MyCiber depois de 15 de setembro: registo tardio, coimas e os prazos seguintes

O prazo de registo na MyCiber, para as entidades que já estavam em atividade, terminou a 15 de setembro de 2026. Quem ficou de fora continua obrigado a registar-se. O prazo passou, a obrigação não. Explicamos quem tem de estar na plataforma, como se faz o registo fora de prazo, o que arrisca quem não o fizer e que prazos começam a contar depois de entrar.

O que reter em seis linhas

• A MyCiber é a plataforma do Centro Nacional de Cibersegurança (CNCS) onde as entidades abrangidas pela NIS2 se identificam, recebem a qualificação e notificam incidentes.
• Para quem já estava em atividade, o prazo terminou a 15 de setembro de 2026. Quem começa atividade agora tem 30 dias a contar do início.
• Não ter registo é contraordenação grave. Para uma empresa, a coima vai de 875 € a 3,5 milhões de euros numa entidade importante e de 1.250 € a 5 milhões numa essencial, ou uma percentagem do volume de negócios mundial, se for mais alta.
• Antes de abrir um processo, a lei obriga o CNCS a advertir a entidade e a dar-lhe um prazo para cumprir, salvo quando houver dolo.
• Depois do registo vem a qualificação. Se a entidade for essencial ou importante, há 20 dias úteis a partir da notificação para comunicar o responsável de cibersegurança e o ponto de contacto permanente.
• As medidas de segurança têm um prazo à parte: 24 meses depois de o CNCS publicar o regulamento, ou seja, até junho de 2028.

O que é a MyCiber?

É a plataforma eletrónica prevista no artigo 8.º do regime jurídico da cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025, de 4 de dezembro, que transpõe a diretiva NIS2. Ficou disponível com o Regulamento n.º 756/2026 do CNCS, publicado a 22 de junho de 2026 e em vigor desde o dia seguinte.

É a porta do regulador. A entidade preenche um formulário de autoidentificação e o CNCS diz-lhe em que categoria fica. Daí em diante, quase tudo passa pela área reservada: comunicações, prazos, notificações de incidentes e, mais tarde, a lista de ativos.

Quem tem de se registar?

O artigo 3.º do regime define o âmbito em três grupos.

1. Empresas privadas de média ou grande dimensão nos setores dos anexos I e II do decreto-lei: energia, transportes, saúde, banca, água, infraestruturas digitais, gestão de serviços de TIC, alguns ramos da indústria transformadora, setor alimentar, resíduos, serviços postais, prestadores de serviços digitais, entre outros. A lista é longa. Média empresa, aqui, é a da Recomendação 2003/361/CE da Comissão. Entra quem tem 50 ou mais trabalhadores, ou quem tem volume de negócios e balanço ambos acima de 10 milhões de euros.
2. Entidades abrangidas independentemente da dimensão, como os prestadores de comunicações eletrónicas acessíveis ao público, os prestadores de serviços de confiança, os registos de nomes de domínio e os prestadores de serviços de DNS. Entram também as entidades que sejam o único prestador de um serviço indispensável ou cuja falha possa afetar a segurança ou a saúde públicas.
3. Administração Pública, incluindo a administração autónoma (onde estão os municípios e as freguesias), e ainda as instituições de ensino superior. No setor público, a qualificação depende sobretudo do número de trabalhadores: uma entidade da administração autónoma só passa a entidade pública relevante a partir de 75 trabalhadores (artigo 7.º do regime), salvo se for qualificada como essencial.

Quem tem dúvidas pode usar o simulador do CNCS, disponível na própria MyCiber. Ajuda, mas não decide. O enquadramento final é do CNCS, depois da autoidentificação.

Porque é que o prazo acabou a 15 de setembro?

O artigo 8.º do regime diz «60 dias após a disponibilização da referida plataforma». Não diz «úteis». A plataforma ficou disponível a 23 de junho de 2026. O CNCS contou-os em dias úteis, sem sábados, domingos e feriados, segundo a regra do artigo 87.º do Código do Procedimento Administrativo, e 60 dias úteis depois de 23 de junho dão 15 de setembro de 2026, a data que o próprio CNCS comunicou.

Ainda circulam textos que apontam 22 de agosto, porque contaram dias seguidos. Para efeitos práticos, vale a data do regulador.

Para uma entidade que ainda não estava em atividade quando o decreto-lei entrou em vigor, a 3 de abril de 2026, o prazo é de 30 dias a contar do início de atividade. Não espere pelo fim. O formulário pede dados que nem sempre estão à mão no primeiro mês.

Não me registei a tempo. O que acontece agora?

