MyCiber: apenas metade das entidades estimadas cumpriu o registo antes do prazo de 15 de setembro

Mais de cinco mil entidades estão abrangidas pelo novo Regime Jurídico da Cibersegurança, segundo estimativas avançadas pelo Centro Nacional de Cibersegurança (CNCS) em declarações exclusivas à IT Security. No entanto, apenas cerca de metade está, até ao momento, registada na plataforma MyCiber. O prazo para cumprir a obrigação de autoidentificação e registo termina a 15 de setembro. 

“Considerando a aproximação do termo do prazo, verificamos que o número de registos efetuados na plataforma MyCiber está sensivelmente a meio do universo estimado”, revela o CNCS à IT Security.

A Autoridade Nacional para a Cibersegurança admite que parte das organizações possa estar a deixar o processo para o fim. “Reconhecemos a possibilidade de muitas destas entidades deixarem o seu dever de registo para os últimos dias, como é prática na resposta a obrigações legais”, refere.

A decisão, contudo, pode ter implicações para as organizações que ainda não avaliaram se estão abrangidas. Segundo o CNCS, estas entidades podem desconhecer as obrigações que lhes são aplicáveis, um risco que a Autoridade diz ter procurado mitigar através de ações de comunicação, formação e esclarecimento, além da disponibilização de ferramentas de apoio à autoidentificação.

“O cumprimento atempado desta obrigação deve ser uma prioridade para todas as entidades potencialmente abrangidas”, alerta o CNCS, acrescentando que estas devem verificar o respetivo enquadramento no regime e efetuar o registo dentro do prazo.

O registo é, no entanto, apenas a primeira etapa de um calendário de obrigações que se estende para lá de 15 de setembro.

A autoidentificação na MyCiber não determina, por si só, que uma organização fique qualificada ao abrigo do novo regime. Essa decisão depende dos critérios objetivos e subjetivos previstos no Decreto-Lei n.º 125/2025, de 4 de dezembro, cabendo posteriormente ao CNCS proceder à qualificação das entidades.

O universo estimado de mais de cinco mil entidades representa um alargamento significativo face ao anterior regime. Em entrevista à IT Security, em julho, Lino Santos, coordenador do CNCS, já tinha antecipado a dimensão do desafio e explicado que a Autoridade Nacional para a Cibersegurança se estava a preparar para automatizar grande parte do processo de qualificação.

Administração Pública, Gestão de Serviços TIC e Saúde lideram registos

A adesão à MyCiber não está a decorrer ao mesmo ritmo em todos os setores. De acordo com os dados avançados pelo CNCS, a Administração Pública, a Gestão de Serviços TIC e a Saúde apresentam atualmente os indicadores de registo mais elevados.

No sentido inverso, as Infraestruturas Digitais, a Indústria Transformadora e a Prestação de Serviços Digitais estão entre os setores com menor número de registos. “Estamos a trabalhar para que todas as entidades concluam o seu registo”, afirma o CNCS.

O novo regime abrange entidades que atuam em 17 setores, além da Administração Pública. Para lá dos setores essenciais já sujeitos ao anterior Regime Jurídico da Segurança do Ciberespaço, o enquadramento passou a incluir áreas como a gestão de serviços de tecnologias da informação ou comunicação, águas residuais, espaço, indústria transformadora, serviços postais e de estafeta e gestão de resíduos.

Entre as novas áreas abrangidas encontram-se ainda a produção, fabrico e distribuição de produtos químicos, a produção, transformação e distribuição de produtos alimentares, a prestação de serviços digitais e a investigação.

Quem tem de fazer o registo ainda tem dúvidas

O CNCS identifica três dificuldades transversais no processo de registo, começando pelas dúvidas sobre quem, dentro das organizações, é responsável por assegurar o procedimento. O registo na MyCiber apenas pode ser efetuado pelo representante legal, ou seja, por um membro com poderes para vincular a entidade, ou, em alternativa, por um elemento interno ou externo a quem tenham sido atribuídos poderes para o ato.

“Não é, por isso, uma tarefa técnica da responsabilidade dos serviços de informática”, esclarece o CNCS.

Outra dificuldade prende-se com a correta identificação do setor de atividade para efeitos de enquadramento nos Anexos I e II do Regime Jurídico da Cibersegurança. A classificação setorial nem sempre corresponde diretamente à atividade económica principal declarada pela organização para outros efeitos, situação que, segundo o CNCS, tem provocado dúvidas legítimas sobre o setor a selecionar na plataforma.

A terceira dificuldade é a fraca utilização do Sistema de Certificação de Atributos Profissionais (SCAP), que permite associar cargos e funções profissionais ao Cartão de Cidadão ou à Chave Móvel Digital e que, segundo a Autoridade, facilitaria o processo.

Registo fora do prazo continua a ser obrigatório

“O novo Regime Jurídico da Cibersegurança não prevê um procedimento de ‘regularização’ após o termo do prazo estabelecido para o efeito, distinto da obrigação em si”, esclarece o CNCS à IT Security. “A obrigação de registo não se extingue com o prazo estabelecido”, acrescenta o Centro Nacional de Cibersegurança, pelo que o registo tardio continua a ser exigível e a produzir efeitos.

O incumprimento da obrigação de registo e autoidentificação pelas entidades abrangidas constitui uma contraordenação grave, punível com coima. Segundo o CNCS, os valores são definidos consoante a qualificação da entidade. O dever está previsto no artigo 8.º do Decreto-Lei n.º 125/2025 e o incumprimento constitui uma contraordenação grave nos termos do artigo 62.º do diploma.

A Autoridade revela também como pretende chegar às organizações que permaneçam por registar. “Sendo o registo obrigatório dentro ou fora do prazo, a identificação das entidades que não cumprirem a sua obrigação legal vai ser feita através de um trabalho de articulação com o Instituto de Registos e Notariado”, adianta o CNCS.

Prazo de 24 meses não começa com o registo

O momento em que cada entidade efetua o registo também não altera o calendário para implementar as medidas previstas pelo novo regime. Segundo o CNCS, o prazo de 24 meses para a implementação das medidas de cibersegurança é independente da data de registo.

Com a publicação do Regulamento do Regime Jurídico da Cibersegurança iniciou-se a contagem desse prazo para a produção de efeitos das medidas de cibersegurança e para a obrigatoriedade de comunicação do Relatório Anual pelas entidades essenciais.

“Quanto mais cedo se registarem, mais cedo ficam a conhecer as suas obrigações e mais tempo têm para as operacionalizar”, alerta o CNCS.

Em entrevista à IT Security, em julho, Lino Santos já tinha defendido que este período não deveria ser encarado como uma fase de inação. O coordenador do CNCS salientava então a importância do envolvimento das administrações na implementação do novo regime, considerando o buy-in das chefias um fator crítico para o sucesso da NIS2.

Como fazer o registo na MyCiber

O processo deve ser realizado pelo representante legal da organização ou por uma pessoa a quem tenham sido atribuídos poderes para o efeito. Para aceder à plataforma MyCiber é necessária autenticação através de Chave Móvel Digital ou Cartão de Cidadão.

Para apoiar as organizações durante o processo, a plataforma disponibiliza uma área de perguntas frequentes, destinada a esclarecer as principais dúvidas identificadas, e um manual de utilizador dirigido às entidades. 

Mais informações no site do Centro Nacional de Cibersegurança e na Plataforma MyCiber