Cibersegurança: novas regras para empresas e entidades públicas em Portugal

Foi publicado o novo Regulamento n.º 756/2026, aprovado pelo Centro Nacional de Cibersegurança (CNCS), que estabelece as regras de execução do novo Regime Jurídico da Cibersegurança. O diploma vem definir como será aplicado em Portugal o enquadramento resultante da transposição da diretiva europeia NIS2.

O regulamento, publicado no Diário da República hoje (22 de junho de 2026), detalha vários procedimentos que passam a ser obrigatórios, incluindo o funcionamento da plataforma eletrónica de registo, a comunicação de incidentes, a identificação dos responsáveis de cibersegurança e a aplicação de medidas mínimas de proteção.

Plataforma eletrónica MyCiber passa a concentrar comunicações de cibersegurança

Uma das principais novidades é a criação das regras de funcionamento da plataforma eletrónica gerida pelo CNCS - MyCiber. Este sistema pretende simplificar a interação entre as organizações abrangidas pelo regime e as autoridades de cibersegurança.

A plataforma permitirá, entre outras funções:

• registo e identificação das entidades abrangidas;
• processo de qualificação das organizações;
• comunicação do responsável de cibersegurança;
• indicação do ponto de contacto permanente;
• envio de relatórios anuais;
• notificação de incidentes de cibersegurança.

O objetivo é criar um canal centralizado para garantir maior rapidez e rastreabilidade na comunicação entre empresas, organismos públicos e autoridades competentes.

Empresas terão de avaliar o seu enquadramento

O regulamento define também o processo de autoidentificação das entidades. As organizações terão de fornecer informação como identificação fiscal, setor de atividade, dimensão, contactos, localização e outros dados necessários para determinar se ficam abrangidas pelo regime.

Depois da submissão dos dados, o CNCS procede à qualificação da entidade e comunica o nível de conformidade aplicável, quando necessário.

Novas exigências para responsáveis de cibersegurança

As entidades abrangidas passam a ter regras mais claras para comunicar quem assume funções de responsável de cibersegurança e quem garante o ponto de contacto permanente com as autoridades.

Estas funções serão essenciais para garantir que existe uma ligação direta em situações como incidentes, pedidos de informação ou processos de acompanhamento.

Quadro Nacional de Referência define medidas mínimas

O regulamento aprova ainda o Quadro Nacional de Referência para a Cibersegurança (QNRCS) e estabelece níveis de conformidade - básico, substancial e elevado - associados às medidas mínimas que as entidades devem implementar.

Além disso, são definidas regras para a gestão de risco, incluindo a avaliação de riscos residuais e os critérios utilizados para verificar se as organizações cumprem as medidas exigidas.

Com este regulamento, Portugal passa a ter um modelo mais detalhado para operacionalizar as obrigações previstas no Regime Jurídico da Cibersegurança. A medida pretende reforçar a proteção de serviços críticos e aumentar a capacidade de resposta nacional perante incidentes digitais.

Para muitas organizações, este novo enquadramento significa uma revisão dos processos internos, políticas de segurança, gestão de risco e mecanismos de comunicação de incidentes.