Atualização (junho de 2026): a consulta pública encerrou (decorreu de 10 de março a 22 de abril de 2026) e o regulamento já foi publicado. Leia a atualização em Regulamento do CNCS entra em vigor: MyCiber operacional.

Atualização (14 de setembro de 2026): correções factuais no texto abaixo, nomeadamente sobre o formato final das notificações (art. 20.º do Regulamento 756/2026) e a referência à presunção de cumprimento (art. 27.º do Regulamento 756/2026).

Contexto: da lei ao regulamento

O DL 125/2025 estabelece o quadro legal obrigatório, mas delega ao CNCS a definição de vários aspetos operacionais através de regulamentação própria, conforme previsto no Art. 8.º, n.º 7, sobre a plataforma eletrónica e noutras normas habilitantes. A consulta pública é o mecanismo legal que permite à autoridade recolher contributos de entidades abrangidas, setor privado e organizações da sociedade civil antes de finalizar o texto regulatório.

A consulta decorreu entre 10 de março e 22 de abril de 2026. O CNCS compilou os contributos recebidos num relatório com a fundamentação das decisões adotadas e publicou o regulamento definitivo (Regulamento 756/2026), que entrou em vigor em junho de 2026.

Importância para as entidades: O regulamento definirá os campos obrigatórios do portal de registo, os formatos exatos das notificações de incidentes (notificação inicial 24h, atualização 72h, fim de impacto 24h, relatório final 30 dias úteis) e os critérios de significância de incidentes. Participar na consulta é uma oportunidade de influenciar requisitos que afetarão diretamente a operação.

Principais temas do Projeto de Regulamento

1. Plataforma eletrónica de registo e notificação (Art. 8.º, n.º 7)

O regulamento define a arquitetura funcional do portal onde as entidades deverão:

  • Registar-se como entidade essencial ou importante.
  • Submeter o registo de autoidentificação com dados da organização, setor, dimensão e serviços prestados.
  • Notificar incidentes significativos nos prazos legais.
  • Aceder a comunicações do CNCS relativas à supervisão.

2. Formato das notificações de incidentes

O projeto de regulamento detalha os campos obrigatórios de cada fase:

  • Notificação inicial (24 horas, art. 42.º, n.º 1): Descrição sumária do incidente, sistemas afetados, impacto estimado na prestação do serviço, indicação se suspeita de atividade ilícita ou interesse transfronteiriço.
  • Atualização, quando necessário (72 horas, art. 42.º, n.º 3): Análise preliminar da causa, medidas mitigadoras em curso, potencial impacto em outros Estados-Membros, dados de contacto do responsável de segurança.
  • Notificação de fim de impacto (24 horas após o fim do impacto, art. 43.º): Confirmação da cessação do impacto significativo, medidas adotadas e situação residual.
  • Relatório final (30 dias úteis após a notificação de fim de impacto, art. 44.º, n.º 1): Análise técnica completa, causa raiz, lições aprendidas, medidas permanentes implementadas, avaliação do impacto real.

3. Templates CNCS obrigatórios

O regulamento prevê a publicação pelo CNCS de templates standardizados para as notificações. As organizações podem usar os seus próprios sistemas (como o Simulador CNCS da NIS2 Portugal), desde que cubram os campos obrigatórios definidos.

Nota (setembro de 2026): no texto final (Regulamento 756/2026, art. 20.º), as notificações são submetidas por formulário na área reservada da plataforma MyCiber; só a título excecional, por falta de capacidade técnica, podem ser feitas por correio eletrónico ou telefone. Os templates da NIS2 Portugal servem para preparação interna e não substituem o formulário.

4. Articulação com o QNRCS (Art. 14.º DL 125/2025)

O Quadro Nacional de Referência para a Cibersegurança (QNRCS) será atualizado para alinhar com os requisitos do DL 125/2025. O regulamento define como as certificações e avaliações ao abrigo do QNRCS contribuem para a presunção de cumprimento das medidas dos arts. 26.º a 28.º do DL 125/2025 (art. 21.º da Diretiva), nos termos do art. 27.º do Regulamento 756/2026.

Prazo para contributos: O período de consulta pública encerra aproximadamente no final de abril de 2026. As entidades e associações setoriais devem submeter os seus comentários diretamente ao CNCS através do portal de participação pública.

Implicações práticas para organizações NIS2

Enquanto o regulamento não é publicado, as entidades devem:

  1. Acompanhar o processo de consulta pública em cncs.gov.pt.
  2. Preparar os dados necessários para o registo (NIPC, setor, dimensão, serviços NIS2, responsável de segurança).
  3. Desenvolver internamente os processos de notificação de incidentes usando os templates disponíveis na plataforma NIS2 Portugal como referência.
  4. Considerar participar na consulta pública, especialmente setores com especificidades operacionais que devem ser refletidas nos formatos de notificação.