Novo regime de cibersegurança reforça obrigações de proteção e reporte de serviços essenciais em Portugal

Portugal encontra-se na fase de implementação do novo Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025, de 4 de dezembro, que entrou em vigor em 3 de abril de 2026.

O Regulamento n.º 756/2026, em vigor desde 23 de junho, estabelece regras de execução, incluindo o funcionamento da plataforma MyCiber, sem prejuízo dos prazos e disposições transitórias aplicáveis a determinadas obrigações.

A plataforma MyCiber, disponibilizada pelo Centro Nacional de Cibersegurança (CNCS), passou a constituir o ponto central para o registo das entidades abrangidas pelo Regime Jurídico da Cibersegurança e para vários procedimentos associados ao cumprimento das novas obrigações.

Entre os setores abrangidos encontram-se infraestruturas e serviços particularmente relevantes para a resiliência nacional, incluindo energia, transportes, saúde, banca, infraestruturas digitais, comunicações eletrónicas, serviços postais e determinadas entidades da Administração Pública.

No caso específico das comunicações eletrónicas e dos serviços postais, a ANACOM alertou as entidades já em atividade para a obrigação de efetuarem o respetivo registo na plataforma MyCiber até 15 de setembro de 2026.

O QUE É A MYCIBER?

A MyCiber é a plataforma eletrónica disponibilizada pelo Centro Nacional de Cibersegurança no âmbito do novo Regime Jurídico da Cibersegurança.

A plataforma permite às entidades abrangidas proceder à sua identificação e registo e assegura a gestão de processos relacionados com o cumprimento das obrigações legais e a notificação de incidentes.

Funciona igualmente como canal de comunicação com as autoridades competentes, incluindo, consoante o setor, o CNCS, a ANACOM e o Gabinete Nacional de Segurança.

As entidades são posteriormente enquadradas de acordo com os critérios previstos no regime, incluindo a sua atividade, dimensão e relevância.

PORQUE ESTÃO AS TELECOMUNICAÇÕES ABRANGIDAS?

As redes de comunicações constituem uma infraestrutura fundamental para o funcionamento de grande parte dos restantes serviços essenciais.

Energia, serviços bancários, pagamentos, Administração Pública, transportes, emergência, empresas e comunicações pessoais dependem direta ou indiretamente de redes e sistemas digitais.

Uma perturbação significativa numa infraestrutura de telecomunicações pode, por isso, produzir efeitos para além do próprio operador.

Os fornecedores de redes públicas de comunicações eletrónicas e os prestadores de serviços de comunicações eletrónicas acessíveis ao público encontram-se entre as entidades especificamente abrangidas pelas obrigações de registo assinaladas pela ANACOM.

Os serviços postais e de estafeta encontram-se igualmente incluídos.

INCIDENTES PASSAM A TER PRAZOS DEFINIDOS DE NOTIFICAÇÃO

Um dos elementos relevantes do novo enquadramento é o estabelecimento de procedimentos formais para a comunicação de incidentes de cibersegurança com impacto significativo.

Nos termos do artigo 42.º do Regime Jurídico da Cibersegurança, as entidades abrangidas devem efectuar a notificação inicial de um incidente significativo sem demora injustificada e até 24 horas após verificarem a sua existência ou possível ocorrência, salvo quando tal seja incompatível com a mitigação ou resolução do incidente.

O objetivo é permitir uma identificação mais rápida de incidentes relevantes e melhorar a coordenação entre organizações e autoridades.

O novo regime prevê igualmente outras obrigações relacionadas com responsáveis de cibersegurança, pontos de contacto, identificação de ativos e implementação progressiva de medidas de segurança.

A MyCiber torna-se, assim, uma peça central da arquitetura nacional para a gestão institucional destes processos.

DE UM INCIDENTE ISOLADO PARA UMA VISÃO NACIONAL

A centralização do reporte assume particular importância quando vários incidentes aparentemente independentes podem ter uma origem ou campanha comum.

Um ataque contra uma única organização pode inicialmente aparentar ter impacto limitado.

Se diferentes operadores de energia, telecomunicações, transportes ou serviços digitais começarem a comunicar ocorrências semelhantes, a informação agregada poderá permitir às autoridades identificar mais rapidamente um ataque coordenado ou uma vulnerabilidade transversal.

Esta capacidade de construir uma visão mais ampla da situação constitui um elemento importante da resiliência cibernética nacional.

PORQUE É RELEVANTE PARA PREPARAÇÃO?

Grande parte da preparação doméstica moderna depende de infraestruturas digitais.

Internet, telecomunicações, pagamentos eletrónicos, serviços bancários, informação oficial, sistemas de navegação, plataformas públicas e vários serviços logísticos dependem de redes e sistemas de informação.

Um incidente cibernético grave pode, por isso, produzir consequências físicas ou operacionais mesmo quando não existe qualquer dano direto numa infraestrutura.

O ataque DDoS que afetou recentemente a infraestrutura internacional da MEO demonstrou como um incidente digital pode traduzir-se em degradação perceptível das comunicações.

Para o cidadão, a resiliência passa também por reduzir a dependência absoluta de um único sistema digital.

Meios alternativos de comunicação, alguma capacidade de pagamento independente de sistemas eletrónicos, cópias offline de informação essencial, autenticação segura e fontes alternativas de informação podem reduzir o impacto de uma indisponibilidade temporária.

AVALIAÇÃO PREPPERS.PT

A implementação da MyCiber e das obrigações previstas no novo Regime Jurídico da Cibersegurança representa um reforço estrutural da capacidade nacional de prevenção, identificação e gestão de incidentes.

O alargamento das obrigações a setores essenciais e importantes deverá aumentar a visibilidade institucional sobre incidentes relevantes e promover requisitos mais consistentes de gestão do risco.

A obrigação de notificação inicial de determinados incidentes significativos até 24 horas após o seu conhecimento poderá igualmente contribuir para uma resposta mais rápida quando existam ataques com potencial impacto transversal.

Este desenvolvimento representa uma medida de reforço da resiliência e não um indicador de aumento imediato da ameaça.

Portugal permanece sujeito ao ambiente permanente de risco cibernético comum às sociedades altamente digitalizadas, sem indicação pública atual de uma perturbação sistémica dos serviços essenciais nacionais.

A área Cibersegurança mantém-se em 2/5 — MODERADO, com tendência ESTÁVEL.

Estado: Implementação do novo regime
Área de Vigilância: Cibersegurança
Âmbito: Portugal
Instrumento: Regime Jurídico da Cibersegurança / MyCiber
Entidade responsável pela plataforma: Centro Nacional de Cibersegurança
Prazo de registo para entidades já em atividade: 15/09/2026
Notificação inicial de incidente significativo: Até 24 horas após conhecimento, quando aplicável
Setores relevantes: Energia, transportes, saúde, banca, infraestruturas digitais, comunicações, serviços postais e Administração Pública, entre outros
Perturbação sistémica atual identificada: Não
Data da avaliação: 28/09/2026

FONTES

Diário da República — 4 de dezembro de 2025
Decreto-Lei n.º 125/2025 — Regime Jurídico da Cibersegurança

Diário da República — 22 de junho de 2026
Regulamento n.º 756/2026 — Regulamento do Regime Jurídico da Cibersegurança

Centro Nacional de Cibersegurança — 6 de abril de 2026
Novo Regime Jurídico da Cibersegurança entra em vigor

PREPPERS.PT
Metodologia de Risco
https://preppers.pt/metodologia-de-risco/