Registo no myciber.gov.pt: Guia para a Diretiva NIS 2

O registo no myciber.gov.pt é o passo inicial e obrigatório para as organizações em Portugal comunicarem o seu enquadramento legal no âmbito da Diretiva NIS 2 (Regime Jurídico da Segurança do Ciberespaço). Gerida pelo Centro Nacional de Cibersegurança (CNCS), a plataforma MyCiber centraliza a identificação de operadores críticos, a recolha de dados de contacto e o canal formal de reporte de incidentes graves.

Com a expansão do âmbito regulamentar da Diretiva NIS 2, centenas de médias e grandes empresas nacionais que anteriormente não estavam abrangidas pelo regime SRI 1 passam agora a ter deveres estritos de registo, governação e reporte. Compreender como funciona o portal e que informação é exigida evita atrasos burocráticos e potenciais sanções.

Quem tem a obrigação de fazer o registo no myciber.gov.pt?

A Diretiva NIS 2 estabelece critérios objetivos de dimensão e setor de atividade para determinar se uma organização é classificada como Entidade Essencial (EE) ou Entidade Importante (EI). Em regra geral, aplicam-se a empresas que operem nos setores designados e que empreguem mais de 50 colaboradores ou apresentem um volume de negócios anual superior a 10 milhões de euros.

Os setores abrangidos dividem-se em dois grandes grupos:

• ▰Setores de elevada criticidade (Entidades Essenciais): Energia (eletricidade, petróleo, gás), transportes, banca, infraestruturas do mercado financeiro, saúde, água potável, águas residuais, infraestruturas digitais (fornecedores de DNS, TLD, cloud, centros de dados) e administração pública.
• ▰Outros setores críticos (Entidades Importantes): Serviços postais e de estafeta, gestão de resíduos, produtos químicos, produção e distribuição de alimentos, fabrico de dispositivos médicos, maquinaria e equipamentos elétricos, fornecedores digitais (motores de busca, redes sociais, plataformas de comércio eletrónico) e serviços de investigação.

Se a sua organização se insere nestes limites, o registo no portal MyCiber do CNCS não é opcional: constitui o primeiro marco regulatório formal.

Pré-requisitos e documentação necessária para o registo

Antes de aceder ao portal, a equipa técnica e jurídica deve reunir os dados institucionais e os perfis de acesso exigidos para a validação da entidade. O processo requer autenticação digital forte por parte de quem submete o formulário.

Prepare os seguintes elementos antes de iniciar:

• ▰Mecanismo de autenticação: Chave Móvel Digital (CMD) ou Cartão de Cidadão com leitor ativo, preferencialmente associado ao Sistema de Certificação de Atributos Profissionais (SCAP) para administradores ou procuradores com poderes para o ato.
• ▰Dados societários: Número de Identificação de Pessoa Coletiva (NIPC), certidão permanente e CAE principal e secundários.
• ▰Designação do Responsável de Segurança: Nome, cargo, e-mail institucional e número de telefone direto (disponibilidade 24/7 para emergências operacionais) do Ponto de Contacto Permanente ou Responsável de Segurança da Informação (CISO/RSI).
• ▰Caracterização dos serviços essenciais: Lista dos sistemas de informação e redes que suportam a atividade crítica da empresa.

Passo a passo para efetuar o registo no myciber.gov.pt

O procedimento no portal MyCiber foi desenhado para ser intuitivo, mas exige rigor técnico na declaração dos sistemas e contactos. Siga os passos abaixo para concluir a submissão com sucesso:

1. Acesso à plataforma: Navegue até https://myciber.gov.pt/ e selecione a opção de autenticação através do Autenticação.gov (CMD ou Cartão de Cidadão). 2. Associação da entidade: Indique o NIPC da empresa. Caso o utilizador disponha de atributos profissionais válidos via SCAP, a representação da empresa é associada de imediato. Em casos alternativos, poderá ser solicitado o carregamento de uma procuração ou comprovativo de representação legal. 3. Preenchimento dos dados da entidade: Valide a morada da sede, os códigos de atividade económica e a classificação preliminar (dimensão e setor). 4. Indicação do Ponto de Contacto Permanente: Insira os contactos do responsável de cibersegurança e da equipa técnica de resposta a incidentes. Estes dados são confidenciais e utilizados pelo CERT.PT para avisos operacionais e receção de notificações. 5. Declaração de ativos e redes: Conforme solicitado pelo formulário, identifique os blocos de endereços IP públicos, nomes de domínio (FQDN) e tipos de tecnologias cloud utilizadas na prestação dos serviços regulados. 6. Validação e submissão: Reveja os dados inseridos e submeta o registo. Guarde o comprovativo digital gerado pela plataforma para efeitos de auditoria interna.

