A Lista de Ativos: o prazo que quase ninguém marcou.
Toda a gente decorou o registo na MyCiber e os prazos dos incidentes. Mas o Regulamento n.º 756/2026 trouxe outra obrigação com data: comunicar a Lista de Ativos à autoridade competente. Para a maioria das entidades já em atividade, o limite é 31 de janeiro de 2027, e o levantamento demora mais do que parece.
Resposta rápida
O Regulamento n.º 756/2026, publicado pelo CNCS a 22 de junho de 2026, obriga as entidades abrangidas pelo regime NIS2 português a comunicar a lista dos seus ativos, na versão inicial, até 31 de janeiro do ano seguinte à notificação da qualificação, ou no prazo de seis meses após essa notificação, consoante o que ocorrer primeiro. Para muitas organizações já em atividade, isso significa 31 de janeiro de 2027. A comunicação faz-se pela plataforma eletrónica do CNCS.
Atualizado a 13 de agosto de 2026.
Como se conta o prazo.
A regra tem duas pontas, e vale a que chegar primeiro:
- 31 de janeiro do ano seguinte àquele em que a entidade foi notificada da qualificação (artigo 8.º, n.º 5 do RJC); ou
- seis meses após essa notificação.
Dois exemplos. Entidade notificada em março de 2026: os seis meses terminam em setembro de 2026, antes de 31 de janeiro de 2027, vale setembro. Entidade notificada em outubro de 2026: os seis meses iriam até abril de 2027, mas o 31 de janeiro de 2027 chega primeiro, vale janeiro. Na dúvida, confirme a data da sua notificação: é ela que manda em tudo.
A Lista de Ativos não é um envio único: depois da versão inicial, mantém-se atualizada. E não vive isolada: é sobre ela que assenta a análise de risco das dez medidas do artigo 21.º. Uma lista mal feita compromete tudo o que o regime pede a seguir.
O caminho, em quatro passos.
Confirme a data da sua qualificação
O prazo conta a partir da notificação da qualificação como entidade essencial ou importante (artigo 8.º, n.º 5 do RJC). É essa data que decide se o seu limite é 31 de janeiro de 2027 ou seis meses depois da notificação, valendo o que ocorrer primeiro.
Levante os ativos que sustentam o negócio
Sistemas, aplicações, redes, dados e serviços de que a operação depende, incluindo os que estão em fornecedores e na cloud. O critério não é ter tudo: é ter o que é crítico, com dono identificado e atualizado.
Classifique e atribua responsáveis
Cada ativo com a sua criticidade e o seu responsável. É esta classificação que depois alimenta a análise de risco do artigo 21.º: a lista não é um fim, é o alicerce de tudo o que o regime pede a seguir.
Submeta na plataforma do CNCS
A comunicação faz-se através da plataforma eletrónica gerida pelo CNCS, a mesma que concentra o registo e a notificação de incidentes. Depois da versão inicial, a lista mantém-se, não é um envio único.
Os erros que vamos encontrar em janeiro.
Escrevemos isto em agosto para que não seja consigo.
O inventário de ativos é um módulo da Plataforma NIS2 Compliance.
Os ativos com criticidade e responsável, ligados aos controlos do artigo 21.º e à evidência de cada um, em vez de uma folha de cálculo que ninguém volta a abrir depois de janeiro.
Conhecer a Plataforma NIS2 CompliancePERGUNTAS FREQUENTES
As perguntas que mais nos fazem.
É a comunicação à autoridade competente do inventário dos ativos da entidade: os sistemas, redes, dados e serviços que sustentam a sua operação. Foi concretizada pelo Regulamento n.º 756/2026 do CNCS, que executa o Regime Jurídico da Cibersegurança (DL 125/2025), e faz-se através da plataforma eletrónica gerida pelo CNCS.
A versão inicial tem de ser comunicada até 31 de janeiro do ano seguinte àquele em que a entidade foi notificada da qualificação, ou no prazo de seis meses após essa notificação, consoante o que ocorrer primeiro. Para muitas entidades já em atividade, o limite prático é 31 de janeiro de 2027.
Os ativos relevantes para a operação da entidade: sistemas, aplicações, redes, dados e serviços, incluindo os que estão em fornecedores e na cloud. O essencial é que o inventário reflita o que é crítico para o negócio, com criticidade e responsável atribuídos, porque é sobre ele que assenta a análise de risco do artigo 21.º.
Não. O regulamento fala na versão inicial, o que implica manutenção: a lista deve refletir a realidade da entidade ao longo do tempo. Tratá-la como um envio único é um dos erros que mais caro vai custar em supervisão.
O incumprimento das obrigações do regime é contraordenação ao DL 125/2025, com coimas que podem chegar aos 10 milhões de euros ou 2% do volume de negócios anual para entidades essenciais. E a lista em falta compromete o resto: sem inventário não há análise de risco demonstrável.
Janeiro chega depressa.
A N4A faz o levantamento consigo, classifica os ativos com critério de auditor, e deixa a lista pronta a submeter, e pronta a sustentar a análise de risco que vem a seguir.
Falar com um Auditor CertificadoOutros recursos
Ver todos