(Atualizado em 4 de outubro de 2026.)
Informação revista em 4 de outubro de 2026, com base na informação pública do CNCS e nos diplomas oficiais sobre a plataforma MyCiber e o Regime Jurídico da Cibersegurança.
No dia 23 de junho de 2026, entrou em vigor o Regulamento do Regime Jurídico da Cibersegurança, que estabelece os termos de aplicação de algumas das suas disposições, nomeadamente as regras de funcionamento da plataforma eletrónica MyCiber, disponibilizada pelo Centro Nacional de Cibersegurança (CNCS), que permite que entidades essenciais, importantes e públicas relevantes cumpram com o seu dever de registo.
O artigo 10.º, n.º 2, do Decreto-Lei n.º 125/2025 adia por 24 meses após a publicação da regulamentação do CNCS a produção de efeitos de disposições específicas: os n.os 1 e 2 do artigo 27.º, os artigos 28.º a 30.º, o artigo 33.º e as infrações correspondentes nele identificadas. Este adiamento não suspende o conjunto do regime nem o dever de registo e de atualização da informação.
As entidades elencadas no artigo 3.º do Regime Jurídico da Cibersegurança têm a obrigação de identificação e registo na Plataforma MyCiber, podendo comunicar através da plataforma com as autoridades de cibersegurança competentes - CNCS, Autoridade Nacional de Comunicações (ANACOM) e Gabinete Nacional de Segurança (GNS), num processo que se pretende ágil e simples, garantindo mecanismos seguros de partilha de informação.
Para realizar este registo, as entidades devem fazer-se representar pelo seu representante legal que se traduz num membro da entidade com poderes para a vincular ou por um elemento (interno ou externo), ao qual tenham sido atribuídos os poderes para efetuar o registo da entidade.
30 dias úteis após o início da atividade → Registo das novas entidades abrangidas. Para as entidades que já estavam em atividade, o prazo inicial de 60 dias úteis após a disponibilização da plataforma terminou em 15 de setembro de 2026. Mantém-se a obrigação de atualizar os dados registados.
20 dias úteis → A contar da data de notificação prevista no n.º 5 do artigo 8.º do RJC – isto é, após a notificação de qualificação final da entidade.
30 dias úteis → Prazo para notificação da qualificação pela Autoridade de Cibersegurança Competente (CNCS, Autoridade Nacional de Comunicações- ANACOM ou Gabinete Nacional de Segurança- GNS);
Incidentes com Impacto Significativo para Entidades Essenciais, Importantes e Públicas Relevantes A ou B→ Notificação Inicial no prazo de 24 horas, na Plataforma MyCiber sempre que haja conhecimento de um incidente com impacto significativo. As restantes notificações e relatórios associados a esse incidente são também comunicados na Plataforma.
Até 31 de janeiro do ano seguinte ao da notificação de qualificação final ou seis meses após essa notificação, consoante o prazo que se vença primeiro → Envio da Lista de Ativos das Entidades Essenciais, Importantes e Públicas Relevantes.
As disposições sujeitas ao adiamento de 24 meses produzem efeitos em 22 de junho de 2028. O envio do relatório anual deve respeitar os prazos do artigo 30.º do Regime Jurídico da Cibersegurança; esta data não deve ser apresentada como prazo único de envio de todos os relatórios.
A BITWOCI utiliza IA na elaboração ou revisão dos seus conteúdos, sempre com revisão humana substantiva e sob a sua responsabilidade editorial [artigo 50.º do Regulamento (UE) 2024/1689 (AI Act)].
Diário da República — Regulamento n.º 756/2026
Diário da República — Decreto-Lei n.º 125/2025
Diário da República — Despacho n.º 11243/2026 (referência ao prazo inicial de registo)
