O enquadramento vem antes do formulário
A autoidentificação no MyCiber não deve começar com respostas improvisadas. Antes de entrar na plataforma, a organização precisa de compreender a sua natureza, as atividades efetivamente exercidas, os setores e subsetores relevantes, a dimensão e o território em que presta serviços.
O artigo 8.º do Regime Jurídico da Cibersegurança estabelece o procedimento de identificação e qualificação. O Regulamento n.º 756/2026 concretiza o funcionamento da plataforma e esclarece que os instrumentos automatizados de apoio são informativos: não constituem uma decisão oficial nem dispensam o formulário quando este seja obrigatório.
Por isso, a pergunta «estou abrangido?» raramente deve ser respondida apenas com um sim ou um não imediato. Deve originar uma análise rastreável, com factos, pressupostos, incertezas e elementos que possam ser confirmados.
Quem deve prestar atenção
O regime abrange entidades dos tipos e setores previstos no Decreto-Lei n.º 125/2025, incluindo entidades que podem vir a ser qualificadas como essenciais, importantes ou públicas relevantes. A análise não deve limitar-se ao nome comercial da atividade nem ao código de atividade económica.
Uma organização pode prestar vários serviços, operar em mais do que um setor, integrar um grupo empresarial ou assumir um papel relevante numa cadeia de fornecimento. Também pode existir diferença entre a atividade principal declarada e os serviços digitais, operacionais ou de infraestrutura que efetivamente disponibiliza.
- Empresas e entidades privadas que operam nos setores dos anexos I ou II do RJCS.
- Municípios, entidades intermunicipais, organismos da Administração Pública e entidades públicas empresariais.
- Organizações com atividades diferentes dentro do mesmo grupo ou com serviços relevantes prestados a terceiros.
- Entidades cuja dimensão, território, estabelecimento ou natureza jurídica exigem confirmação.
- Organizações que ainda não sabem se uma atividade concreta corresponde a um setor ou subsetor legal.
Os dados que devem ser organizados
Uma análise inicial fiável depende da qualidade da informação. Não é necessário conhecer antecipadamente todas as respostas, mas é importante distinguir factos confirmados, estimativas e questões ainda por validar.
A informação deve refletir a entidade jurídica que será identificada, e não uma perceção genérica do grupo, da marca ou da organização. Quando existam várias pessoas coletivas, o enquadramento pode ter de ser analisado individualmente.
- Natureza privada, pública, empresarial pública ou pertencente à Administração autónoma.
- Atividades, serviços e funções realmente exercidas.
- Setor e subsetor potencialmente aplicáveis, incluindo atividades secundárias relevantes.
- Número de trabalhadores e, quando aplicável, dados financeiros usados na determinação da dimensão.
- Local de estabelecimento, território de operação e prestação transfronteiriça de serviços.
- Estrutura do grupo, relações de controlo e entidades que partilham serviços ou infraestrutura.
- Representante legal e eventual mandato para atuar na plataforma.
Setor e dimensão não devem ser presumidos
Os anexos I e II do Decreto-Lei identificam tipos de entidades e setores, mas a correspondência exige leitura material da atividade. Uma designação semelhante não garante o mesmo enquadramento, e uma atividade aparentemente secundária pode ser juridicamente relevante.
A dimensão também não se resume sempre a contar trabalhadores. Dependendo da entidade, podem ser relevantes os limiares e as regras constantes do anexo III, bem como as relações de grupo. Nas entidades públicas, o regime estabelece critérios próprios para os grupos A e B.
Quando faltar informação, a resposta responsável é assinalar a incerteza e indicar o documento ou a pessoa que a pode esclarecer. Uma resposta provisória bem identificada é mais útil do que uma conclusão definitiva sem suporte.
Um verificador serve para orientar, não para qualificar
A Cyberprotech disponibiliza na homepage um percurso de orientação preliminar. A ferramenta organiza as respostas conhecidas, identifica elementos relevantes e evidencia os pontos que devem ser confirmados antes de uma decisão ou submissão.
O resultado não é uma qualificação oficial, uma declaração jurídica automática ou uma substituição da plataforma MyCiber. A qualificação pertence ao procedimento legal e à autoridade de cibersegurança competente.
O valor da ferramenta está em reduzir o ruído inicial: ajuda a perceber que informação existe, o que falta, que hipóteses merecem validação e qual o próximo passo proporcionado.
