Este guia explica o caminho inicial sem substituir uma decisão do CNCS, de outra autoridade competente ou aconselhamento jurídico. Não é seguro concluir que uma entidade está abrangida apenas pela sua dimensão ou pelo setor indicado de forma genérica.
Comece pelo registo da entidade
A informação oficial do CNCS identifica o registo na plataforma MyCiber como o ponto de partida para a autoidentificação das entidades abrangidas pelo novo regime. Quando uma empresa não consegue perceber o seu enquadramento, o caminho mais prudente é apresentar a informação do caso concreto e aguardar a resposta da autoridade competente.
- Aceder à plataforma MyCiber através do endereço oficial.
- Tratar do processo através do representante legal ou de uma pessoa com poderes para representar a entidade.
- Preencher a informação pedida com dados atuais e coerentes.
- Guardar o recibo e as comunicações geradas pela plataforma.
O que é a autoidentificação
A autoidentificação é o preenchimento do formulário eletrónico com os dados necessários para a qualificação. Não é a mesma coisa que uma decisão final de qualificação. A autoridade competente pode pedir informação adicional, comunicar a qualificação aplicável ou informar que a entidade está fora do âmbito do regime.
- Nome da entidade e número de identificação fiscal.
- Setor, subsetor e tipo de entidade, quando aplicável.
- Estabelecimento, morada e contactos atualizados.
- Número de trabalhadores e, quando aplicável, volume de negócios ou balanço anual.
- Estados-Membros onde presta serviços abrangidos, quando aplicável.
A lista de dados resulta do artigo 8.º do Regulamento n.º 756/2026. O próprio formulário e a autoridade competente determinam a informação efetivamente necessária no caso concreto.
Quem pode tratar do processo
O Regulamento prevê a autenticação da entidade, nomeadamente através do representante legal, e admite representação por meios legalmente admissíveis, como um mandato. Se o registo for tratado por outra pessoa, a empresa deve confirmar previamente que os poderes de representação estão formalizados de modo adequado.
O que acontece depois da submissão
Depois de submeter o formulário, a plataforma gera um recibo comprovativo da autoidentificação com a data e hora da submissão. A empresa deve acompanhar as notificações e responder a pedidos adicionais de informação dentro do prazo indicado na comunicação recebida.
- Guardar o recibo num local acessível à direção e à pessoa responsável pelo processo.
- Confirmar quem acompanha notificações e pedidos de esclarecimento.
- Não tratar a autoidentificação como uma confirmação automática de que a entidade é essencial ou importante.
- Só definir o plano de medidas e evidências depois de perceber o enquadramento aplicável.
Prazos: não use uma regra genérica para decidir o seu caso
O CNCS indica prazos diferentes para entidades que iniciaram atividade depois da entrada em vigor do regime e para entidades que já estavam em atividade quando a plataforma foi disponibilizada. Também existem prazos próprios depois da notificação da qualificação. A data que conta para a sua empresa deve ser confirmada no processo oficial e nas notificações recebidas.
- O CNCS descreve 30 dias após o início de atividade para entidades novas.
- Para entidades já em atividade, descreve 60 dias após a disponibilização da plataforma.
- A comunicação do responsável de cibersegurança e do ponto de contacto permanente ocorre, para as entidades aplicáveis, no prazo de 20 dias úteis após a notificação da qualificação.
Os prazos acima são um resumo de informação oficial publicada. Não são uma decisão individual nem substituem a leitura das notificações da plataforma.
O que este guia não decide
Este conteúdo não confirma se uma empresa é essencial, importante ou pública relevante, não calcula um prazo individual e não substitui uma opinião jurídica. O seu objetivo é ajudar a organizar o primeiro passo e a preparar uma conversa técnica mais clara depois da resposta oficial.