A cibersegurança deixou de ser um tema exclusivo das grandes organizações. Com o aumento do número de ataques informáticos e a crescente digitalização das empresas, também as Pequenas e Médias Empresas (PME) enfrentam hoje novos desafios e responsabilidades.

Neste contexto, o MyCiber, a plataforma disponibilizada pelo Centro Nacional de Cibersegurança (CNCS), assume um papel importante na implementação da Diretiva NIS2 em Portugal, permitindo que as organizações comuniquem informação essencial sobre a sua atividade e o seu enquadramento legal.

Mas afinal, o que é o MyCiber? Quem está abrangido? E quais os prazos que as empresas devem cumprir?

O que é o MyCiber?

O MyCiber é a plataforma online criada pelo Centro Nacional de Cibersegurança (CNCS) que permite às organizações portuguesas interagir com a autoridade nacional em matéria de cibersegurança.

Através desta plataforma, as entidades podem:

• Efetuar o seu registo enquanto entidades abrangidas pela legislação;
• Atualizar os dados da organização;
• Comunicar incidentes de cibersegurança, quando aplicável;
• Gerir as obrigações previstas no novo enquadramento legal da Diretiva NIS2.

Na prática, o MyCiber será o principal canal de comunicação entre as empresas abrangidas e o CNCS.

Porque surge esta plataforma?

A criação do MyCiber está diretamente relacionada com a entrada em vigor da Diretiva NIS2, que veio reforçar significativamente os requisitos de cibersegurança em toda a União Europeia.

Comparativamente à anterior Diretiva NIS, a NIS2:

• Abrange um número muito superior de empresas;
• Introduz novas obrigações de gestão de risco;
• Reforça as responsabilidades da gestão de topo;
• Exige processos de reporte de incidentes mais rigorosos;
• Prevê sanções mais elevadas em caso de incumprimento.

Em Portugal, o CNCS será a entidade responsável por acompanhar a implementação destas obrigações, sendo o MyCiber uma das ferramentas fundamentais para esse efeito.

Que empresas podem estar abrangidas?

Uma das maiores dúvidas das empresas prende-se precisamente com esta questão.

Muitas PMEs assumem, erradamente, que a NIS2 apenas se aplica a grandes empresas ou infraestruturas críticas. No entanto, essa realidade mudou.

A Diretiva pode abranger empresas de diferentes dimensões, dependendo de fatores como: número de colaboradores, volume de negócios, setor de atividade e importância dos serviços prestados.

Mesmo empresas que não estejam diretamente abrangidas poderão ser chamadas pelos seus clientes a demonstrar níveis adequados de cibersegurança, sobretudo quando fazem parte da cadeia de fornecimento.

O que acontece se a empresa estiver abrangida?

Caso a organização seja considerada uma entidade abrangida pela NIS2, terá de cumprir diversas obrigações, entre as quais:

• Implementar medidas de gestão do risco em cibersegurança;
• Desenvolver políticas internas de segurança;
• Definir procedimentos para resposta a incidentes;
• Avaliar riscos associados aos fornecedores;
• Promover formação e sensibilização dos colaboradores;
• Comunicar incidentes significativos dentro dos prazos legais;
• Manter os dados atualizados na plataforma MyCiber.

Ou seja, não basta fazer um registo. Existe um conjunto de responsabilidades contínuas que deverão fazer parte da estratégia da empresa.

Quais são os prazos que as empresas devem conhecer?

Esta é uma das questões que mais preocupa os gestores.

Após a entrada em funcionamento da plataforma MyCiber, as entidades que se enquadrem na Diretiva NIS2 deverão proceder ao respetivo registo dentro do prazo definido pelo CNCS.

Além disso, sempre que ocorram alterações relevantes na organização, como mudança de contactos, responsáveis ou outras informações obrigatórias, esses dados deverão ser atualizados na plataforma.

Outro ponto crítico prende-se com o relatório de incidentes de cibersegurança.

A Diretiva NIS2 estabelece prazos bastante exigentes para a comunicação de incidentes significativos, prevendo uma notificação inicial num curto espaço de tempo após a sua deteção, seguida de comunicações complementares à medida que a investigação evolui.

Por este motivo, é essencial que as empresas tenham previamente definidos processos internos de deteção, resposta e comunicação de incidentes.

Importante: A regulamentação nacional da Diretiva NIS2 continua em evolução. Por esse motivo, as empresas devem acompanhar as orientações emitidas pelo CNCS, uma vez que poderão surgir novos requisitos ou atualizações aos procedimentos de registo.

O MyCiber é apenas uma plataforma de registo?

