MyCiber

A quem se aplica a plataforma?

• Entidades essenciais
• Entidades importantes 
• Entidades públicas relevantes
• Qualquer cidadão/entidade que pretenda, através da página pública da Plataforma, notificar voluntariamente, um incidente, quase incidente, ciberameaça ou vulnerabilidade
  
  

Calendário de obrigações

Identificação e registo na plataforma MyCiber 

30 dias úteis → Entidades que tenham iniciado atividade depois da entrada em vigor do Regime Jurídico da Cibersegurança (RJC); 

60 dias úteis → Entidades que tenham iniciado atividade antes da entrada em vigor do RJC aquando da disponibilização da Plataforma; 

Comunicação do Responsável de Cibersegurança e do Ponto de Contacto Permanente 

20 dias úteis → A contar da data de notificação prevista no n.º 5 do artigo 8.º do RJC – isto é, após a notificação de qualificação final da entidade. 

Qualificação 

30 dias úteis → Prazo para notificação da qualificação pela Autoridade de Cibersegurança Competente (CNCS, Autoridade Nacional de Comunicações- ANACOM ou Gabinete Nacional de Segurança- GNS); 

Notificação de incidentes 

Incidentes com Impacto Significativo para Entidades Essenciais, Importantes e Públicas Relevantes A ou B→ Notificação Inicial no prazo de 24 horas, na Plataforma MyCiber sempre que haja conhecimento de um incidente com impacto significativo. As restantes notificações e relatórios associados a esse incidente são também comunicados na Plataforma.  

Lista de ativos 

Até 31 de janeiro de 2027 ou 6 meses após a notificação de qualificação final consoante o prazo que se vença primeiro → Envio da Lista de Ativos das Entidades Essenciais, Importantes e Públicas Relevantes. 

Relatório Anual e Medidas de Cibersegurança 

24 meses após a publicação do Regulamento do Regime Jurídico da Cibersegurança → Envio do Relatório Anual pelas entidades essenciais.  Implementação das Medidas de Cibersegurança para as entidades Essenciais, Importantes e Públicas Relevantes.  

Identificação e registo na Plataforma

As entidades elencadas no artigo 3.º do RJC têm a obrigação de identificação e registo na Plataforma. Para realizar este registo, as entidades devem fazer-se representar pelo seu representante legal que se traduz num membro da entidade com poderes para a vincular ou por um elemento (interno ou externo), ao qual tenham sido atribuídos os poderes para efetuar o registo da entidade. 

Para realizar o registo, o representante legal ou a pessoa a quem foram atribuídos poderes para tal, deve autenticar-se através de Chave Móvel Digital ou Cartão de Cidadão, devendo para tal ter um leitor de cartões.  

As entidades devem garantir que ao realizar o registo têm consigo, ou o documento comprovativo de que o representante legal tem poderes de representação da entidade, nos casos em que este não tenha o Sistema de Certificação de Atributos Profissionais, ou o documento comprovativo da constituição de mandato ou atribuição de poderes específicos de representação para efetuar registo da entidade, nos casos em que não seja o representante legal da entidade a realizar o registo. As entidades devem garantir que ao realizar o registo têm consigo o comprovativo de que o representante legal tem poderes de representação da entidade, nos casos em que este não tenha o Sistema de Certificação de Atributos Profissionais, ou o documento comprovativo da constituição de mandato ou atribuição de poderes específicos de representação para efetuar registo da entidade, nos casos em que não seja o representante legal a realizar o registo.  

Qualificação

Após o registo, a entidade recebe um documento comprovativo, que confirma o sucesso do registo. Este documento é enviado para o e-mail da entidade, disponibilizado no momento de registo, ficando, também, disponível para consulta na área reservada da entidade, na Plataforma MyCiber.  

Com os dados fornecidos pela entidade, o CNCS, e quando aplicável a Autoridade Nacional Setorial de Cibersegurança Competente (GNS ou  ANACOM) analisa o registo e determina se a entidade está abrangida pelo Regime Jurídico da Cibersegurança. 
A entidade é notificada através de um Projeto de Ato de Qualificação, pela autoridade de cibersegurança competente, do seguinte: 
 
i) Que não está abrangida pelo Regime Jurídico da Cibersegurança; 
ou 
ii) Que está abrangida e qual a sua respetiva qualificação. 
 
O Projeto de Ato de Qualificação prevê que a entidade possa, em sede de audiência de interessados, pronunciar-se durante 10 dias úteis após o envio da notificação.  

Caso a entidade não se pronuncie, confirma-se a informação e a entidade recebe o Ato de Qualificação, momento a partir do qual as obrigações decorrentes do Regime Jurídico de Cibersegurança são aplicáveis. 

 Aceder à Plataforma MyCiber 

Para pedido de informações relacionadas com o Regime Jurídico da Cibersegurança: info@myciber.gov.pt  

Simulador de apoio às entidades

O CNCS disponibiliza um Simulador — ferramenta, não vinculativa, que permite às entidades testar a avaliação do âmbito de aplicação do Decreto-Lei n.º 125/2025.

De realçar que o simulador não abrange os critérios de âmbito previstos nas alíneas b), c), d) e e) do n.º 2, e no n.º 5 do artigo 3.º do Decreto-lei n.º 125/2025

O que abrange o simulador?

O Simulador rege-se pelas regras gerais dispostas no Decreto-lei n.º 125/2025, mas não abrange os critérios de âmbito previstos nas alíneas b), c), d) e e) do n.º 2, e no n.º 5 do artigo 3.º do Decreto-lei n.º 125/2025.

O resultado apresentado pelo Simulador é meramente indicativo e depende do rigor da informação fornecida, não estando sujeito a uma avaliação formal, uma vez que o CNCS não tem qualquer visibilidade sobre os dados introduzidos pela entidade. A utilização do simulador não dispensa o registo das entidades que se inicia após a publicação do Regulamento.