Como funciona o percurso em cinco passos
O percurso foi desenhado para que a organização responda apenas ao que conhece. As escolhas seguintes adaptam-se à informação anterior, evitando apresentar listas legais extensas sem contexto.
No final, a organização pode guardar a orientação ou pedir validação. Quando é criado um processo acompanhado, recebe uma referência única e uma ligação privada para consultar mensagens, anexar documentos e propor um agendamento.
- Identificar a natureza da organização.
- Selecionar o setor e aproximar o tipo de atividade através de linguagem clara.
- Registar os elementos de dimensão e estrutura conhecidos.
- Assinalar dúvidas, exceções ou dados ainda não confirmados.
- Rever o resumo e, se necessário, solicitar validação humana.
O que acontece quando pede validação
O pedido cria um processo de acompanhamento separado, identificado por uma referência única. A equipa pode analisar as respostas, solicitar esclarecimentos e indicar que elementos documentais ajudam a confirmar o enquadramento.
A ligação privada permite acompanhar o estado, trocar mensagens, enviar documentos com descrição e propor uma reunião. O objetivo é preservar o contexto e evitar que decisões importantes fiquem dispersas por vários emails ou conversas sem registo.
A validação pode confirmar uma linha de análise, identificar informação em falta ou recomendar uma apreciação jurídica especializada. Não transforma a Cyberprotech na autoridade competente nem substitui a decisão emitida no procedimento oficial.
Proteção de dados e proporcionalidade
O percurso inicial deve recolher apenas os dados necessários para organizar a orientação e, quando solicitado, permitir o contacto e acompanhamento. Não devem ser enviados segredos, credenciais, informação classificada ou documentos sem relação com a análise.
Antes do envio, o utilizador vê os dados que serão registados e aceita a política de privacidade aplicável. A subscrição de alertas e notícias é opcional e independente do pedido de validação.
A ligação de acompanhamento é privada e deve ser guardada como qualquer outro meio de acesso. Os documentos devem ser limitados ao necessário, corretamente identificados e revistos antes do carregamento.
Documentos que podem ajudar a confirmar o enquadramento
Nem todos os processos exigem os mesmos documentos. A seleção deve ser proporcional à dúvida concreta e pode começar por elementos simples, sem enviar dossiês completos.
- Certidão permanente, estatutos ou documento equivalente que confirme a entidade e o objeto.
- Descrição dos serviços efetivamente prestados e dos respetivos destinatários.
- Organograma ou esquema do grupo quando existam várias pessoas coletivas.
- Elementos de recursos humanos e financeiros estritamente necessários para confirmar a dimensão.
- Contratos, licenças ou autorizações que ajudem a caracterizar uma atividade regulada.
- Memória interna com os critérios, fontes e pressupostos usados na análise.
Erros que convém evitar
A pressa pode transformar a autoidentificação num exercício meramente administrativo. O objetivo deve ser fornecer informação coerente, sustentada e preparada para ser atualizada.
- Concluir que a entidade não está abrangida apenas porque é pequena.
- Usar apenas o CAE para determinar o setor e ignorar os serviços efetivamente prestados.
- Responder pelo grupo inteiro sem distinguir cada pessoa coletiva.
- Confundir orientação preliminar com qualificação oficial.
- Submeter dados sem guardar as fontes, os pressupostos e as aprovações internas.
- Adiar a preparação porque ainda existe uma dúvida: as incertezas também devem ser registadas e encaminhadas.
Do enquadramento à implementação
A qualificação não é o fim do percurso. O RJCS e o Regulamento ligam o enquadramento a medidas de cibersegurança, governação, gestão de risco, evidências, comunicações, Responsável de Cibersegurança (RCS), Ponto de Contacto Permanente (PCP), relatórios e notificação de incidentes.
Uma boa análise inicial deve, por isso, deixar um rasto reutilizável: quem decidiu, que dados foram usados, que incertezas permanecem e que ações devem seguir-se. Esse registo ajuda a transformar conformidade em capacidade operacional, em vez de criar apenas mais um formulário preenchido.
Se a sua organização ainda não sabe por onde começar, utilize o verificador na homepage. Responda ao que conhece, registe as dúvidas e solicite validação apenas quando precisar de acompanhamento.