O seu hospital ou clínica tem de se registar no MyCiber?
Em regra, sim. A saúde é setor de elevada criticidade no Decreto-Lei n.º 125/2025, e prestadores de cuidados, laboratórios e produtores de medicamentos são, tipicamente, entidades essenciais. O prazo de registo no MyCiber terminou a 15 de setembro de 2026, e o registo continua obrigatório.
Saúde: prestadores de cuidados de saúde, laboratórios, investigação e fabrico de medicamentos, e dispositivos médicos críticos
O que declarar na plataforma
A classificação segue a atividade principal. Um laboratório de análises classifica-se como laboratório e não como prestador de cuidados, e um fabricante de dispositivos médicos pode enquadrar-se no setor da saúde ou no do fabrico, conforme o que produz.
O erro mais frequente neste setor
Clínicas e consultórios assumem que o regime é só para hospitais. A dimensão conta, mas grupos de clínicas somam colaboradores e faturação ao nível da entidade jurídica, não da unidade: três clínicas da mesma sociedade contam como uma. É frequentemente por esta via que entidades ficam abrangidas pelo regime sem o saberem.
O registo é o primeiro passo, não a conformidade.
Depois da qualificação, a entidade tem 24 meses para implementar as medidas de segurança que lhe forem atribuídas. Neste setor, estes são os aspetos que costumam exigir mais esforço.
A ISO 27001 cobre grande parte destas medidas, o que permite responder aos dois referenciais com um só sistema. Ver a implementação ISO 27001 alinhada com a NIS2.
PERGUNTAS FREQUENTES
Saúde e o MyCiber: perguntas frequentes.
Depende da dimensão da entidade jurídica. O regime aplica-se em regra a médias e grandes entidades dos setores abrangidos, mas há situações em que a criticidade faz a dimensão deixar de contar. Convém confirmar antes de concluir que não se aplica.
Estão expressamente no setor da saúde do Anexo I. Se tiverem dimensão para entrar no regime, são em regra entidades essenciais e têm de se registar.
Não. São regimes distintos que se acumulam. A NIS2 trata da segurança e da continuidade do serviço, o RGPD trata dos dados pessoais. Um incidente com dados clínicos pode obrigar a notificar em ambos.
Outros setores de atividade
O enquadramento muda de setor para setor, e é frequente uma entidade estar abrangida por mais do que uma via.
O prazo terminou. A obrigação de registo mantém-se.
A falta de registo constitui contraordenação grave. Registar agora, com o enquadramento correto, é o que reduz a exposição.