Percurso MyCiber
Do primeiro acesso à conformidade em operação.
Prepare os dados, formalize a representação, acompanhe a qualificação e mantenha pessoas, comunicações e evidências permanentemente atualizadas.
Visão geral
MyCiber não é apenas um formulário de registo.
É o canal de identificação, qualificação, comunicação e acompanhamento entre as entidades e as autoridades de cibersegurança competentes.
- Gestão
- CNCS
- Conta
- Uma por entidade
- Acesso inicial
- Representante legal
- Autoidentificação
- Registo provisório
- Audiência
- 10 dias úteis
- Resultado
- Qualificação ou exclusão
Percurso completo
Oito etapas, com um resultado verificável em cada uma.
O percurso separa preparação interna, atos praticados na plataforma e decisões da autoridade competente.
-
01
Preparar · RJCS, artigos 3.º a 9.º
Confirmar o possível enquadramento
Mapear atividades, setores, subsetores, dimensão, estabelecimento e serviços prestados. O simulador ajuda, mas não vincula a Administração nem substitui a autoidentificação obrigatória.
Resultado: Memória de enquadramento e dados validados -
02
Representar · Regulamento, artigos 6.º e 7.º
Definir quem pratica os atos
O acesso inicial é assegurado pelo representante legal, com identificação eletrónica de nível elevado, ou por representante com poderes legalmente admissíveis e respetivo comprovativo.
Resultado: Representante e mandato ou delegação preparados -
03
Identificar · Regulamento, artigo 8.º
Preencher e submeter a autoidentificação
Preencher os formulários, corrigir erros assinalados e confirmar a submissão. É criado um único registo provisório por entidade, mesmo que existam vários setores.
Resultado: Recibo com data e hora da submissão -
04
Acompanhar · Regulamento, artigo 8.º, n.º 4
Responder a pedidos adicionais
A autoridade competente pode solicitar, por uma única vez após o formulário, informação ou documentos adicionais para comprovar um dado ou grupo de dados que não consiga obter por interoperabilidade.
Resultado: Elementos adicionais submetidos e recibo arquivado -
05
Pronunciar · Regulamento, artigo 9.º
Analisar o projeto de decisão
A entidade é notificada na plataforma e por email para exercer audiência dos interessados. A pronúncia é apresentada no campo próprio no prazo de 10 dias úteis.
Resultado: Pronúncia fundamentada ou decisão de não pronúncia -
06
Consolidar · Regulamento, artigos 9.º e 10.º
Receber a decisão final
A decisão pode qualificar a entidade, indicar o nível e as medidas aplicáveis ou concluir que está fora do âmbito. Quando há qualificação, o registo provisório é consolidado em definitivo.
Resultado: Decisão, classificação e obrigações registadas -
07
Designar · Regulamento, artigos 14.º e 15.º
Comunicar RCS e ponto de contacto
As entidades essenciais e importantes comunicam o responsável de cibersegurança e a equipa ou entidade terceira que assegura o ponto de contacto permanente, com os contactos exigidos.
Resultado: RCS e PCP formalmente comunicados -
08
Operar · Regulamento, artigos 11.º a 22.º e 32.º
Manter comunicações e evidências
Atualizar dados, consultar notificações, comunicar documentos, ativos publicamente acessíveis e incidentes e preservar recibos e evidências. O MyCiber passa a ser um processo contínuo.
Resultado: Registo atualizado, rastreável e verificável
Antes de entrar
Prepare a informação antes de iniciar.
Uma recolha interna coerente reduz erros, pedidos adicionais e divergências durante a qualificação.
Entidade
- Denominação e NIF
- Endereço e contactos atualizados
- Setores e subsetores aplicáveis
- Tipo de entidade e estabelecimento
Dimensão
- Número de trabalhadores
- Volume de negócios anual, quando aplicável
- Balanço total anual, quando aplicável
- Estados-Membros onde presta serviços, quando aplicável
Representação
- Representante legal identificado
- Cartão de Cidadão ou Chave Móvel Digital
- Atributo profissional, quando disponível
- Mandato ou ato de delegação, quando aplicável
Operação
- Email institucional monitorizado
- Adesão ao SPNE, se existente
- Candidato a responsável de cibersegurança
- Equipa ou terceiro para contacto permanente
Responsabilidade e contacto
Três papéis que não devem ser confundidos.
