Novo Regime Jurídico da Cibersegurança em Portugal: o que documentar e registar a partir de abril de 2026
O Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2 e entrou em vigor a 3 de abril de 2026, obriga milhares de empresas portuguesas a registarem-se, a gerir risco formalmente e a manter registos de incidentes prontos para inspeção.
Um novo regime, com quase um ano e meio de atraso
A Diretiva (UE) 2022/2555, conhecida como NIS2, deveria ter sido transposta por todos os Estados-Membros até 17 de outubro de 2024. Portugal só concluiu o processo mais de um ano depois, através do Decreto-Lei n.º 125/2025, publicado em Diário da República a 4 de dezembro de 2025. O diploma entrou efetivamente em vigor a 3 de abril de 2026, criando o novo Regime Jurídico da Cibersegurança (RJC) e substituindo o quadro anterior, mais limitado, centrado apenas em operadores de infraestruturas críticas e prestadores de serviços essenciais.
Para além do atraso na transposição, o regime português foi descrito por analistas jurídicos como um dos mais exigentes da União Europeia: alarga significativamente o número de entidades abrangidas, reforça as obrigações de governação e gestão de risco e aumenta de forma expressiva os poderes sancionatórios face ao regime anterior. Em junho de 2026 foi ainda publicado o Regulamento n.º 756/2026, de 22 de junho, que concretiza os aspetos operacionais do diploma, nomeadamente os procedimentos de registo e de notificação junto do Centro Nacional de Cibersegurança (CNCS).
Quem está abrangido pelo novo regime
O RJC aplica-se a entidades de setores considerados críticos ou de elevada importância para a economia e a sociedade, entre os quais energia, transportes, banca, infraestruturas de mercados financeiros, saúde, água, infraestruturas digitais, administração pública, gestão de resíduos, indústria transformadora e serviços digitais. Ao contrário do regime anterior, que abrangia sobretudo grandes operadores, o novo diploma inclui de forma generalizada empresas de média e grande dimensão desses setores, com critérios de aplicabilidade que assentam tipicamente em mais de 50 trabalhadores ou volume de negócios anual superior a 10 milhões de euros, embora certas entidades possam ser abrangidas independentemente da dimensão, em função da criticidade da sua atividade.
A classificação final, entre entidade essencial, entidade importante ou entidade pública relevante, não é uma escolha da empresa: é feita pelo CNCS com base na informação submetida no processo de registo. Essa classificação determina depois qual o nível de exigência aplicável, quer em termos de medidas técnicas, quer em termos de risco de coima.
Registo obrigatório na plataforma MyCiber
O CNCS disponibilizou a plataforma eletrónica MyCiber (myciber.gov.pt) como canal único para autoidentificação, registo, comunicações formais e notificação de incidentes. As entidades que já se encontravam em atividade quando a plataforma foi disponibilizada dispõem de 60 dias para concluir o registo. Após a notificação da respetiva classificação pelo CNCS, cada entidade tem ainda 20 dias úteis para designar formalmente um responsável de cibersegurança, figura que passa a ser o interlocutor oficial junto da autoridade nacional.
Na prática, isto significa que uma empresa recém-classificada como entidade importante ou essencial precisa de ter, num curto espaço de tempo, três elementos organizados: o registo concluído na plataforma, um responsável de cibersegurança nomeado e formalmente comunicado, e um ponto de partida documental que demonstre que a gestão de risco não é meramente declarativa.
Notificação de incidentes: os prazos que não perdoam atrasos
Uma das alterações mais visíveis do novo regime é a exigência de notificação de incidentes significativos em três fases sucessivas:
- Alerta inicial (early warning): até 24 horas após se ter conhecimento do incidente.
- Notificação de incidente: atualização detalhada até 72 horas após o conhecimento.
- Relatório final: no prazo de 1 mês, com análise da causa, gravidade, impacto e medidas de mitigação aplicadas.
Cumprir estes prazos exige que a empresa já tenha, antes de qualquer incidente ocorrer, um processo interno claro de deteção, escalonamento e registo cronológico dos eventos de segurança. Reconstituir uma linha temporal fiável de um incidente 72 horas depois, sem registos organizados, é praticamente impossível, e a própria ausência ou insuficiência de notificação constitui, por si só, fundamento para contraordenação.
Gestão de risco e o dever de manter prova documental
O RJC não se limita a exigir tecnologia de segurança: obriga as entidades abrangidas a adotarem e a conseguirem demonstrar, perante o CNCS, medidas técnicas e organizacionais proporcionais ao risco. Isto implica manter, de forma organizada e acessível para efeitos de fiscalização, elementos como políticas de segurança da informação, análises de risco periódicas, registos de formação de colaboradores, contratos com fornecedores que incluam cláusulas de segurança da cadeia de abastecimento, e o histórico de incidentes já comunicados. A responsabilização pessoal de gestores, expressamente prevista no diploma, reforça o interesse direto da administração em que esta documentação exista, esteja atualizada e possa ser localizada rapidamente quando solicitada.
Coimas: valores que colocam a cibersegurança na agenda da administração
| Categoria | Coima máxima para a pessoa coletiva |
|---|---|
| Entidades essenciais | 10 milhões de euros ou 2% do volume de negócios mundial anual, consoante o valor mais elevado |
| Entidades importantes | 7 milhões de euros ou 1,4% do volume de negócios mundial anual, consoante o valor mais elevado |
| Pessoas singulares (contraordenações muito graves, entidades essenciais) | até 125.000 euros |
Estes valores colocam o RJC num patamar de risco financeiro comparável ao do RGPD, com a particularidade de o incumprimento poder resultar não só de uma violação de dados, mas também de falhas processuais como registo tardio, ausência de responsável de cibersegurança nomeado ou incapacidade de demonstrar, com registos, que as medidas de gestão de risco exigidas estavam efetivamente implementadas.
O que as empresas portuguesas deveriam fazer já
Com o diploma em vigor desde abril de 2026 e o regulamento operacional publicado em junho, o período de tolerância inicial está a encurtar-se rapidamente. As empresas que ainda não confirmaram se estão dentro do âmbito do RJC deveriam começar por verificar o seu setor de atividade e dimensão face aos critérios do decreto-lei, concluir o registo na plataforma MyCiber dentro do prazo aplicável e nomear formalmente o responsável de cibersegurança. Em paralelo, importa rever se os processos internos de deteção e registo de incidentes permitem, na prática, cumprir os prazos de 24 horas, 72 horas e 1 mês, e se a documentação de gestão de risco (políticas, análises, formações, contratos com fornecedores) está organizada de forma a poder ser apresentada de imediato em caso de fiscalização pelo CNCS.
