NIS2 em Portugal: o que muda com o Regulamento n.º 756/2026 e o que devem fazer as PME
O Regulamento n.º 756/2026 do CNCS dá aplicação prática ao novo Regime Jurídico da Cibersegurança em Portugal. Guia prático para PME: registo no MyCiber, entidades abrangidas e resposta a incidentes.
A NIS2 deixou de ser apenas uma obrigação europeia no papel: com o novo regulamento, as entidades abrangidas passam a ter regras nacionais mais concretas para se identificar, gerir riscos e responder a incidentes.
O Decreto-Lei n.º 125/2025, de 4 de dezembro, transpôs para Portugal a Diretiva NIS2 e aprovou o novo Regime Jurídico da Cibersegurança. Entrou em vigor a 3 de abril de 2026. A 22 de junho, o Centro Nacional de Cibersegurança (CNCS) publicou o Regulamento n.º 756/2026, que entrou em vigor no dia seguinte e define como aplicar várias dessas regras.
Os prazos dependem da situação de cada entidade, por isso importa confirmar as datas e instruções atualizadas na plataforma MyCiber e junto do CNCS.
O que faz o Regulamento n.º 756/2026?
O decreto-lei estabeleceu o novo regime. O regulamento transforma parte desse enquadramento em procedimentos e requisitos práticos. Define, por exemplo, o funcionamento da plataforma eletrónica, as comunicações entre entidades e autoridades e as medidas mínimas de cibersegurança.
O texto inclui também o Quadro Nacional de Referência para a Cibersegurança e uma metodologia para avaliar o risco. As entidades essenciais e importantes devem usar este enquadramento para orientar as medidas de segurança e os níveis de conformidade aplicáveis. O regulamento trata ainda da gestão do risco residual, do relatório anual e da indicação de responsáveis de cibersegurança e pontos de contacto.
Passa a haver uma referência nacional mais concreta para organizar o trabalho. Isso não significa que todas as organizações tenham de adotar exatamente as mesmas medidas: a abordagem deve ter em conta o risco e a categoria da entidade.
Quem pode estar abrangido?
O regime contempla entidades essenciais, importantes e entidades públicas relevantes. Abrange setores considerados importantes para a economia e para o funcionamento do Estado, bem como a Administração Pública. O CNCS identifica 17 setores no novo regime.
A dimensão da organização pode ser relevante, mas não é o único critério. A atividade desenvolvida, o setor, o tipo de serviço prestado e a classificação legal da entidade também contam. Há ainda situações em que uma organização pode ser abrangida por regras específicas, pelo que não é seguro concluir que uma empresa está fora do âmbito apenas por ser uma PME.
Para uma pequena ou média empresa, o primeiro passo é confirmar a sua atividade e os critérios aplicáveis no Regime Jurídico da Cibersegurança. Se houver dúvidas, deve procurar a informação oficial do CNCS ou pedir aconselhamento jurídico e técnico. Uma avaliação informal não substitui a confirmação da classificação.
MyCiber: registo e autoidentificação
A plataforma MyCiber é o canal eletrónico previsto no regime. As entidades abrangidas devem usá-la para se registarem e fornecerem informação que permita identificar e qualificar a sua situação. O registo não deve ser tratado como uma formalidade isolada: os dados da entidade e os contactos indicados precisam de se manter corretos.
O CNCS apresenta prazos diferentes consoante o caso. Para entidades que já exerciam atividade antes da entrada em vigor do regime, indica 60 dias úteis a contar da disponibilização da plataforma. Para entidades que iniciaram atividade depois da entrada em vigor, o prazo indicado é de 30 dias úteis. Após a notificação da qualificação, há ainda 20 dias úteis para designar e comunicar ao CNCS o responsável de cibersegurança e o ponto de contacto permanente. A autoridade dispõe, por sua vez, de 30 dias úteis para notificar a qualificação, precedida de um período de audiência prévia.
Atualização (11 de outubro de 2026): contados desde 23 de junho, os 60 dias úteis das entidades já em atividade terminaram por volta de meados de setembro (cálculo aproximado, sem contar feriados; confirma a data exata no MyCiber). Quem ainda não se registou deve fazê-lo o quanto antes.
