MyCiber: a plataforma onde as entidades NIS2 se registam.

O MyCiber é a plataforma pública em myciber.gov.pt, gerida pelo CNCS (Centro Nacional de Cibersegurança), onde as entidades no âmbito da NIS2 fazem a autoidentificação e pedem a qualificação exigida por lei. Foi aberta pelo Regulamento de Execução n.º 756/2026, em vigor desde 23 de junho de 2026, que operacionaliza o DL 125/2025 — o diploma que transpôs a Diretiva NIS2 (UE 2022/2555) para Portugal.

Na prática, o MyCiber é a porta de entrada formal no regime. A entidade declara que está no âmbito; o CNCS confirma a qualificação — essencial, importante ou relevante da Administração Pública — e comunica o nível de conformidade aplicável, que fixa as medidas mínimas obrigatórias. Tudo o que vem depois (responsável de cibersegurança, lista de ativos, medidas técnicas) parte deste registo.

O MyCiber não substitui a análise do enquadramento legal — só formaliza o que a análise já apurou. Para o regime completo, prazos e obrigações, ver a página NIS2 em Portugal — DL 125/2025.

Têm de se autoidentificar no MyCiber as entidades essenciais e importantes nos setores do Anexo I e II da NIS2 — energia, transportes, banca, infraestruturas financeiras, saúde, águas, infraestruturas digitais, administração pública, indústria, alimentar, entre outros. O critério de dimensão é, em regra, 50 ou mais colaboradores, ou volume de negócios e balanço acima de 10M€, com exceções setoriais em que se entra independentemente da dimensão (por exemplo, redes e serviços de comunicações eletrónicas, prestadores de confiança qualificados, DNS/TLD).

A dúvida "estamos ou não no âmbito?" é o primeiro passo — e muitas empresas assumem que não entram sem verificar. Desde 23 de junho de 2026, essa verificação é formal e teve prazo: as entidades já em atividade tiveram 60 dias úteis a contar dessa data — até 15 de setembro de 2026 — para se autoidentificarem, e quem não o fez continua obrigado a fazê-lo; as que iniciem atividade depois têm 30 dias a contar do início de atividade. A análise de lacunas começa sempre por esta classificação formal.

Antes de nos ligar, há um passo que a empresa pode dar sozinha em cinco minutos: o CNCS disponibiliza um simulador de enquadramento na própria plataforma MyCiber, que indica se a entidade está abrangida pelo Regime Jurídico da Cibersegurança. O resultado é indicativo — não dispensa a verificação do regime aplicável nem o cumprimento das obrigações —, mas resolve a dúvida binária «entramos ou não» sem depender de ninguém. Quem sair de lá dentro do âmbito e ainda sem registo tem a autoidentificação a fazer já, depois do prazo de 15 de setembro; quem sair de fora fica com a resposta documentada.

Perdeu o prazo de 15 de setembro? Explicamos o que fazer já, que coima está em causa e o que vem a seguir em MyCiber: o prazo passou, a obrigação não.

A autoidentificação no MyCiber é o início, não o fim. Depois dela vem a qualificação pelo CNCS, o nível de conformidade atribuído e, com ele, o conjunto de medidas mínimas que a entidade tem de implementar — as previstas nos artigos 27.º e 29.º do DL 125/2025 (análise de risco, tratamento de incidentes, continuidade e backups, cadeia de abastecimento, criptografia, autenticação multifator, formação da direção, entre outras).

É aqui que o registo se transforma em trabalho concreto: mapear os controlos exigidos contra os que já existem, e fechar a diferença dentro do prazo de adaptação. Para quem já opera em Microsoft 365 e Azure, grande parte destes controlos implementa-se sobre a infraestrutura existente — Entra ID com MFA, Microsoft Defender, Sentinel, políticas de retenção e cifra. Ver como implementamos cada medida →.

Nós fazemos a parte técnica: análise de lacunas de preparação e implementação. A análise do enquadramento jurídico é trabalho de advogado especializado — coordenamos com o escolhido pela empresa.