Medidas mínimas de cibersegurança do Regulamento 756/2026
193 medidas oficiais estruturadas: 153 para entidades essenciais e importantes, distribuídas pelos níveis de conformidade básico, substancial e elevado, e 40 para entidades públicas relevantes, distribuídas pelos Grupos B e A. Use a checklist interativa abaixo para acompanhar o progresso de implementação da sua entidade.
O que estabelece o Regulamento 756/2026
O Regulamento n.º 756/2026, de 22 de junho, publicado no Diário da República e em vigor desde 23 de junho de 2026, executa o Regime Jurídico da Cibersegurança aprovado pelo Decreto-Lei n.º 125/2025. Este regulamento concretiza, em medidas técnicas e organizacionais objetivas, as obrigações de segurança que a NIS2 e o RJC apenas enunciavam em termos gerais.
O Anexo III define as medidas mínimas de cibersegurança aplicáveis às entidades essenciais e importantes, organizadas em três níveis de conformidade progressivos, nos termos do n.º 5 do artigo 26.º do RJC (ver também o artigo 27.º). O Anexo IV define as medidas mínimas aplicáveis às entidades públicas relevantes, organizadas em dois grupos, nos termos do n.º 2 do artigo 33.º do RJC.
Anexo III: entidades essenciais e importantes
153 medidas divididas em três níveis cumulativos: básico (43 medidas), substancial (59 medidas adicionais) e elevado (51 medidas adicionais). O nível substancial inclui todas as medidas do nível básico; o nível elevado inclui as medidas dos níveis básico e substancial.
Anexo IV: entidades públicas relevantes
40 medidas divididas em dois grupos cumulativos: Grupo B (18 medidas) e Grupo A (22 medidas adicionais). As entidades do Grupo A asseguram igualmente todas as medidas definidas para o Grupo B.
O nível de conformidade aplicável a cada entidade (básico, substancial ou elevado no Anexo III; Grupo B ou Grupo A no Anexo IV) é determinado pela autoridade competente na decisão de qualificação, e não pela própria entidade. Certificações no âmbito do Selo de Maturidade Digital (EC QNRCS) ou ISO/IEC 27001, quando cumpridos os respetivos requisitos, podem beneficiar de presunção de cumprimento.
Checklist interativa de medidas mínimas
Selecione o anexo aplicável à sua entidade, filtre por nível de conformidade e marque as medidas já implementadas. O progresso fica guardado neste dispositivo (localStorage) e não é enviado para nenhum servidor.
Descarregar checklists em Excel
Versões descarregáveis das checklists para trabalho offline, partilha interna ou anexação a processos de auditoria.
Checklist Anexo III (essenciais e importantes)
As 153 medidas dos níveis básico, substancial e elevado, organizadas por código QNRCS, com colunas para evidência e responsável.
Descarregar .xlsxChecklist Anexo IV (entidades públicas relevantes)
As 40 medidas dos Grupos B e A, com tabela de abreviaturas e colunas para evidência e responsável.
Descarregar .xlsxPerguntas frequentes
As dúvidas mais comuns sobre a aplicação prática dos Anexos III e IV do Regulamento 756/2026.
A quem se aplica o Anexo III e a quem se aplica o Anexo IV?
O Anexo III do Regulamento 756/2026 define as medidas mínimas de cibersegurança para as entidades essenciais e importantes abrangidas pelo Regime Jurídico da Cibersegurança, nos termos do n.º 5 do artigo 26.º do DL 125/2025. O Anexo IV define as medidas mínimas para as entidades públicas relevantes, nos termos do n.º 2 do artigo 33.º, organizadas em Grupo B e Grupo A consoante a criticidade da entidade.
Quem determina o nível de conformidade da minha entidade?
O nível de conformidade aplicável a cada entidade (básico, substancial ou elevado no Anexo III; Grupo B ou Grupo A no Anexo IV) é determinado pela autoridade competente na decisão de qualificação da entidade, e não pela própria entidade. É por isso essencial confirmar junto do CNCS ou da autoridade setorial competente qual o nível que efetivamente se aplica antes de iniciar o processo de conformidade.
Os níveis de medidas são cumulativos?
Sim. No Anexo III, o nível substancial inclui as medidas do nível básico e o nível elevado inclui as medidas dos níveis básico e substancial. No Anexo IV, as entidades do Grupo A asseguram igualmente as medidas definidas para o Grupo B. Uma entidade classificada no nível mais exigente tem de cumprir cumulativamente todas as medidas dos níveis inferiores.
Ter certificação ISO/IEC 27001 dispensa o cumprimento destas medidas?
Não dispensa automaticamente. Certificações no âmbito do Selo de Maturidade Digital (EC QNRCS) ou ISO/IEC 27001, quando cumpridos os respetivos requisitos, podem beneficiar de presunção de cumprimento das medidas correspondentes, mas cabe sempre à autoridade competente confirmar essa correspondência e a validade da certificação em causa.
Continue a preparar a sua conformidade
Ferramentas e recursos complementares para transformar esta checklist num plano de ação.
Sistema de auditoria NIS2
Avalie o nível de maturidade da sua entidade face aos requisitos de cibersegurança.
Roadmap de 90 dias
Plano estruturado para arrancar com a conformidade NIS2 em três meses.
Todos os templates
Políticas, planos e registos prontos a adaptar à sua entidade.
Leis europeias de cibersegurança
NIS2, DORA, AI Act, Cyber Resilience Act e Cyber Solidarity Act em Portugal.
Regulamento 756/2026 e MyCiber
Notícia sobre a publicação do regulamento e a entrada em funcionamento do MyCiber.