O prazo para entidades públicas e privadas se registarem na plataforma MyCiber chega ao fim na próxima terça-feira, 15 de setembro. A obrigação insere-se no novo Regime Jurídico da Cibersegurança, que visa proteger os serviços essenciais do país contra falhas e ataques informáticos.
Num comunicado enviado às redações, o Centro Nacional de Cibersegurança (CNCS) deixou um alerta claro às organizações abrangidas. O processo de autoidentificação é o primeiro passo para o cumprimento do Decreto-Lei n.º 125/2025, de 4 de dezembro, que transpôs a diretiva europeia NIS 2 para a lei nacional, alargando consideravelmente o leque de atividades escrutinadas em relação à legislação anterior de 2018.
Expansão para novos setores críticos
O novo quadro legal distribui responsabilidades por 17 setores da economia e por várias esferas da administração pública. Até agora, a proteção exigida incidia essencialmente em áreas de risco tradicional como a banca, saúde, transportes, energia e telecomunicações.
A nova lei inclui os serviços de tecnologias da informação e da comunicação, mas vai muito mais além. Atividades como o tratamento de águas residuais, a gestão de resíduos, os serviços postais, a cadeia agroalimentar, a investigação científica, o setor aeroespacial e a produção de produtos químicos passam a estar abrangidas. Uma paralisação logística num distribuidor ou uma interrupção nas fábricas de alimentos resultaria em quebras de abastecimento diretas para os cidadãos, o que justifica a nova postura rigorosa da legislação.
Passos seguintes e penalizações legais
O registo na plataforma eletrónica myciber.gov.pt deve ser efetuado pelo representante legal da organização, utilizando a autenticação com Cartão de Cidadão ou Chave Móvel Digital. De acordo com o artigo 8.º do diploma, ignorar esta submissão de dados dentro do prazo é considerado uma contraordenação grave, estando as entidades sujeitas a coimas de valor elevado.
Após a inscrição na plataforma, as organizações classificadas como essenciais dispõem de 24 meses para implementar as medidas exigidas de gestão e mitigação de risco, bem como para entregar o primeiro relatório anual. Contudo, existem obrigações intermédias no calendário estipulado. As entidades terão de nomear um responsável de segurança e um ponto de contacto permanente, notificar incidentes de segurança com impacto significativo num espaço máximo de 24 horas, e apresentar uma lista detalhada dos seus ativos informáticos até 31 de janeiro de 2027.
Numa altura em que a extorsão digital e as tentativas de intrusão não abrandam, a adaptação a estas exigências requer um esforço suplementar. No entanto, a prevenção de vulnerabilidades acarreta um custo substancialmente inferior ao da resposta a uma falha de segurança consumada.
Nenhum comentário
Seja o primeiro!