Um ciberataque pode ser suficiente para paralisar a atividade de uma empresa. A interrupção de serviços, a indisponibilidade de sistemas ou a impossibilidade de realizar operações quotidianas são apenas algumas das consequências de uma ameaça cada vez mais presente na realidade das organizações.
Afinal, não será polémico afirmar que a nossa vida se passa, também, em ambientes digitais. E se é verdade que, enquanto utilizadores, o nosso recurso à Internet e às novas tecnologias é inegável, o mesmo acontece com muitas entidades, públicas e privadas, no exercício das suas atividades.
Hoje, a gestão da atividade de empresas e organizações não ocorre apenas entre capas de lombada grossa, processos físicos e salas de arquivo. A informatização alcançou toda a nossa sociedade e, por isso, quando um sistema falha, o problema já não é apenas informático.
É isso que se evidencia sempre que uma entidade é alvo de um ciberataque, sobretudo quando presta serviços essenciais, como as telecomunicações ou os serviços de saúde. Mas as consequências fazem-se sentir também noutras atividades: numa loja online, por exemplo, a indisponibilidade dos sistemas pode impedir a realização de vendas e comprometer a entrega das encomendas aos clientes, colocando em causa a continuidade da atividade. Enfim, um incidente de cibersegurança pode afetar o normal funcionamento de diferentes setores da nossa economia.
E é aqui que entra a regulação.
O Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025, de 4 de dezembro, procura capacitar as entidades abrangidas para prevenir riscos, reagir a incidentes e recuperar o mais rapidamente possível.
O regime aplica-se, designadamente, a determinadas entidades que atuem em setores como a saúde, a energia, as telecomunicações ou serviços digitais, e satisfaçam requisitos relacionados, entre outros, com a sua dimensão ou a relevância da atividade. Sobre estas entidades recaem obrigações específicas em matéria de gestão de riscos, registo e autoidentificação perante o Centro Nacional de Cibersegurança (CNCS) e notificação de incidentes significativos.
Prevenir. Reagir. Recuperar.
Mas, mais do que esta lógica de resiliência, a legislação evidencia que a cibersegurança não é apenas uma responsabilidade dos serviços informáticos, devendo ser entendida como uma questão de organização e gestão. E assim não podia deixar de ser.
As medidas de cibersegurança não são um penso rápido, a aplicar em caso de incidente. Independentemente das obrigações legais especificamente aplicáveis, a cibersegurança exige uma atuação contínua, orientada para proteger aquilo que é verdadeiramente importante: a capacidade de a organização continuar a funcionar.
No dia 15 de setembro de 2026, terminou o prazo inicial de registo na plataforma MyCiber para as entidades sujeitas a esse dever. Todavia, esse registo é apenas um primeiro passo.
Afinal, num mundo cada vez mais dependente do digital, a pergunta central é: se amanhã os sistemas falharem, estamos preparados para continuar a funcionar?
