Há uma nova lei na Cibersegurança que obriga um registo e o prazo está a chegar ao fim!
Esta terça-feira, dia 15 de setembro, encerra o período para milhares de entidades públicas e privadas se registarem na plataforma MyCiber. Quem ainda não o fez, tem poucos dias para agir.
O Centro Nacional de Cibersegurança (CNCS) lançou o alerta há dias. A mensagem é clara: quem adia esta tarefa arrisca-se a pagar caro. Afinal, o registo não é opcional. A lei torna-o obrigatório.
Em que consiste?
Em dezembro de 2025, entrou em vigor o Decreto-Lei n.º 125/2025. Este diploma transpõe para Portugal a diretiva europeia NIS2. O objetivo é simples: tornar os sistemas de informação nacionais mais resistentes a ataques informáticos. Até aqui, a legislação portuguesa concentrava-se em setores considerados clássicos, como banca, energia, saúde e transportes. Agora, porém, o universo de entidades abrangidas cresce de forma significativa. Ao todo, são 17 setores económicos, além de vários níveis da administração pública.
Assim, empresas de tratamento de águas residuais, gestão de resíduos, indústria transformadora, correios e estafetas passam também a estar sujeitas às novas regras. O mesmo acontece com organizações do setor aeroespacial, da investigação científica, da produção química e da cadeia agroalimentar. Numa palavra: o leque é enorme. Para o cidadão comum, esta expansão faz sentido. Um ataque a um distribuidor alimentar, por exemplo, pode gerar falhas no abastecimento. Da mesma forma, um ataque a um centro de triagem postal pode atrasar entregas durante semanas. Por isso, proteger estes setores tornou-se uma prioridade coletiva.
Como se faz o registo?
O processo decorre através do portal myciber.gov.pt. Deve ser realizado pelo representante legal da entidade, ou por alguém com procuração para o efeito. A autenticação exige Cartão de Cidadão ou Chave Móvel Digital. Portanto, o procedimento é relativamente simples, desde que a organização reúna a documentação certa.
Vale a pena sublinhar um ponto importante: a auto-identificação não define, por si só, a classificação final da entidade. Essa qualificação depende de critérios adicionais, previstos no diploma. Ainda assim, não cumprir o prazo pode já resultar em sanções, uma vez que o incumprimento constitui contraordenação grave.
Mas há mais…
Depois do registo, o processo está longe de terminar. Pelo contrário, começa aqui uma fase mais longa de adaptação. As entidades classificadas como essenciais terão 24 meses para implementar medidas de gestão de risco. Terão também de apresentar o primeiro relatório anual dentro desse prazo.
Entretanto, há outras obrigações a cumprir pelo caminho. Por exemplo, as organizações precisam de nomear um responsável de segurança e um ponto de contacto permanente. Além disso, qualquer incidente com impacto significativo deve ser comunicado no prazo de 24 horas. Até 31 de janeiro de 2027, terão ainda de entregar uma lista detalhada dos seus ativos informáticos.
Em suma, o calendário é apertado e as exigências são numerosas. Contudo, o investimento vale a pena. Num momento em que os ataques informáticos e os esquemas de extorsão digital não param de crescer, prevenir custa sempre menos do que remediar. Por isso, mais vale agir agora do que lidar, mais tarde, com as consequências de uma falha grave de segurança.
About The Author