Não. Embora muitas empresas associem o MyCiber apenas ao registo obrigatório, o seu objetivo vai muito além dessa função.

A plataforma foi concebida para apoiar toda a relação entre as entidades abrangidas e o CNCS, funcionando como um ponto central para:

• Comunicação institucional;
• Gestão das obrigações legais;
• Reporte de incidentes;
• Atualização da informação da organização.

Por isso, o seu papel será cada vez mais relevante à medida que a implementação da NIS2 avance em Portugal.

Como podem as PME preparar-se?

Independentemente de já estarem ou não abrangidas, este é um bom momento para as PME avaliarem o seu nível de maturidade em cibersegurança.

Algumas medidas prioritárias incluem:

• Identificar se a empresa está abrangida pela NIS2;
• Avaliar os riscos tecnológicos existentes;
• Rever políticas e procedimentos internos;
• Implementar soluções de proteção e monitorização;
• Garantir a realização de cópias de segurança;
• Sensibilizar regularmente os colaboradores;
• Criar um plano de resposta a incidentes.

Quanto mais cedo estas medidas forem implementadas, menor será o esforço de adaptação às novas exigências legais.

O papel da consultoria em cibersegurança

Para muitas PME, interpretar a legislação e perceber quais as obrigações aplicáveis pode ser um processo complexo.

Uma consultoria especializada permite identificar se a organização está abrangida, avaliar o nível de conformidade e definir um plano de implementação adequado à realidade da empresa. Mais do que cumprir requisitos legais, trata-se de reduzir riscos operacionais, proteger a continuidade do negócio e reforçar a confiança de clientes e parceiros.

Conclusão

A plataforma MyCiber representa um passo importante na implementação da Diretiva NIS2 em Portugal e será um elemento central na relação entre as empresas abrangidas e o Centro Nacional de Cibersegurança.

Mesmo que muitas PME ainda não tenham a certeza de que estão abrangidas, ignorar este tema poderá significar dificuldades futuras, quer por imposição legal, quer pelas exigências de clientes e parceiros de negócio.

Na Quantinfor, acompanhamos de perto a evolução da legislação em matéria de cibersegurança e ajudamos as empresas a identificar se estão abrangidas pela NIS2, a implementar as medidas necessárias e a preparar o cumprimento das novas obrigações legais.

Disponibilizamos ainda o serviço de Ponto de Contacto Permanente, uma das obrigações previstas para as entidades abrangidas, assegurando o acompanhamento técnico e o apoio contínuo na relação com o CNCS e no cumprimento dos requisitos da NIS2.

Se pretende perceber como estas obrigações se aplicam à sua empresa ou necessita de apoio na adaptação à NIS2, pode agendar uma conversa com o João Mota, CTO da Quantinfor:

https://calendly.com/joaomotaquantinfor/30min

Perguntas Frequentes (FAQ)

1. Qual é o prazo para registo das entidades já existentes?

As entidades já existentes antes da publicação do Regulamento n.º 756/2026 devem efetuar o registo na plataforma MyCiber no prazo de 60 dias úteis.

2. Qual é o prazo para entidades constituídas após a publicação do Regulamento?

As entidades constituídas após a publicação do Regulamento devem efetuar o registo na plataforma MyCiber no prazo de 30 dias úteis a contar do início da sua atividade.

3. Quando deve ser comunicado o Responsável de Cibersegurança e o Ponto de Contacto Permanente?

Após a qualificação definitiva da entidade, deverá ser comunicado ao CNCS o Responsável de Cibersegurança e o Ponto de Contacto Permanente, no prazo de 20 dias úteis.

A Quantinfor disponibiliza o serviço de Ponto de Contacto Permanente, apoiando as organizações no cumprimento desta obrigação e assegurando o acompanhamento técnico necessário.

4. Até quando devem ser implementadas as medidas mínimas de cibersegurança?

As entidades abrangidas dispõem de 24 meses, contados a partir da publicação do Regulamento n.º 756/2026, para implementar as medidas mínimas de cibersegurança previstas.

5. A minha empresa tem dúvidas se está abrangida pela NIS2. O que devo fazer?

Caso existam dúvidas quanto ao âmbito de aplicação da legislação, o CNCS recomenda que a entidade efetue o registo na plataforma MyCiber e aguarde a decisão formal sobre o seu enquadramento.

6. Onde posso obter esclarecimentos sobre o regime jurídico?

Para esclarecimentos relacionados com o regime jurídico da NIS2 e da plataforma MyCiber, o CNCS disponibiliza o endereço de correio eletrónico:

maisciber@cncs.gov.pt