Estes prazos têm marcos de contagem diferentes. Não se deve assumir que todos começam na mesma data ou que todos se aplicam a cada entidade. Antes de agir, confirme na página oficial do MyCiber qual é o prazo relevante para a sua situação e registe a data da notificação ou do início de atividade, quando aplicável.
Mais do que um formulário: gestão contínua do risco
As obrigações não terminam depois do registo. As entidades abrangidas têm de organizar a cibersegurança como parte da gestão da organização. Isso implica conhecer os riscos, escolher medidas proporcionais e ter processos internos que permitam agir quando algo corre mal.
O regulamento estabelece medidas mínimas e referências de conformidade. Na prática, a entidade deve perceber quais dessas medidas se aplicam ao seu perfil e como as vai demonstrar. Entre as áreas a rever estão o controlo de acessos, a segurança dos sistemas e da informação, a continuidade do serviço e a capacidade de detetar e tratar incidentes.
Também é necessário saber quem decide e quem executa. O regulamento prevê a indicação de um responsável de cibersegurança e de um ponto de contacto permanente. Numa organização pequena, uma mesma pessoa pode acumular funções, mas as responsabilidades têm de estar claras e os contactos, atualizados.
Incidentes: preparar a resposta antes da emergência
A comunicação de incidentes é uma parte central do regime. Quando ocorre um incidente relevante, não basta tentar resolver o problema tecnicamente. A entidade precisa de avaliar o impacto, reunir informação e cumprir os deveres de comunicação aplicáveis junto das autoridades competentes.
Para uma PME, um procedimento simples já é melhor do que improvisar. Deve indicar como comunicar uma suspeita, quem reúne os factos, quem decide sobre a notificação e onde ficam registadas as ações tomadas. Convém também manter contactos de fornecedores críticos e prestadores de serviços, porque a resposta pode depender de terceiros.
O objetivo é reduzir o tempo entre a deteção e a atuação. Um plano que ninguém conhece dificilmente ajuda durante um incidente. Deve ser revisto e testado, mesmo que através de um exercício curto.
Guia prático para PME: o que verificar agora
Uma empresa pode começar com uma revisão interna em cinco passos:
- Confirmar se está abrangida. Analise o setor, a atividade, a dimensão e os critérios do regime. Não conclua que está excluída apenas por ser uma PME.
- Verificar o MyCiber. Se a entidade estiver abrangida, confirme as instruções de registo e autoidentificação, os prazos aplicáveis e os contactos que devem ficar associados.
- Rever as políticas de segurança e gestão de risco. Confirme se existem regras para acessos, utilização de equipamentos, cópias de segurança e proteção da informação. Identifique os riscos que podem interromper o serviço.
- Definir a resposta a incidentes. Escreva um procedimento simples para detetar, escalar, registar e, quando exigido, comunicar incidentes.
- Manter os dados atualizados. Reveja periodicamente os contactos, responsáveis e informação fornecida ao CNCS, sobretudo se a estrutura ou a atividade da entidade mudar.
Não é necessário começar por comprar novas ferramentas. Primeiro, é preciso perceber o que a organização faz, que sistemas são essenciais e quem tem de intervir. Depois, podem ser escolhidas medidas adequadas ao risco e aos recursos disponíveis.
Conclusão
O Regulamento n.º 756/2026 dá forma operacional ao Regime Jurídico da Cibersegurança aprovado pelo Decreto-Lei n.º 125/2025. Para as entidades abrangidas, há trabalho concreto a fazer: confirmar a classificação, cumprir os passos no MyCiber, avaliar riscos, definir responsabilidades e preparar a resposta a incidentes.
Para as PME, a prioridade é esclarecer se estão abrangidas e não deixar o registo para o último momento. Acompanhe as instruções oficiais do CNCS e confirme sempre os prazos associados ao seu caso.
Recursos adicionais
Partilhar
Comentários 0
Ainda sem comentários — sê o primeiro.