Após a submissão, os serviços do CNCS analisam o pedido e confirmam a validação da entidade ou solicitam esclarecimentos complementares através do endereço de contacto registado.

Deveres subsequentes: notificação de incidentes e prazos de resposta

O registo no myciber.gov.pt é apenas a porta de entrada para o regime de conformidade. Uma vez registada, a organização assume a obrigação formal de utilizar esta mesma plataforma (e os canais dedicados do CERT.PT) para notificar incidentes de segurança cibernética com impacto significativo.

A NIS 2 impõe um calendário de notificação rigoroso:

• ▰Aviso prévio (Early Warning) em 24 horas: Notificação inicial ao CNCS assim que a organização tenha conhecimento de um incidente com potencial impacto grave, indicando suspeitas de ato malicioso ou afetação transfronteiriça.
• ▰Notificação formal do incidente em 72 horas: Atualização do relatório com uma avaliação inicial da gravidade, impacto operacional e indicadores de compromisso (IoCs).
• ▰Relatório final em 1 mês: Submissão de um documento detalhado que inclua a causa-raiz identificada, as medidas de mitigação implementadas e o impacto financeiro ou operacional consolidado.

Falhas no cumprimento destes prazos podem resultar em processos de contraordenação e sanções financeiras diretas para a organização e respetivos órgãos de gestão.

Medidas técnicas de segurança para sustentar a conformidade

O registo institucional só tem valor se for acompanhado por uma postura técnica sólida. A NIS 2 exige que as entidades implementem medidas proporcionadas de gestão de riscos de cibersegurança. Isto engloba a segurança da cadeia de abastecimento, a gestão rigorosa de vulnerabilidades e a resposta estruturada a intrusões.

Para garantir que a sua infraestrutura suporta as exigências do CNCS, a organização deve assegurar:

• ▰Avaliações contínuas de vulnerabilidades: Identificação preventiva de falhas em ativos expostos à Internet e em redes internas.
• ▰Testes de intrusão regulares (Pentests): Validação prática da resistência dos sistemas contra cenários reais de ataque.
• ▰Monitorização de credenciais e Dark Web: Deteção precoce de credenciais corporativas expostas antes de serem exploradas para acessos não autorizados.
• ▰Formação de colaboradores: Programas regulares de sensibilização contra engenharia social e phishing, reduzindo o vetor de entrada humano.

Perguntas frequentes

O que acontece se a minha empresa não se registar no myciber.gov.pt?

A ausência de registo de entidades legalmente abrangidas pela NIS 2 constitui infração grave. O CNCS dispõe de poderes de supervisão, auditoria e aplicação de coimas que podem atingir até 10 milhões de euros ou 2% do volume de negócios global anual (para entidades essenciais).

Quem pode ser designado como Ponto de Contacto Permanente?

Pode ser o Diretor de TI, o CISO ou um membro sénior da equipa de segurança da informação. O requisito fundamental é que a linha de contacto esteja operacional 24 horas por dia, 7 dias por semana, para responder a alertas urgentes do CERT.PT.

O registo no MyCiber é suficiente para estar em conformidade com a NIS 2?

Não. O registo é apenas o dever formal de identificação. A conformidade exige a implementação documentada de políticas de cibersegurança, auditorias regulares, controlos de acesso, planos de continuidade de negócio e gestão do risco de terceiros.

Próximo passo

Concluir o registo no myciber.gov.pt é o primeiro passo para alinhar a sua organização com as exigências nacionais de cibersegurança. No entanto, a conformidade depende diretamente da robustez técnica dos seus sistemas e da ausência de exposições críticas na Internet.

Descubra como os atacantes veem a sua infraestrutura e identifique vulnerabilidades antes de qualquer inspeção oficial. Solicite à equipa da CyberScan Portugal um relatório gratuito de exposição externa, sem qualquer compromisso operacional.