O novo Regime Jurídico da Cibersegurança, estabelecido pelo Decreto-Lei n.º 125/2025, entrou em vigor a 3 de Abril de 2026, marcando uma mudança estrutural na forma como a cibersegurança é enquadrada e gerida em Portugal. Ainda assim, o diploma não constitui, por si só, o quadro completo: a sua plena operacionalização depende da publicação de um regulamento complementar, cujo projecto se encontra actualmente em consulta pública até 22 de Abril.

Este novo enquadramento introduz uma arquitectura mais robusta e detalhada, alinhada com as exigências europeias, e assenta numa lógica de responsabilização progressiva das organizações, tendo em conta o seu grau de criticidade, dimensão e exposição ao risco.

Classificação das entidades e abrangência do regime

Uma das principais mudanças prende-se com a categorização das organizações em três grupos distintos: entidades essenciais, entidades importantes e entidades públicas relevantes. Esta classificação resulta de critérios definidos no diploma, nomeadamente o sector de actividade, a dimensão da organização e o impacto potencial da sua actividade na sociedade e na economia.

O decreto-lei inclui dois anexos que estruturam esta divisão. O primeiro identifica sectores considerados críticos, nos quais as organizações de maior dimensão tendem a ser classificadas como entidades essenciais. O segundo abrange sectores adicionais, geralmente associados a entidades importantes. Paralelamente, foi introduzida uma categoria específica para entidades da administração pública, reforçando a necessidade de o Estado acompanhar a evolução das ameaças e exigências em matéria de cibersegurança.

Para apoiar as organizações neste processo, o Centro Nacional de Cibersegurança disponibilizou um simulador que permite avaliar, de forma indicativa e não vinculativa, o enquadramento de cada entidade no novo regime.

Autoidentificação e nova plataforma de comunicação

Outro dos pilares do novo regime é a obrigatoriedade de auto-identificação das entidades. Este processo será realizado através da plataforma digital “MyCiber”, que funcionará como ponto único de contacto entre as organizações e as autoridades de cibersegurança.

O Centro Nacional de Cibersegurança vai disponibilizar, brevemente, a plataforma que vai ser o meio de comunicação entre as entidades e as autoridades de cibersegurança competentes.

Todas as entidades, mesmo em caso de dúvida quanto à sua abrangência, deverão proceder à sua identificação. Após submissão da informação, as autoridades competentes – que incluem o Centro Nacional de Cibersegurança, a ANACOM e o Gabinete Nacional de Segurança, consoante o setor – analisam os dados e notificam formalmente a entidade quanto à sua qualificação.

Os prazos definidos apontam para 60 dias após a disponibilização da plataforma para entidades já existentes, e 30 dias para entidades constituídas posteriormente.

Novas obrigações organizacionais e operacionais

O regime estabelece um conjunto alargado de obrigações, com especial incidência nas entidades essenciais e importantes. Entre as principais exigências destaca-se a nomeação de um responsável de cibersegurança, bem como de um ponto de contacto permanente, com capacidade de resposta contínua, 24 horas por dia, sete dias por semana.

O Decreto refere que as entidades dispõem de 20 dias úteis para notificar a autoridade após a entrada em vigor do Decreto-Lei. Ou seja, o Decreto-Lei entrou em vigor dia 3 de Abril, portanto, entende-se que as entidades dispõem de 20 dias úteis para fazer esta notificação junto do Centro Nacional de Cibersegurança. No entanto, em breve, o Centro Nacional de Cibersegurança irá emitir um esclarecimento sobre esta questão, sendo que, de acordo com o sabe a Security Magazine, estes 20 dias começarão a contar após a disponibilização da plataforma e não a partir da entrada em vigor do Decreto-Lei. Isto porque, as entidades ainda não sabem, efectivamente, qual a sua qualificação no ecossistema de cibersegurança e, portanto, fará mais sentido que tal comunicação seja feita após a qualificação da entidade.

Depois de estar definido o ponto de contato permanente e o responsável de cibersegurança definido, o relatório anual é outra obrigação que o Decreto-Lei. O ponto de contacto permanente e responsável de cibersegurança apenas se aplica às entidades essenciais e importantes. As entidades públicas relevantes ficam fora desta obrigação, tal como do relatório anual, o qual é obrigação das entidades essenciais importante.

A obrigação de enviar o relatório anualmente ao Centro Nacional de Cibersegurança ou à Autoridade de Cibersegurança competente cabe às entidades essenciais. As entidades importantes têm de produzi-lo e, se for solicitado pelo Centro Nacional de Cibersegurança ou pela Autoridade de Cibersegurança, têm de disponibilizá-lo. No entanto, não têm de enviá-lo.

Outra obrigação relevante é a identificação e comunicação periódica de activos expostos à internet, medida que visa reforçar a capacidade de monitorização e resposta das autoridades perante vulnerabilidades ou incidentes. Portanto, as entidades devem, antes de mais, fazer um inventário de activos. O inventário de todos os activos não está mencionado explicitamente no Decreto-Lei que é uma obrigação. Advém daquilo que são as medidas de cibersegurança mínimas. E uma medida de cibersegurança mínima é inventário de activos.

Tendo o inventário de activos, é importante perceber quais são os que estão expostos na internet, portanto, e são esses que têm de estar na publicidade e têm de ser remitidos periodicamente ao Centro Nacional de Cibersegurança. A lista de activos aplica-se a todas as entidades, incluindo as públicas relevantes. Isto porque o Centro Nacional de Cibersegurança tem que ter visão sobre o que está exposto na internet, no caso de alguma vulnerabilidade.

