A sua fábrica tem de se registar no MyCiber?
Provavelmente sim. É um dos setores em que mais empresas ainda não identificaram a obrigação. O fabrico está no Anexo II do Decreto-Lei n.º 125/2025, o que faz das empresas abrangidas entidades importantes. O prazo de registo no MyCiber terminou a 15 de setembro de 2026, e o registo continua obrigatório.
Fabrico: dispositivos médicos, produtos informáticos, eletrónicos e óticos, equipamento elétrico, máquinas e equipamentos, veículos automóveis e outro equipamento de transporte
O que declarar na plataforma
O subsetor segue o que se fabrica, não o cliente a quem se vende. Uma empresa de moldes que produz para a indústria automóvel classifica-se pelo que fabrica, e uma metalomecânica que faz componentes eletrónicos pode ter de escolher entre dois subsetores conforme o produto principal.
O erro mais frequente neste setor
A convicção de que a NIS2 se destina apenas a bancos e hospitais. O fabrico entrou no Anexo II e abrange boa parte do tecido industrial português, incluindo empresas familiares de média dimensão que nunca tiveram departamento de segurança. O segundo engano é considerar que uma entidade importante tem menos obrigações: as medidas são as mesmas, mudam a supervisão e o teto da coima.
O registo é o primeiro passo, não a conformidade.
Depois da qualificação, a entidade tem 24 meses para implementar as medidas de segurança que lhe forem atribuídas. Neste setor, estes são os aspetos que costumam exigir mais esforço.
A ISO 27001 cobre grande parte destas medidas, o que permite responder aos dois referenciais com um só sistema. Ver a implementação ISO 27001 alinhada com a NIS2.
PERGUNTAS FREQUENTES
Indústria e fabrico e o MyCiber: perguntas frequentes.
Muito provavelmente. O fabrico de máquinas e equipamentos está no Anexo II e uma empresa dessa dimensão entra, em regra, no regime como entidade importante. A confirmação faz-se pelo subsetor concreto e pela dimensão da entidade jurídica.
Não nas medidas. As obrigações de fundo são as mesmas, do registo às medidas do artigo 21.º e ao reporte de incidentes. A diferença está na supervisão, preventiva para as essenciais e reativa para as importantes, e no teto das coimas.
Sim. O regime aplica-se pela atividade e pela dimensão, não pelo grau de digitalização. E na prática o isolamento total é raro: a manutenção remota por fornecedores, os dispositivos USB de atualização e as ligações aos sistemas de gestão são vias que existem quase sempre.
Outros setores de atividade
O enquadramento muda de setor para setor, e é frequente uma entidade estar abrangida por mais do que uma via.
O prazo terminou. A obrigação de registo mantém-se.
A falta de registo constitui contraordenação grave. Registar agora, com o enquadramento correto, é o que reduz a exposição.