Identificação e registo na MyCiber
Procedimento, prazos e responsáveis
Cenário de abertura
Imagine que é DPO de uma empresa de serviços de computação em nuvem com 120 colaboradores e 15 milhões de euros de faturação. O CNCS notificou a sua empresa da decisão de qualificação. Tem 20 dias úteis para comunicar o responsável de cibersegurança e o ponto de contacto permanente. Por onde começar?
O procedimento de qualificação (Art. 8.º)
O Art. 8.º do DL 125/2025 estabelece o procedimento formal de qualificação de entidades. As entidades devem autoavaliar-se quanto ao cumprimento dos critérios de inclusão e, se abrangidas, registar-se na plataforma MyCiber do CNCS. Este registo é o ponto de partida para toda a relação com a autoridade competente: é através do MyCiber que se notificam incidentes, se submetem documentação e se recebem comunicações do CNCS.
Plataforma MyCiber e prazos
O CNCS disponibilizou a plataforma MyCiber como portal centralizado para o cumprimento das obrigações NIS2. Os prazos de registo são claros: as entidades identificam-se na plataforma no prazo de 30 dias após o início da sua atividade (art. 8.º, n.º 1). Entidades já ativas quando o diploma entrou em vigor (3 de abril de 2026) dispunham de 60 dias a partir da disponibilização da plataforma para completar o registo. O incumprimento deste prazo pode constituir contraordenação grave.
Designação de responsável de cibersegurança
Uma das primeiras obrigações após a entrada em vigor do DL 125/2025 é a designação de um responsável de cibersegurança. O prazo para esta comunicação ao CNCS é de 20 dias úteis: para as entidades já em atividade a 3 de abril de 2026, a contar da notificação da qualificação da entidade (Reg. 756/2026, art. 14.º, n.º 2); nos restantes casos, a contar do início de funções do responsável (art. 31.º, n.º 3). O responsável tem de ser titular do órgão de gestão, direção ou administração da entidade, ou responder-lhe orgânica e diretamente (art. 31.º, n.º 1). A lei não prevê a atribuição da função a um prestador externo; o apoio técnico pode ser contratado, mas a designação de um externo como responsável é a confirmar com o CNCS.
Ponto de contacto 24/7
Além do responsável de cibersegurança, as entidades essenciais e importantes asseguram a função de ponto de contacto permanente com disponibilidade continua, 24 horas por dia e 7 dias por semana, limitada a períodos de ativação iniciados e terminados por comunicação da autoridade de cibersegurança competente (Art. 32.º, n.º 1 do DL 125/2025). Este contacto deve estar registado na plataforma MyCiber e ser atualizado sempre que houver alterações. A ausência de ponto de contacto operacional pode agravar as consequências em caso de incidente, nomeadamente nas avaliações de supervisão.
Consequências do atraso no registo
Não registar a entidade na MyCiber dentro do prazo é uma infração formal. Na Alemanha, após a entrada em vigor do NIS2UmsuCG (que aprova o novo BSIG), a fase de supervisão teve início e o BSI concedeu um prazo suplementar de registo até 31 de julho de 2026, já expirado; até à data desta revisão não há coimas NIS2 publicadas pelo BSI. O argumento «não sabíamos que seríamos abrangidos» não constitui defesa válida: o legislador colocou o ónus da autoavaliação na própria entidade.
Processo de registo na MyCiber
Caso real
Fase de supervisão e registo tardio na Alemanha (2026)Após a entrada em vigor do NIS2UmsuCG (que aprova o novo BSIG), a autoridade alemã de cibersegurança (BSI) iniciou a fase de supervisão das entidades abrangidas. O BSI concedeu um prazo suplementar de registo até 31 de julho de 2026, já expirado. Até à data desta revisão não foram publicadas coimas NIS2 pelo BSI. O caso serve de aviso para o mercado: o registo não é opcional e os prazos são vinculativos.
Quiz do módulo 2
Responda a 5 perguntas sobre o conteúdo deste módulo. É necessário obter 70% ou mais para avançar.