A Lista de Ativos: um prazo que exige preparação.
O registo no MyCiber e os prazos de notificação de incidentes são conhecidos. O Regulamento n.º 756/2026 trouxe, porém, outra obrigação com data: comunicar a Lista de Ativos à autoridade competente. Para a maioria das entidades já em atividade, o limite é 31 de janeiro de 2027, e o levantamento demora mais do que parece.
Resposta rápida
O Regulamento n.º 756/2026, publicado pelo CNCS a 22 de junho de 2026, obriga as entidades abrangidas pelo regime NIS2 português a comunicar a lista dos seus ativos, na versão inicial, até 31 de janeiro do ano seguinte à notificação da qualificação, ou no prazo de seis meses após essa notificação, consoante o que ocorrer primeiro. Para muitas organizações já em atividade, isso significa 31 de janeiro de 2027. A comunicação faz-se pela plataforma eletrónica do CNCS.
Atualizado a 13 de agosto de 2026.
Como se conta o prazo.
A regra tem dois limites, e prevalece o que ocorrer primeiro:
- 31 de janeiro do ano seguinte àquele em que a entidade foi notificada da qualificação (artigo 8.º, n.º 5 do RJC); ou
- seis meses após essa notificação.
Dois exemplos. Entidade notificada em março de 2026: os seis meses terminam em setembro de 2026, antes de 31 de janeiro de 2027; prevalece setembro. Entidade notificada em outubro de 2026: os seis meses iriam até abril de 2027, mas 31 de janeiro de 2027 ocorre primeiro; prevalece janeiro. Na dúvida, confirme a data da sua notificação: é ela que determina o prazo aplicável.
A Lista de Ativos não é um envio único: depois da versão inicial, mantém-se atualizada. Também não é um elemento isolado: é sobre ela que assenta a análise de risco das dez medidas do artigo 21.º. Uma lista deficiente compromete tudo o que o regime exige a seguir.
O caminho, em quatro passos.
Confirme a data da sua qualificação
O prazo conta a partir da notificação da qualificação como entidade essencial ou importante (artigo 8.º, n.º 5 do RJC). É essa data que decide se o seu limite é 31 de janeiro de 2027 ou seis meses depois da notificação, valendo o que ocorrer primeiro.
Levante os ativos que sustentam o negócio
Sistemas, aplicações, redes, dados e serviços de que a operação depende, incluindo os que estão em fornecedores e na nuvem. O critério não é inventariar tudo, mas sim o que é crítico, com responsável atribuído e informação atualizada.
Classifique e atribua responsáveis
Cada ativo com a sua criticidade e o seu responsável. É esta classificação que depois alimenta a análise de risco do artigo 21.º: a lista não é um fim, é o alicerce de tudo o que o regime pede a seguir.
Submeta na plataforma do CNCS
A comunicação faz-se através da plataforma eletrónica gerida pelo CNCS, a mesma que concentra o registo e a notificação de incidentes. Após a versão inicial, a lista deve ser mantida atualizada: não se trata de um envio único.
Erros frequentes na preparação da lista.
Identificados com antecedência, para que a sua organização os possa evitar.
O inventário de ativos é um módulo da Plataforma NIS2 Compliance.
Os ativos com criticidade e responsável, ligados aos controlos do artigo 21.º e à evidência de cada um, em vez de uma folha de cálculo sem manutenção depois da submissão.
Conhecer a Plataforma NIS2 CompliancePERGUNTAS FREQUENTES
As perguntas que mais nos fazem.
É a comunicação à autoridade competente do inventário dos ativos da entidade: os sistemas, redes, dados e serviços que sustentam a sua operação. Foi concretizada pelo Regulamento n.º 756/2026 do CNCS, que executa o Regime Jurídico da Cibersegurança (DL 125/2025), e faz-se através da plataforma eletrónica gerida pelo CNCS.
A versão inicial tem de ser comunicada até 31 de janeiro do ano seguinte àquele em que a entidade foi notificada da qualificação, ou no prazo de seis meses após essa notificação, consoante o que ocorrer primeiro. Para muitas entidades já em atividade, o limite prático é 31 de janeiro de 2027.
Os ativos relevantes para a operação da entidade: sistemas, aplicações, redes, dados e serviços, incluindo os que estão em fornecedores e na nuvem. O essencial é que o inventário reflita o que é crítico para o negócio, com criticidade e responsável atribuídos, porque é sobre ele que assenta a análise de risco do artigo 21.º.
Não. O regulamento fala na versão inicial, o que implica manutenção: a lista deve refletir a realidade da entidade ao longo do tempo. Tratá-la como um envio único é um dos erros com maior impacto em sede de supervisão.
O incumprimento das obrigações do regime é contraordenação ao DL 125/2025, com coimas que podem chegar aos 10 milhões de euros ou 2% do volume de negócios anual para entidades essenciais. A falta da lista compromete também o restante: sem inventário não há análise de risco demonstrável.
Preparar a Lista de Ativos com antecedência.
A N4A conduz o levantamento com a sua equipa, classifica os ativos com critério de auditor e prepara a lista para submissão e para sustentar a análise de risco que se segue.
Outros recursos
Ver todos