ALERTA LEGAL: Publicado o Regulamento de Execução do Novo Regime Jurídico da Cibersegurança (NIS2)

ALERTA LEGAL: Publicado o Regulamento de Execução do Novo Regime Jurídico da Cibersegurança (NIS2)

Foi publicado no passado dia 22 de junho o Regulamento n.º 756/2026, elaborado pelo Centro Nacional de Cibersegurança (CNCS). Este diploma era a peça em falta para a aplicação prática e operacional do novo Regime Jurídico da Cibersegurança (aprovado pelo Decreto-Lei n.º 125/2025, de 4 de dezembro, que transpôs a Diretiva NIS2 para o ordenamento jurídico português).

Com a publicação deste regulamento, a cibersegurança em Portugal deixa definitivamente a esfera puramente tecnológica para assumir uma dimensão central de conformidade regulatória (compliance) e de governação de topo para entidades essenciais, importantes e públicas relevantes.

A equipa da Global Lawyers destaca os quatro eixos operacionais deste novo quadro normativo que exigem a atenção imediata dos Conselhos de Administração:

1. Plataforma "MyCiber" e Obrigatoriedade de Registo

O regulamento oficializa a plataforma eletrónica do CNCS (denominada MyCiber) como o canal central e privilegiado de interação. É através desta plataforma que decorrerão os procedimentos de autoidentificação e qualificação das entidades abrangidas, bem como a submissão das notificações obrigatórias de incidentes (nos prazos apertados de reporte de 24h/72h), a entrega de relatórios e a receção de notificações eletrónicas por parte da autoridade.

2. Nova Matriz de Risco (QNRCS)

É aprovada a nova versão do Quadro Nacional de Referência para a Cibersegurança (QNRCS). Uma das alterações mais relevantes é a adoção de uma abordagem rigorosa baseada no risco. Através de uma matriz de risco setorial, as empresas serão enquadradas em três níveis de conformidade — Básico, Substancial ou Elevado —, o que determinará o conjunto exato de medidas de cibersegurança que estão legalmente obrigadas a implementar (como segmentação de redes, gestão de vulnerabilidades e autenticação multifator).

3. Obrigações Estruturais e Nomeações

Para garantir a responsabilização a nível de governação, as entidades abrangidas passam a ter de comunicar formalmente na plataforma dois elementos críticos:

• A designação de um Responsável de Cibersegurança.

• A indicação da pessoa ou equipa que assegura a função de Ponto de Contacto Permanente.

4. O Detalhe Crítico: Prazos e Período Transitório

Embora o Regulamento tenha entrado em vigor no dia seguinte ao da sua publicação, o legislador introduziu uma ressalva temporal fundamental para a gestão empresarial. As obrigações mais pesadas — nomeadamente a adoção das medidas mínimas de cibersegurança, o controlo da cadeia de abastecimento, a gestão do risco residual e a entrega do relatório anual —, bem como as contraordenações muito graves associadas ao seu incumprimento, só produzem efeitos 24 meses após a publicação deste regulamento (ou seja, em junho de 2028).

Gestão de Risco: A Falsa Sensação de Segurança

A existência de um período transitório de 24 meses não deve gerar inércia corporativa. A adaptação de infraestruturas, a revisão de contratos na cadeia de abastecimento e a implementação de processos de resposta a incidentes são tarefas demoradas e complexas.

A equipa de Corporate e TMT da Global Lawyers encontra-se a assessorar empresas na transição para este novo modelo de governação, garantindo o alinhamento com as exigências do CNCS e a mitigação da exposição sancionatória. Contacte-nos para iniciar o processo de adequação da sua organização.

VOLTAR

Últimos Alertas