Regulamento 756/2026: a NIS2 passa à prática.
O Decreto-Lei n.º 125/2025 trouxe a lei; o Regulamento n.º 756/2026, publicado pelo CNCS a 22 de junho, definiu a sua execução: a plataforma, os níveis, os formulários e os prazos. É o documento que transforma a NIS2 portuguesa de princípio em prática, e este é o guia completo do que ele estabelece.
Resposta rápida
O Regulamento n.º 756/2026, de 22 de junho, é o regulamento de execução do regime jurídico da cibersegurança (DL 125/2025). Estabelece quatro matérias: o funcionamento da plataforma MyCiber e o registo das entidades, com prazo de 60 dias úteis desde 23 de junho de 2026; o Quadro Nacional de Referência para a Cibersegurança (QNRCS), com os níveis de conformidade básico, substancial e elevado; os prazos de notificação de incidentes (24 horas, 72 horas, relatório final em 30 dias úteis); e a designação do responsável de cibersegurança, com relatórios anuais de cumprimento.
Atualizado a 13 de julho de 2026.
O que o regulamento estabelece, em quatro pilares.
1. A plataforma MyCiber e o registo
O regulamento ativa o MyCiber (myciber.gov.pt) como interface única entre as entidades e as autoridades. As entidades já em atividade tiveram 60 dias úteis para a autoidentificação, contados desde 23 de junho de 2026: preenchem o formulário, é criado um registo provisório e segue-se a qualificação: a autoridade notifica o projeto de decisão, a entidade tem 10 dias úteis para se pronunciar e, por fim, é proferida a decisão final que a classifica como essencial ou importante.
2. O QNRCS e os três níveis de conformidade
O regulamento aprova o Quadro Nacional de Referência para a Cibersegurança, que organiza os controlos em seis funções: gerir, identificar, proteger, detetar, responder e recuperar. As medidas mínimas aplicam-se por níveis de conformidade, básico, substancial e elevado, atribuídos consoante a criticidade da entidade. O QNRCS está alinhado com referenciais internacionais: NIST CSF, ISO/IEC 27001 e CIS Controls.
3. Os prazos de notificação de incidentes
O regulamento concretiza o calendário de notificação dos incidentes significativos: notificação inicial até 24 horas após a verificação do incidente significativo, atualização até 72 horas, comunicação do fim do impacto significativo nas 24 horas seguintes ao fim do impacto, e relatório final em 30 dias úteis a contar dessa comunicação. Tudo através do MyCiber, para a autoridade competente do setor: CNCS, GNS ou ANACOM.
4. Responsável de cibersegurança e relatório anual
Cada entidade designa na plataforma o seu responsável de cibersegurança e o ponto de contacto permanente, e passa a submeter relatórios anuais que demonstram o cumprimento das medidas. A conformidade deixa de ser uma declaração e passa a ser um registo mantido, com responsável identificado e evidências.
As datas relevantes.
O que a sua empresa deve fazer agora.
Confirme o enquadramento
Verifique se o setor consta dos anexos e se a dimensão é média ou grande. Em caso de dúvida, valide antes de declarar: um enquadramento por excesso gera custos desnecessários; por defeito, expõe a coimas.
Registe a entidade no MyCiber
Se ainda não o fez, é o primeiro passo: o prazo termina a 15 de setembro de 2026 e a falta de registo é, por si só, uma infração.
Prepare-se para o seu nível QNRCS
Básico, substancial ou elevado: cada nível traz o seu caderno de medidas. Uma análise de lacunas (gap assessment) feita cedo transforma os 24 meses num plano estruturado.
Aproveite o alinhamento com a ISO 27001
O QNRCS está alinhado com a ISO/IEC 27001. Implementar a norma cobre grande parte do caminho e acrescenta uma certificação internacional com o mesmo esforço.
Alinhamento entre o QNRCS e a ISO 27001.
O próprio regulamento alinha o quadro nacional com a ISO/IEC 27001, o NIST e os CIS Controls. Na prática, implementar a ISO 27001 com acompanhamento especializado cobre o QNRCS e acrescenta uma certificação internacional.
Ver a implementação ISO 27001 em conformidade com a NIS2A Plataforma NIS2 Compliance mede pelo QNRCS.
Pontuação de conformidade por nível QNRCS (básico, substancial, elevado) e por domínio, plano de remediação e os modelos de notificação de incidentes prontos. O regulamento define os requisitos; a plataforma mede o seu cumprimento.
Conhecer a Plataforma NIS2 CompliancePERGUNTAS FREQUENTES
As perguntas que mais nos fazem.
É o regulamento de execução do regime jurídico da cibersegurança, publicado pelo CNCS a 22 de junho de 2026. Define as regras práticas do DL 125/2025: o funcionamento da plataforma MyCiber, os procedimentos de registo e qualificação das entidades, o QNRCS com os níveis de conformidade, os prazos de notificação de incidentes e as obrigações de reporte anual.
O Quadro Nacional de Referência para a Cibersegurança organiza os controlos em seis funções: gerir, identificar, proteger, detetar, responder e recuperar. Cada entidade fica sujeita a um nível de conformidade, básico, substancial ou elevado, consoante a sua criticidade, e cada nível define o caderno de medidas mínimas a implementar.
Após a autoidentificação no MyCiber, é criado um registo provisório. A autoridade competente notifica depois a entidade do projeto de decisão de qualificação, que a classifica como essencial ou importante; a entidade tem 10 dias úteis para se pronunciar, e segue-se a decisão final.
Após a qualificação, a entidade dispõe de 24 meses para se adaptar às medidas mínimas do nível de conformidade que lhe for atribuído. É um prazo que um programa de segurança consistente consome rapidamente; começar pela análise de lacunas (gap assessment) permite planear com margem.
Aplica-se às entidades essenciais e importantes dos setores dos anexos do DL 125/2025, e a administração pública tem enquadramento próprio. Em caso de dúvida, confirme o enquadramento antes do registo: o site disponibiliza um diagnóstico rápido e a equipa da N4A valida o caso concreto.
Do regulamento ao plano de conformidade.
Enquadramento, registo, nível QNRCS e o caminho até à conformidade, com Lead Auditors e consultores certificados a liderar.
Outros recursos
Ver todos