O prazo do MyCiber terminou. O que a NIS2 pede agora
O prazo de registo no MyCiber terminou a 15 de Setembro de 2026. Quem está nos sectores da NIS2, o que fazer a seguir. Não é aconselhamento jurídico.
A 15 de Setembro de 2026 terminou o prazo que o Centro Nacional de Cibersegurança publicitou para as entidades já em actividade se registarem na plataforma MyCiber. O registo é o primeiro passo do novo Regime Jurídico da Cibersegurança. Não é, por si, uma certificação, nem transforma um site institucional numa entidade essencial.
Este texto resume o que foi publicado pelo CNCS e pela imprensa. Não é aconselhamento jurídico. A decisão de saber se a sua empresa está abrangida cabe a quem a representa, com o diploma à frente.
De onde vem a obrigação
O Decreto-Lei n.º 125/2025, de 4 de Dezembro, transpõe a Directiva (UE) 2022/2555, conhecida por NIS2, e entrou em vigor a 3 de Abril de 2026. A 22 de Junho de 2026 foi publicado o Regulamento n.º 756/2026, em vigor no dia seguinte, que pôs a plataforma myciber.gov.pt a funcionar.
O artigo 3.º do decreto-lei aponta a entidades de 17 sectores e à administração pública. Ter um site, uma loja online ou uma página de marca não chega para ficar debaixo da lei. O sector e, em muitos casos, a dimensão da organização é que contam. O CNCS descreve o dever de identificação: as entidades novas têm 30 dias após o início da actividade; as que já existiam tiveram 60 dias depois de a plataforma ficar disponível. Esse segundo prazo foi o que se esgotou a 15 de Setembro.
O que o registo é, e o que não é
Inscreve-se o representante legal, ou um procurador com poderes para isso, com Cartão de Cidadão ou Chave Móvel Digital. A auto-identificação não decide a qualificação final. O CNCS e as autoridades sectoriais é que qualificam, com critérios do próprio diploma. Falhar o dever de registo e de auto-identificação do artigo 8.º está previsto como contra-ordenação grave. O regime admite coimas elevadas. Isso não significa que toda a empresa que se atrasou receba o valor máximo, e não é razão para preencher o formulário "por segurança" sem saber se está no âmbito.
Quem está abrangido e deixou passar o dia 15 continua obrigado a registar-se. O prazo cumprido era a forma limpa de o fazer. O dever não se apagou à meia-noite. Dúvidas de enquadramento podem ir para info@myciber.gov.pt, o contacto que o CNCS indica para o regime.
O que uma PME faz mesmo fora do âmbito
A maior parte das empresas com um site institucional não vai ser qualificada como entidade essencial. Continua a precisar do mínimo que a lei não tem de impor para o prejuízo ser real: actualizações, cópias fora do servidor, segundo passo nos acessos e um domínio em nome da empresa. Essa lista está no artigo cinco hábitos de cibersegurança para uma PME.
Fontes: CNCS, Regime Jurídico da Cibersegurança e PÚBLICO, 9 de Setembro de 2026.