quem não consulta a área reservada não trava os prazos.

Se ainda não se registou

O incumprimento do art. 8.º RJC é uma contraordenação grave (art. 62.º, n.º 1, alínea a)). Para uma entidade essencial, a coima pode chegar a 5 milhões de euros ou 1 % do volume de negócios anual mundial; para uma entidade importante, a 3,5 milhões de euros ou 0,7 % (art. 62.º, n.º 2). Exceto em caso de dolo, o processo de contraordenação depende de uma advertência prévia do CNCS com prazo razoável para cumprir (art. 66.º, n.º 5).

Até 3 de abril de 2027, as entidades podem ainda pedir, de forma fundamentada, a dispensa das coimas dos art. 61.º e 62.º com base na falta de um procedimento interno de adaptação ao novo regime (art. 65.º RJC). Isto não dispensa o registo.

O caminho mais simples é fazer a autoidentificação agora, guardar o recibo e documentar porque é que o prazo não foi cumprido. Prepare antes os dados do formulário, confirme quem é o representante legal com Cartão de Cidadão ou Chave Móvel Digital e verifique a qualificação provável com a avaliação NIS2 ou com o instrumento de apoio do CNCS.