Segundo o CNCS, a obrigação não se extingue com o fim do prazo. Não há regularização especial. A entidade em falta faz o registo normal na plataforma, e quanto mais cedo melhor. O CNCS anunciou que vai identificar quem falta com a ajuda do Instituto dos Registos e do Notariado.

Quanto às consequências, o decreto-lei é claro.

• A falta de registo é contraordenação grave (artigo 62.º, n.º 1, alínea a)).
• Os valores são altos. Para pessoas coletivas, a coima numa entidade essencial vai de 1.250 € a 5.000.000 € ou 1 % do volume de negócios anual a nível mundial, consoante o mais alto. Numa entidade importante, vai de 875 € a 3.500.000 € ou um máximo não inferior a 0,7 % desse volume de negócios (artigo 62.º, n.º 2). As entidades da Administração Pública têm escalões próprios.
• Por negligência, os limites passam para metade (artigo 64.º).
• Salvo em caso de dolo, o processo de contraordenação só pode ser instaurado depois de o CNCS advertir a entidade para cumprir num prazo razoável (artigo 66.º, n.º 5).
• O artigo 65.º permite pedir ao CNCS, com fundamentação, a dispensa das coimas graves e muito graves, invocando a falta de um procedimento interno de adaptação ao novo regime, durante 12 meses a contar da entrada em vigor do decreto-lei (3 de abril de 2026), ou seja, até abril de 2027. O CNCS decide caso a caso.

Lido em conjunto, isto quer dizer uma coisa simples. Quem se registar agora, por iniciativa própria, evita a advertência, afasta o risco de o atraso ser visto como intencional (e aí deixa de haver advertência prévia) e ganha tempo para os prazos seguintes.

Como se faz o registo, passo a passo

1. Confirmar o enquadramento: setor, subsetor e dimensão, com os números do último exercício. Se a empresa faz parte de um grupo, as regras europeias mandam somar, nalguns casos, os números das empresas parceiras e associadas.
2. Decidir quem regista. Em regra é o representante legal, que se autentica com Chave Móvel Digital ou Cartão de Cidadão; o regulamento também admite representação por mandato, para quem prefira delegar no contabilista ou num consultor.
3. Juntar os dados: nome, NIF, setor e subsetor, tipo de entidade, estabelecimento, número de trabalhadores, volume de negócios ou balanço, contactos, Estados-Membros onde presta serviços e adesão ao serviço público de notificações eletrónicas. Os prestadores de serviços digitais indicam ainda o estabelecimento principal na União Europeia.
4. Preencher a autoidentificação na MyCiber. Ao submeter, fica criado um registo provisório.
5. Depois da qualificação, dar acesso a quem vai tratar do dia a dia. Quando o registo passa a definitivo, a conta pode ser partilhada com o responsável de cibersegurança e com o ponto de contacto permanente, para não ficar tudo dependente do gerente.

Fizemos o registo da própria RTC em setembro, com a Chave Móvel Digital. O formulário é curto. O que demora é a escolha do setor: uma empresa de informática pode caber em mais de uma categoria, e essa escolha muda a qualificação e as obrigações seguintes. Pense nisso antes de abrir a plataforma.

Depois do registo: os prazos que começam a contar

• Projeto de qualificação. O CNCS notifica a entidade na plataforma e por correio eletrónico, e a entidade tem 10 dias úteis para se pronunciar (artigo 9.º do Regulamento n.º 756/2026). Sem pronúncia, a qualificação segue.
• Responsável de cibersegurança e ponto de contacto permanente. Para as entidades que já estavam em atividade, os 20 dias úteis contam a partir da notificação da qualificação (artigos 31.º e 32.º do regime; artigos 14.º e 15.º do regulamento). É pouco tempo. Convém ter alguém escolhido para a função antes de a notificação chegar. O responsável tem de responder diretamente à gerência ou à administração.
• Dados sempre atualizados. Uma mudança de morada, de contactos, de setor ou de responsável comunica-se logo na plataforma (artigo 11.º do regulamento).
• Lista dos ativos acessíveis a partir da Internet, como endereços IP, domínios e equipamentos expostos. A primeira versão entrega-se até 31 de janeiro do ano seguinte ao da notificação da qualificação, ou seis meses depois dessa notificação, consoante o que chegar primeiro (artigo 32.º do regulamento). Depois, todos os anos.
• Medidas de cibersegurança. As medidas, a gestão de riscos e o relatório anual produzem efeitos 24 meses depois de publicada a regulamentação do regime (artigo 10.º, n.º 2, do decreto-lei). O Regulamento n.º 756/2026 saiu a 22 de junho de 2026, o que leva a junho de 2028.
• Incidentes significativos. A lei fixa uma notificação inicial até 24 horas depois de a entidade concluir que existe, ou pode vir a existir, um incidente significativo, uma atualização até 72 horas quando for precisa, a notificação do fim do impacto significativo até 24 horas depois desse fim e o relatório final em 30 dias úteis a contar dessa notificação (artigos 42.º a 44.º do regime). Estes prazos não beneficiam dos 24 meses das medidas. O formato das notificações e os limiares que tornam um incidente notificável dependem de instruções técnicas do CNCS; confirme na área reservada as que já estão publicadas.

