No artigo sobre o Regime Jurídico da Cibersegurança deixámos uma frase que merece ser repetida: a responsabilidade de perceber se está abrangido é sua.
Não é uma figura de estilo. A lei assenta em auto-identificação: ninguém lhe manda uma carta a avisar. E há uma data.
15 de Setembro de 2026
É o prazo para as entidades abrangidas se registarem na plataforma MyCiber. São 60 dias úteis contados de 23 de Junho, data em que a plataforma abriu.
Quem iniciar actividade depois disso tem 30 dias úteis a contar do início.
Não se registar é, por si só, uma contra-ordenação — independentemente de ter ou não medidas de segurança implementadas.
Quem tem de se registar
O dever de registo recai sobre as entidades abrangidas pelos sectores e critérios do Decreto-Lei n.º 125/2025. O CNCS estima cerca de seis mil entidades em Portugal — eram 450 no regime anterior, o que dá a medida do alargamento.
Só que não tem forma de o determinar com rigor. O simulador disponível na MyCiber é meramente indicativo, depende da informação que lá puser e não vincula o CNCS. A qualificação formal só acontece depois do registo, e nunca antes.
Acresce que falhar o prazo é, por si só, uma infracção autónoma — independentemente de vir a concluir-se que estava ou não abrangido.
Na prática, quem tenha a mais pequena dúvida deve registar-se. Se a autoridade concluir que a entidade não está abrangida, o registo provisório é cancelado sem consequências. O custo de registar a mais é zero. O de registar a menos, não.
Quem pode fazer o registo
O registo faz-se em myciber.gov.pt (abre noutro separador), em Registar Entidade. Há dois caminhos:
- Chave Móvel Digital com atributos SCAP. É o caminho simples: a plataforma reconhece a empresa e preenche os dados sozinha. Se não sabe se tem estes atributos, leia Sabe o que é o SCAP?
- Chave Móvel Digital com procuração. Sem SCAP, é preciso anexar documento comprovativo dos poderes de representação.
Se for pelo caminho da procuração, limite-a. A procuração deve ser específica para o registo na plataforma MyCiber, em representação dos órgãos sociais. Uma procuração genérica dá poderes muito para além do necessário, e isso é um risco que não precisa de correr.
O registo, passo a passo
O formulário tem oito etapas: Identificação, Documentação, Tipologia, Âmbito Territorial, Critérios Especiais, Actividade, Dimensão e Revisão. Nenhuma delas é técnica, mas convém preparar os dados antes de começar. As imagens seguintes acompanham o processo do princípio ao fim.
No fim, a plataforma envia um código de verificação para o email indicado. Submetido o formulário, fica com um registo provisório: o CNCS e, quando aplicável, as autoridades sectoriais analisam o enquadramento e emitem depois a decisão de qualificação.
O registo não qualifica ninguém por si. É o ponto de partida.
O que preparar antes de começar
Poupa tempo se tiver isto à mão: NIPC e data de constituição, morada e código postal da sede, telefone e email institucional, forma jurídica, sector e subsector de actividade, número de trabalhadores e intervalos de volume de negócios e de balanço. Se não tiver SCAP, junte também a procuração em PDF, até 10 MB.
Faltam poucos dias e o registo não se faz em cinco minutos. Se não sabe se está abrangido, se não tem SCAP, ou se preferir que alguém acompanhe o processo, fale connosco. Acompanhamos todo o processo de conformidade, do primeiro diagnóstico à manutenção corrente — veja o que fazemos em cibersegurança.