Registo MyCiber. Depois do prazo.
O prazo de registo terminou a 15 de setembro de 2026. A obrigação não terminou com ele: quem ainda não se registou continua obrigado a fazê-lo. O que diz o CNCS, o que está em causa e o caminho a partir daqui.
Resposta rápida
O prazo de registo no MyCiber para as entidades já em atividade terminou a 15 de setembro de 2026, data comunicada pelo CNCS: 60 dias úteis contados desde a disponibilização da plataforma, a 23 de junho. Não foi publicada prorrogação, e segundo o CNCS a obrigação de registo não se extingue com o prazo. Não se registar é contraordenação grave (Decreto-Lei n.º 125/2025, art. 62.º, n.º 1, alínea a). Quem inicia atividade tem 30 dias a contar do início.
Atualizado a 23 de setembro de 2026.
DEPOIS DE 15 DE SETEMBRO
O prazo terminou. A obrigação de registo mantém-se.
O registo continua obrigatório
Não foi publicada prorrogação. O CNCS esclareceu que a obrigação de registo não se extingue com o prazo e que o regime não prevê um procedimento de regularização distinto da própria obrigação: quem não se registou regista-se agora. A lei diz o mesmo sobre as coimas: pagá-las não dispensa de cumprir, se ainda for possível (art. 75.º).
CNCS, declarações à IT Security, 11 de setembro de 2026; Decreto-Lei n.º 125/2025, art. 75.º
Contraordenação grave
O incumprimento dos deveres do artigo 8.º, onde está o registo, é contraordenação grave. Para pessoas coletivas, a coima vai de 1 250 € a 5 000 000 € ou 1 % do volume de negócios anual mundial nas entidades essenciais, e de 875 € a 3 500 000 € ou 0,7 % nas entidades importantes, consoante o que for mais elevado. Por negligência, os limites reduzem-se a metade.
Decreto-Lei n.º 125/2025, art. 62.º, n.º 1, alínea a), e n.º 2; art. 64.º
Advertência antes do processo
Exceto em caso de dolo, a instauração do processo de contraordenação depende de uma advertência prévia para cumprir a obrigação em falta num prazo razoável.
Decreto-Lei n.º 125/2025, art. 66.º, n.º 5
Pedido de dispensa das coimas
Até 3 de abril de 2027, doze meses depois da entrada em vigor do diploma, as entidades podem pedir à autoridade competente, com fundamentação, a dispensa das coimas das contraordenações graves e muito graves. É um pedido, não uma isenção automática.
Decreto-Lei n.º 125/2025, art. 65.º
Identificação de quem não se registou
O CNCS indicou que vai identificar as entidades que não cumpriram a obrigação através de um trabalho de articulação com o Instituto dos Registos e do Notariado.
CNCS, declarações à IT Security, 11 de setembro de 2026
O que é o MyCiber
A plataforma oficial do CNCS onde as entidades abrangidas pelo Decreto-Lei n.º 125/2025 se registam. Foi criada pelo Regulamento n.º 756/2026 e é o canal oficial de comunicação com as autoridades competentes: CNCS, GNS ou ANACOM, consoante o setor.
Quem tem de se registar
Entidades essenciais e importantes dos setores abrangidos: energia, transportes, saúde, banca, infraestruturas digitais, administração pública, água, alimentação, química, entre outros.
O prazo terminou, a obrigação não
Para as entidades já em atividade, o prazo terminou a 15 de setembro de 2026. O registo continua obrigatório depois dessa data, e quem inicia atividade tem 30 dias a contar do início.
PASSO A PASSO
Como registar a sua empresa no MyCiber.
Assinale os passos já concluídos e veja o que falta.
O enquadramento não é igual para todos.
O anexo em que a organização se enquadra, o estatuto atribuído e o que tem de declarar na plataforma variam de setor para setor. Selecione o seu setor e consulte a resposta aplicável, incluindo o erro de classificação mais frequente nesse setor.
DEPOIS DO REGISTO
O registo é o primeiro passo da conformidade.
- Depois da autoidentificação, 10 dias úteis para se pronunciar sobre o projeto de qualificação do CNCS (Regulamento n.º 756/2026, art. 9.º).
- Depois de notificada a qualificação, 20 dias úteis para comunicar o responsável de cibersegurança e o ponto de contacto permanente (arts. 14.º e 15.º do Regulamento).
- As medidas de cibersegurança produzem efeitos 24 meses depois da regulamentação. Segundo o CNCS, o prazo começou a contar com a publicação do Regulamento n.º 756/2026, a 22 de junho de 2026, independentemente da data do registo.
- Reporte de incidentes significativos nos prazos legais.
- Responsabilidade direta dos órgãos de gestão.
- A ISO 27001 cobre grande parte destas medidas, o que permite aproveitar o mesmo trabalho nos dois referenciais.
PERGUNTAS FREQUENTES
As perguntas que mais nos fazem.
Para as entidades que já estavam em atividade, 15 de setembro de 2026, a data comunicada pelo CNCS: 60 dias úteis contados desde a disponibilização da plataforma, a 23 de junho de 2026. O Decreto-Lei n.º 125/2025 fala em 60 dias após a disponibilização (art. 8.º, n.º 1). Para quem inicia atividade, o prazo é de 30 dias a contar do início.
Sim, e deve fazê-lo. Não foi publicada prorrogação, e o CNCS esclareceu que a obrigação de registo não se extingue com o prazo e que o regime não prevê um procedimento de regularização distinto da própria obrigação. Pagar uma coima também não dispensa de cumprir (art. 75.º).
Não se registar é contraordenação grave (art. 62.º, n.º 1, alínea a), do Decreto-Lei n.º 125/2025). Para pessoas coletivas: de 1 250 € a 5 000 000 € ou 1 % do volume de negócios anual mundial nas entidades essenciais; de 875 € a 3 500 000 € ou 0,7 % nas importantes. Os valores de 10 milhões e 7 milhões que circulam são das contraordenações muito graves e não se aplicam ao registo. Exceto em caso de dolo, o processo depende de advertência prévia (art. 66.º, n.º 5), e até 3 de abril de 2027 é possível pedir a dispensa das coimas (art. 65.º).
A inscrição, o registo de autoidentificação, é submetida em myciber.gov.pt, a plataforma do CNCS, pelo representante legal da entidade. Antes disso, recomenda-se confirmar o enquadramento da entidade e reunir os dados da organização, do setor e dos contactos de cibersegurança.
O CNCS envia um projeto de qualificação, sobre o qual a entidade se pode pronunciar em 10 dias úteis. Notificada a qualificação, há 20 dias úteis para comunicar o responsável de cibersegurança e o ponto de contacto permanente. As medidas de cibersegurança produzem efeitos 24 meses depois da regulamentação, prazo que o CNCS diz ter começado a 22 de junho de 2026, independentemente da data do registo. A ISO 27001 cobre grande parte dessas medidas.
Registo, enquadramento e o que vem a seguir.
A N4A confirma o enquadramento da sua empresa, acompanha o registo no MyCiber e prepara o que vem a seguir, com Lead Auditors e consultores certificados a liderar o processo.
Contactar a N4A