Análise regulatória com consequência prática
Publicamos análises curtas e utilizáveis sobre as alterações que exigem decisão. Cada texto identifica o diploma, a data de aplicação, os destinatários e a acção concreta recomendada.
As três alterações com maior impacto no segundo semestre de 2026
AI Act: o que muda a partir de 2 de agosto de 2026
Com a aplicação da quase totalidade do Regulamento (UE) 2024/1689 — ficando diferida apenas a aplicação do artigo 6.º, n.º 1, para 2 de agosto de 2027 —, os responsáveis pela implantação passam a estar sujeitos ao regime pleno de obrigações. Analisamos o inventário mínimo exigível, a classificação de risco e o dever de literacia.
Regulamento do CNCS: concretização do regime da cibersegurança
O regulamento publicado em Junho de 2026 detalha as medidas técnicas e organizativas exigíveis ao abrigo do Decreto-Lei n.º 125/2025. Identificamos as implicações para o plano de conformidade das entidades essenciais e importantes e para o período de carência de coimas, que termina em 3 de abril de 2027.
Lei n.º 12-A/2026: execução nacional do DSA
A lei de execução do Regulamento dos Serviços Digitais fixa o quadro sancionatório nacional, com coimas entre 1 % e 6 % do volume de negócios anual mundial, e confirma a arquitectura de supervisão assente na ANACOM como coordenadora dos serviços digitais, com intervenção sectorial da ERC e da CNPD.
Datas a considerar no planeamento
| Data | Acontecimento | Destinatários |
|---|---|---|
| 3 de abril de 2026 | Entrada em vigor do Decreto-Lei n.º 125/2025 (Regime Jurídico da Cibersegurança) | Entidades essenciais, importantes e públicas relevantes |
| Abril de 2026 | Prazo de 20 dias úteis para comunicação do responsável de cibersegurança | Entidades abrangidas pelo novo regime |
| 15 de abril de 2026 | Publicação da Lei n.º 12-A/2026 (execução do Regulamento dos Serviços Digitais) | Prestadores de serviços intermediários |
| Junho de 2026 | Regulamento do CNCS que concretiza o regime jurídico da cibersegurança | Entidades essenciais e importantes |
| 2 de agosto de 2026 | Aplicação da quase totalidade do Regulamento (UE) 2024/1689 (AI Act) | Fornecedores e responsáveis pela implantação de sistemas de IA |
| 11 de setembro de 2026 | Início das obrigações de comunicação do Regulamento (UE) 2024/2847 (Cyber Resilience Act) | Fabricantes de produtos com elementos digitais |
| 3 de abril de 2027 | Termo do período de carência de coimas no Regime Jurídico da Cibersegurança | Entidades essenciais, importantes e públicas relevantes |
| 2 de agosto de 2027 | Aplicação do artigo 6.º, n.º 1, do Regulamento (UE) 2024/1689 | Sistemas de IA de risco elevado abrangidos |
| 11 de dezembro de 2027 | Aplicação plena do Regulamento (UE) 2024/2847 (Cyber Resilience Act) | Fabricantes, importadores e distribuidores |
Matérias em evolução que monitorizamos
Normas harmonizadas e códigos de conduta do AI Act
Acompanhamento dos trabalhos de normalização europeia e dos códigos de prática aplicáveis a modelos de IA de finalidade geral.
Regulamentação sectorial da cibersegurança
Instrumentos emitidos pelo Centro Nacional de Cibersegurança e pelas autoridades sectoriais de supervisão.
Aplicação prática do Data Act
Cláusulas contratuais-tipo, regime da comutação de prestadores de serviços de tratamento de dados e interpretação das cláusulas abusivas.
Carteira europeia de identidade digital
Actos de execução do Regulamento (UE) 2024/1183 e implementação nacional.
Decisões das autoridades de controlo
Deliberações da Comissão Nacional de Proteção de Dados, orientações do Comité Europeu para a Proteção de Dados e decisões da Comissão Europeia.
Receba apenas o que tem consequência para a sua organização
O serviço de alerta regulatório envia notificação individualizada quando uma alteração afecta os regimes aplicáveis à sua actividade, com indicação da acção recomendada e do prazo.