RJC e MyCiber, passo a passo
O que o Decreto-Lei n.º 125/2025 e o Regulamento n.º 756/2026 exigem à sua entidade, em que momento e com que base legal. Cada afirmação indica o artigo e se já foi confirmada no texto publicado.
As entidades abrangidas fazem a autoidentificação na plataforma eletrónica do CNCS. O CNCS envia um projeto de qualificação, a entidade tem 10 dias úteis para se pronunciar e a decisão final indica o nível de conformidade (básico, substancial ou elevado) e as medidas obrigatórias.
Regulamento n.º 756/2026, arts. 8.º e 9.º · em vigor desde 23 de junho de 2026Os momentos da jornada
Cada momento indica a base legal e se a regra ou o prazo já foi confirmado no texto publicado em Diário da República.
Confirmar se a entidade está abrangida
Setor, dimensão e tipo de entidade: essencial, importante ou pública relevante.
DL 125/2025Critérios a confirmar no DRAutoidentificação na plataforma do CNCS
Formulário com 10 campos, mais campos próprios para prestadores de serviços digitais. Fica criado um registo provisório e é emitido um recibo com data e hora.
Projeto de qualificação e audiência prévia
A entidade pronuncia-se na plataforma no prazo de 10 dias úteis.
Decisão com nível de conformidade
Básico, substancial ou elevado, com as medidas obrigatórias. Fora do âmbito, o registo provisório extingue-se em 90 dias.
Responsável de cibersegurança e ponto de contacto permanente
Ambos acedem à conta da entidade na plataforma, tal como o representante legal.
Reg. art. 6.ºVerificado Prazo de designação a confirmarAnálise de risco e medidas mínimas
Análise pelo menos anual e após alerta do CNCS. Medidas do Anexo III cumulativas por nível: 43, 102 e 153.
Lista de ativos acessíveis publicamente
Nove campos por ativo, informação de grau reservado, com prazos de comunicação em janeiro.
Notificação de incidentes
Notificação inicial, comunicação do fim do impacto significativo e relatório final ou intercalar. A notificação inicial ocorre até 24 horas após a verificação do incidente.
Reg. art. 20.º · DL art. 42.ºFases verificadas Restantes prazos a confirmar
Guias por momento da jornada
Cada guia reúne os factos com fonte, os passos práticos e o que preparar.
Autoidentificação: quem submete e como se autentica
Conta da entidade, pessoas com acesso, meios de autenticação e o que preparar antes de entrar na plataforma.
Ler o guiaGuiaProjeto de qualificação e nível de conformidade
Audiência de 10 dias úteis, decisão final, níveis básico, substancial e elevado, e calculadora do prazo.
Ler o guiaGuiaLista de ativos acessíveis publicamente
O que a lista contém, como é classificada e como preparar a primeira comunicação.
Ler o guiaFerramentas de apoio
Explorador de medidas
Os 107 controlos do QNRCS, as 153 medidas do Anexo III e as 39 do Anexo IV, com filtro por nível.
Abrir o exploradorFerramentaCalculadora do prazo de audiência
Conta os 10 dias úteis para responder ao projeto de qualificação, com feriados nacionais.
Calcular o prazoFerramentaSimulador de nível
A partir da pontuação da matriz de risco, mostra o nível de conformidade e as medidas mínimas correspondentes.
Abrir o simuladorInstruções técnicas do CNCS
O Regulamento prevê instruções técnicas que ainda vão ser publicadas. Esta tabela indica o estado de cada uma.
| Instrução técnica | Base no Regulamento | Estado em 9 de outubro de 2026 |
|---|---|---|
| Requisitos de autenticação segura | art. 6.º, n.º 4 | Por publicar |
| APIs da plataforma | art. 12.º, n.º 3 | Por publicar |
| Modelos do relatório anual | art. 13.º, n.º 3 | Por publicar |
| Densificação de incidente significativo | art. 20.º, n.º 3 | Por publicar |
| Matriz de equivalência de certificação | art. 27.º, n.º 7 | Por publicar |
| Cenários de risco, vetores de ameaça e ativos (anual) | art. 29.º | Por publicar |
| Identificação de ativos essenciais | art. 32.º, n.º 4 | Por publicar |
Estado verificado no site do CNCS na data indicada. Quando uma instrução for publicada, esta página é atualizada.
Perguntas e respostas
Respostas revistas, com o artigo de suporte.
Quanto tempo tenho para responder ao projeto de qualificação?
A entidade tem 10 dias úteis para se pronunciar, dentro da própria plataforma. A decisão final indica o nível de conformidade e as medidas obrigatórias.
Qual é o prazo para fazer a autoidentificação?
O prazo consta do Decreto-Lei n.º 125/2025 e está a ser confirmado no texto publicado. Há fontes secundárias com versões diferentes, pelo que não o indicamos antes dessa confirmação.
Que notificações tenho de fazer quando ocorre um incidente significativo?
Três momentos: notificação inicial, comunicação do fim do impacto significativo e relatório final ou intercalar. A notificação inicial é feita até 24 horas após a verificação do incidente. Os restantes prazos estão a ser confirmados no texto publicado.
Se a plataforma do CNCS estiver indisponível, como notifico?
Por email ou telefone, com cifra PGP opcional. A notificação voluntária de incidentes pode ser feita sem autenticação.
A certificação ISO/IEC 27001 dispensa as medidas mínimas?
O certificado ISO/IEC 27001, acompanhado da declaração de aplicabilidade, é um dos meios de presunção de cumprimento, a par do certificado QNRCS e da DNP TS 4577-1. A matriz de equivalência será publicada pelo CNCS. A revogação do certificado é comunicada em 72 horas; a suspensão, renovação ou alteração, em 10 dias úteis.
O que é a lista de ativos acessíveis publicamente?
É a lista dos ativos da entidade acessíveis a partir da internet, com nove campos por ativo. É informação de grau reservado e tem prazos de comunicação em janeiro.
Durante quanto tempo ficam guardados os dados na plataforma do CNCS?
Durante cinco anos após o fim do registo da entidade.
Enviar uma pergunta
As perguntas recebidas são respondidas por email. As de interesse geral são publicadas nesta página, sem dados que identifiquem quem perguntou.
Enviar uma pergunta
O que acontece a seguir
- Receção. A pergunta chega à equipa AnkoraOne, com proteção contra envios automáticos.
- Resposta. Um consultor responde por email, com indicação do artigo aplicável.
- Publicação. Se for útil a outras entidades, a pergunta é publicada nesta página, sem dados pessoais.
Conteúdo informativo. Não constitui aconselhamento jurídico. A AnkoraOne não está associada ao Centro Nacional de Cibersegurança nem à plataforma MyCiber. Em caso de divergência, prevalece o texto publicado em Diário da República.
Fontes: Regulamento n.º 756/2026 · CNCS, regulamento do regime jurídico