Lista de Ativos tem de ser submetida à autoridade até 31 de janeiro de 2027

O Regulamento n.º 756/2026 fixou os prazos práticos de aplicação do Regime Jurídico da Cibersegurança (RJC) em Portugal. As entidades abrangidas têm de submeter a Lista de Ativos até 31 de janeiro de 2027, ou nos seis meses seguintes à sua qualificação, consoante o que ocorrer primeiro.

Publicado em 22 de junho de 2026 no Diário da República pelo Centro Nacional de Cibersegurança (CNCS), o Regulamento n.º 756/2026 define as regras de execução do Regime Jurídico da Cibersegurança (RJC), o diploma que transpõe para Portugal a Diretiva relativa a medidas para um elevado nível comum de cibersegurança na União (NIS2). O regulamento concretiza obrigações que, até agora, estavam definidas apenas em termos gerais.

Um dos prazos centrais diz respeito à Lista de Ativos. Segundo o regulamento, as entidades devem comunicar à autoridade competente a lista de ativos, na sua versão inicial, até 31 de janeiro do ano seguinte àquele em que ocorra a notificação prevista no artigo 8.º, n.º 5, do RJC, ou no prazo de seis meses após essa notificação, consoante o que ocorrer primeiro. Para muitas organizações já em atividade, isto significa a data limite de 31 de janeiro de 2027.

O regulamento estabelece ainda outros prazos operacionais. A designação do responsável pela cibersegurança deve ocorrer no prazo de 20 dias úteis após a entrada em vigor, e o registo na plataforma eletrónica gerida pelo CNCS deve ser feito nos 60 dias após a sua disponibilização, para as entidades já em atividade. Está também previsto um relatório, a apresentar 24 meses após a publicação do regulamento.

O diploma abrange 17 setores de atividade, além da Administração Pública, classificando as organizações como entidades essenciais ou importantes. As coimas podem chegar a 10 milhões de euros ou 2 por cento do volume de negócios anual para as entidades essenciais. O CNCS concentra numa única plataforma eletrónica os processos de registo, notificação de incidentes e comunicação de ativos.

Para as empresas abrangidas, a mensagem prática é começar já a organizar o inventário de ativos digitais críticos e a identificar quem será o responsável pela cibersegurança. Mapear os ativos, confirmar a data em que a entidade foi ou será qualificada e preparar a submissão através da plataforma do CNCS são passos que reduzem o risco de incumprimento à medida que os prazos de 2027 se aproximam.

Fonte: https://www.ciberseguranca.pt/regulamento-n-o-756-2026-portugal-publica-as-regras-praticas-para-aplicacao-do-novo-regime-juridico-da-ciberseguranca/. Escrito pela equipa N4A, revisto por um Lead Auditor certificado ISO 27001.