A sua empresa de energia tem de se registar no MyCiber?
Sim. A energia é o primeiro setor de elevada criticidade do Decreto-Lei n.º 125/2025 e as entidades abrangidas são, em regra, entidades essenciais, com a supervisão mais exigente do regime. O prazo de registo no MyCiber terminou a 15 de setembro de 2026, e o registo continua obrigatório.
Energia: eletricidade, aquecimento e arrefecimento urbano, petróleo, gás e hidrogénio
O que declarar na plataforma
O subsetor segue a posição na cadeia: produção, transporte, distribuição ou comercialização são papéis distintos e uma empresa pode ter mais do que um. A classificação deve refletir a atividade pela qual está abrangida, não a mais visível comercialmente.
O erro mais frequente neste setor
Produtores de renováveis com parques dispersos assumem que a dimensão da equipa os deixa de fora, esquecendo que a faturação conta e que a criticidade do serviço pode fazer a dimensão deixar de contar. O outro engano é registar só a holding e deixar de fora as sociedades que exploram os ativos.
O registo é o primeiro passo, não a conformidade.
Depois da qualificação, a entidade tem 24 meses para implementar as medidas de segurança que lhe forem atribuídas. Neste setor, estes são os aspetos que costumam exigir mais esforço.
A ISO 27001 cobre grande parte destas medidas, o que permite responder aos dois referenciais com um só sistema. Ver a implementação ISO 27001 alinhada com a NIS2.
PERGUNTAS FREQUENTES
Energia e o MyCiber: perguntas frequentes.
Depende da dimensão e do papel na cadeia. A produção de eletricidade está no Anexo I, e as entidades desse anexo são em regra essenciais. A confirmação faz-se caso a caso, porque há limiares e exceções em que a criticidade do serviço pesa mais do que o número de trabalhadores.
A comercialização de eletricidade e gás está abrangida. Não ter ativos físicos não retira do regime: o que está em causa é a continuidade do fornecimento e a integridade dos sistemas que o suportam.
Não substitui. O registo no MyCiber e as medidas do artigo 21.º são obrigações do regime da cibersegurança e acumulam-se com o que o regulador setorial já exija. Na prática há sobreposição de controlos, e é aí que se poupa esforço.
Outros setores de atividade
O enquadramento muda de setor para setor, e é frequente uma entidade estar abrangida por mais do que uma via.
O prazo terminou. A obrigação de registo mantém-se.
A falta de registo constitui contraordenação grave. Registar agora, com o enquadramento correto, é o que reduz a exposição.