Medidas mínimas e níveis de conformidade

O projecto de regulamento actualmente em consulta pública introduz o conceito de medidas mínimas de cibersegurança, consideradas como o nível base de protecção que todas as organizações abrangidas devem assegurar.

Estas medidas estão organizadas em diferentes níveis de conformidade – básico, substancial e elevado – no caso das entidades essenciais e importantes, e em grupos A e B para entidades públicas relevantes. A determinação do nível aplicável a cada organização terá em conta factores como a complexidade, o sector e o risco associado.

Importa sublinhar que estes níveis são cumulativos, o que significa que uma entidade classificada num nível superior terá de cumprir todas as obrigações dos níveis inferiores.

Gestão de risco como elemento central

A gestão de risco assume um papel central no novo regime, sendo considerada a base para a definição e implementação de medidas de segurança adequadas. As organizações deverão identificar os seus activos, avaliar ameaças e vulnerabilidades e determinar o risco associado, incluindo o risco proveniente da cadeia de abastecimento.

O conceito de risco residual ganha também relevância, reconhecendo que o risco nunca é totalmente eliminável. Caberá a cada organização definir o seu nível de tolerância ao risco e decidir quais as medidas adicionais a implementar.

Apesar da ausência, até ao momento, de uma metodologia uniforme definida pelas autoridades, o regime incentiva a adopção de boas práticas e referenciais internacionais amplamente reconhecidos.

Sem um conhecimento claro e estruturado dos riscos que afectam a organização, torna-se impossível implementar medidas eficazes e proporcionais. As medidas mínimas de cibersegurança definidas constituem apenas um ponto de partida, uma base comum, mas não substituem a necessidade de uma avaliação aprofundada da realidade específica de cada entidade.

Neste contexto, o inventário de activos assume um papel determinante. A identificação rigorosa de todos os activos – tecnológicos, informacionais e operacionais – permite construir uma visão completa da superfície de exposição da organização. A partir daí, deve ser conduzida uma análise de risco sistemática, que inclua a identificação de ameaças e vulnerabilidades, bem como a avaliação do impacto potencial de cada cenário. Esta avaliação deve ter em conta não só o contexto actual da organização, mas também as medidas de segurança já implementadas, incluindo as exigidas como mínimo pelo enquadramento legal.

Importa ainda destacar a crescente relevância da cadeia de abastecimento neste processo. Os fornecedores e parceiros externos representam, cada vez mais, pontos críticos de entrada de risco, pelo que devem ser integrados na análise global. Conhecer, avaliar e monitorizar os riscos associados a terceiros é hoje uma dimensão incontornável da gestão de risco em cibersegurança, exigindo a implementação de controlos e medidas adequadas para mitigar potenciais impactos.

Outro conceito-chave é o de risco residual. Após a identificação, avaliação e tratamento dos riscos, subsiste sempre um nível de risco que não pode ser totalmente eliminado. Cabe a cada organização definir o seu apetite ao risco e estabelecer critérios claros para a sua aceitação. Na ausência de uma metodologia única definida pelo regulador, essa responsabilidade recai sobre as próprias entidades, que devem estruturar os seus processos de análise e gestão de risco de acordo com as melhores práticas e o seu contexto específico.

Por fim, importa sublinhar que a gestão de risco é um processo contínuo e dinâmico. A implementação de medidas deve ser seguida de uma reavaliação do risco, permitindo determinar se o risco residual é aceitável ou se exige acções adicionais. Num contexto em que as ameaças evoluem rapidamente, a cibersegurança exige monitorização permanente, actualização constante e uma capacidade de adaptação contínua. Só assim será possível garantir uma resposta eficaz e alinhada com a realidade em constante mudança das organizações e do ecossistema digital.

Notificação de incidentes e reforço da resposta

O novo enquadramento estabelece ainda regras claras para a notificação de incidentes de cibersegurança com impacto significativo. As organizações terão de comunicar esses incidentes no prazo de 24 horas após a sua detecção, devendo posteriormente actualizar a informação e apresentar um relatório final até 30 dias úteis após o fim do impacto.

Embora o diploma estabeleça critérios orientadores, como o número de utilizadores afectados ou a duração do incidente, caberá a cada organização definir internamente o que considera um incidente significativo.

Período de adaptação e implementação faseada

Apesar de algumas disposições já estarem em vigor, o regime prevê um período de adaptação até 24 meses após a publicação do regulamento. Este prazo permitirá às organizações ajustar processos, implementar medidas e alinhar estruturas internas com as novas exigências.

Envolvimento da gestão de topo como fator crítico

Por fim, o regime reforça a responsabilidade dos órgãos de gestão e administração, sublinhando que a cibersegurança deve ser encarada como uma prioridade estratégica e transversal a toda a organização.

A eficácia do novo modelo dependerá, em grande medida, do envolvimento activo da liderança, bem como da capacidade de integrar a cibersegurança nos processos de decisão e na cultura organizacional.

Uma mudança estrutural no ecossistema nacional

Com este novo enquadramento, Portugal dá um passo significativo na consolidação de um modelo de cibersegurança mais exigente, estruturado e alinhado com as melhores práticas internacionais. A nova arquitectura não se limita à definição de obrigações, mas promove uma abordagem contínua, baseada na gestão de risco, na monitorização e na melhoria permanente, num contexto em que as ameaças evoluem de forma constante.