Representante legal
Cria ou representa a conta da entidade e assegura a transição antes de cessar funções.
Responsável de cibersegurança
Função comunicada pelas entidades essenciais e importantes, acompanhada dos elementos e do ato de designação aplicáveis.
Ponto de contacto permanente
Equipa interna ou entidade terceira contactável em permanência através de contactos principais e alternativos.
PCP significa ponto de contacto permanente. Neste contexto não significa plano de continuidade de negócio.
Depois da qualificação
O registo definitivo inicia a operação contínua.
Atualização permanente
Os dados submetidos são responsabilidade da entidade e devem permanecer atualizados.
Notificações eletrónicas
A notificação considera-se efetuada na consulta da área reservada ou, se não for consultada, no termo do terceiro dia após a receção.
Documentos e relatório anual
As entidades essenciais comunicam anualmente o relatório; as importantes remetem-no quando solicitado. Aplicam-se os modelos obrigatórios disponibilizados.
Incidentes
A plataforma associa notificações do mesmo incidente e pode emitir alertas, mas a falta de alerta não afasta o cumprimento dos prazos.
Ativos públicos
A lista de ativos diretamente acessíveis pela Internet deve ser elaborada, atualizada e comunicada.
Indisponibilidade
Quando não for possível aguardar, existem canais alternativos; a informação é depois integrada na área reservada.
Dossier MyCiber
Guardar o que foi decidido, submetido e recebido.
Os recibos e documentos permitem reconstruir o procedimento, demonstrar prazos e manter a governação da conta.
- 01Memória interna do enquadramento e fontes utilizadas
- 02Mandato, delegação ou ato que legitima a representação
- 03Recibo da autoidentificação com data e hora
- 04Pedidos adicionais, respostas e respetivos recibos
- 05Projeto de decisão, pronúncia e decisão final
- 06Atos de designação e comunicações do RCS e do PCP
- 07Histórico de alterações, notificações e acessos relevantes
- 08Documentos, relatórios e notificações de incidentes submetidos
Prazos de referência
Não dependa apenas dos alertas da plataforma.
Confirme sempre a data inicial e o regime aplicável ao caso concreto.
Entidade já em atividade
A contar da disponibilização da plataforma para o efeito, nos termos do artigo 8.º do RJCS.
Nova entidade
A contar do início da atividade, nos termos do artigo 8.º do RJCS.
Audiência dos interessados
A contar da notificação do projeto de decisão de qualificação.
Notificação não consultada
Considera-se efetuada no termo do terceiro dia após a receção eletrónica.
Perguntas frequentes
Evitar erros de interpretação.
O simulador do MyCiber confirma juridicamente o enquadramento?
Não. O instrumento é informativo, não constitui autovinculação administrativa e não dispensa a autoidentificação quando esta seja obrigatória.
Existe uma conta por setor ou uma conta por entidade?
Existe uma conta e um registo provisório por entidade, independentemente do número de setores ou subsetores de atividade.
Quem pode representar a entidade?
O representante legal pode autenticar-se com um sistema de identificação eletrónica de nível elevado. A entidade pode também fazer-se representar por meios legalmente admissíveis, nomeadamente por mandato devidamente comprovado.
PCP significa plano de continuidade?
Não neste percurso. PCP significa ponto de contacto permanente: a equipa interna ou entidade terceira comunicada para assegurar disponibilidade de contacto.
A entidade escolhe entre Essencial, Importante ou Pública Relevante?
Não. A qualificação resulta da decisão da autoridade de cibersegurança competente após a autoidentificação e a audiência dos interessados.
Depois do registo definitivo o processo termina?
Não. A informação deve permanecer atualizada e a plataforma suporta comunicações, documentos, notificações, incidentes e outros deveres durante a vigência do registo.
Fontes primárias
Confirme o ato e utilize apenas o portal oficial.
Guia informativo e operacional. Não substitui a análise jurídica da entidade, as instruções da autoridade competente nem a utilização do portal oficial MyCiber.