Os 24 meses parecem muito tempo. Não são. Uma PME que só comece em 2027 o inventário, as cópias de segurança testadas, a autenticação multifator e o plano de resposta a incidentes fica com o calendário apertado, sobretudo se tiver de mudar fornecedores ou contratos pelo caminho.

Os erros que mais vemos

• Achar que registar é cumprir. O registo só abre o processo; o trabalho a sério são as medidas.
• Escolher o setor à pressa. O setor, com a dimensão, decide a categoria da entidade, e com ela as coimas, a supervisão e o relatório anual.
• Dar como certo que a autarquia está de fora, ou dentro. A administração autónoma, onde estão as autarquias locais e as associações públicas como as ordens profissionais, consta do artigo 3.º, mas o artigo 7.º liga a qualificação ao número de trabalhadores (75 ou mais). Um município médio estará quase sempre abrangido; a maioria das freguesias, não. Confirme no simulador.
• Esquecer o cliente. Uma empresa fora do âmbito vai receber perguntas de clientes que estão dentro. Escrevemos sobre isso em o seu cliente enviou-lhe um questionário de segurança.
• Deixar o acesso só com o gerente. Se a única pessoa com acesso à conta estiver de férias quando chega uma notificação, os prazos correm na mesma.

Perguntas frequentes

O prazo da MyCiber foi prorrogado?

Não foi publicada nenhuma prorrogação. O CNCS diz que a obrigação se mantém depois de 15 de setembro de 2026. Quem está em falta deve registar-se quanto antes.

Uma microempresa tem de se registar na MyCiber?

Em regra, não. O âmbito começa nas médias empresas dos setores abrangidos. Há exceções que não dependem da dimensão: os prestadores de comunicações eletrónicas, de serviços de confiança e de serviços de nomes de domínio, e as entidades que sejam o único prestador de um serviço indispensável ou que sejam críticas. Na Administração Pública conta o número de trabalhadores, não o volume de negócios.

Quem pode fazer o registo na MyCiber?

O representante legal, autenticado com Chave Móvel Digital ou Cartão de Cidadão, ou alguém com mandato para representar a entidade. Depois do registo definitivo, o acesso à conta pode ser alargado ao responsável de cibersegurança e ao ponto de contacto permanente.

Qual é a coima por não fazer o registo na MyCiber?

É uma contraordenação grave. Para uma empresa, o limite máximo vai até 3,5 milhões de euros numa entidade importante e até 5 milhões numa entidade essencial, ou uma percentagem do volume de negócios mundial se for mais alta. Por negligência, os limites ficam a metade, e fora dos casos de dolo o CNCS tem de advertir a entidade antes de abrir processo.

Registar na MyCiber chega para cumprir a NIS2?

Não. O registo é o primeiro passo. Seguem-se a qualificação, o responsável de cibersegurança, o ponto de contacto permanente, a lista de ativos e as medidas de cibersegurança mínimas fixadas no Regulamento n.º 756/2026 (o Quadro Nacional de Referência para a Cibersegurança serve de base, mas é facultativo), com prazo até junho de 2028.

Fontes

• Decreto-Lei n.º 125/2025, de 4 de dezembro, que aprova o regime jurídico da cibersegurança: artigos 10.º e 11.º do decreto-lei; artigos 3.º, 7.º, 8.º, 31.º, 32.º, 42.º a 44.º e 62.º a 66.º do regime.
• Regulamento n.º 756/2026 do CNCS, publicado no Diário da República a 22 de junho de 2026: artigos 4.º, 6.º a 11.º, 14.º, 15.º, 26.º, 30.º e 32.º.
• Código do Procedimento Administrativo, artigo 87.º (contagem dos prazos).
• Declarações do CNCS à revista IT Security, de 11 de setembro de 2026, sobre o fim do prazo.

Para o enquadramento geral, veja o nosso guia prático da NIS2 para PME e o artigo sobre medidas, prazos e coimas.

Precisa de ajuda com a MyCiber?

Começamos pelo enquadramento. A RTC ajuda empresas e entidades públicas a perceber se estão abrangidas, a fazer o registo e a preparar o que vem depois, do inventário às cópias de segurança, com acompanhamento por avença. Veja o serviço de preparação para a NIS2 ou fale connosco. A primeira reunião, presencial ou online, não tem custo.