Medidas mínimas de cibersegurança do Regulamento 756/2026
193 medidas oficiais estruturadas: 153 para entidades essenciais e importantes, distribuídas pelos níveis de conformidade básico, substancial e elevado, e 40 para entidades públicas relevantes, distribuídas pelos Grupos B e A. Use a checklist interativa abaixo para acompanhar o progresso de implementação da sua entidade.
O que estabelece o Regulamento 756/2026
O Regulamento n.º 756/2026, de 22 de junho, publicado no Diário da República e em vigor desde 23 de junho de 2026, executa o Regime Jurídico da Cibersegurança aprovado pelo Decreto-Lei n.º 125/2025. Este regulamento concretiza, em medidas técnicas e organizacionais objetivas, as obrigações de segurança que a NIS2 e o RJC apenas enunciavam em termos gerais.
As medidas mínimas dos Anexos III e IV produzem efeitos a 22 de junho de 2028 (art. 10.º, n.º 2, do DL 125/2025; art. 35.º, n.º 1, do Regulamento).
O Anexo III define as medidas mínimas de cibersegurança aplicáveis às entidades essenciais e importantes, organizadas em três níveis de conformidade progressivos, nos termos do n.º 5 do artigo 26.º do RJC (ver também o artigo 27.º). O Anexo IV define as medidas mínimas aplicáveis às entidades públicas relevantes, organizadas em dois grupos, nos termos do n.º 2 do artigo 33.º do RJC.
Anexo III: entidades essenciais e importantes
153 medidas divididas em três níveis cumulativos: básico (43 medidas), substancial (59 medidas adicionais) e elevado (51 medidas adicionais). O nível substancial inclui todas as medidas do nível básico; o nível elevado inclui as medidas dos níveis básico e substancial.
Anexo IV: entidades públicas relevantes
40 medidas divididas em dois grupos cumulativos: Grupo B (18 medidas) e Grupo A (22 medidas adicionais). As entidades do Grupo A asseguram igualmente todas as medidas definidas para o Grupo B.
O nível de conformidade aplicável a cada entidade (básico, substancial ou elevado no Anexo III; Grupo B ou Grupo A no Anexo IV) é determinado pela autoridade competente na decisão de qualificação, e não pela própria entidade. As entidades certificadas, designadamente no Esquema de Certificação do QNRCS (EC QNRCS), na ISO/IEC 27001 com âmbito integral ou, para as entidades públicas relevantes, no Selo Digital (DNP TS 4577-1), podem beneficiar de presunção de cumprimento (artigo 27.º, n.º 3, do Regulamento).
Checklist interativa de medidas mínimas
Selecione o anexo aplicável à sua entidade, filtre por nível de conformidade e marque as medidas já implementadas. O progresso fica guardado neste dispositivo (localStorage) e não é enviado para nenhum servidor.
Descarregar checklists em Excel
Versões descarregáveis das checklists para trabalho offline, partilha interna ou anexação a processos de auditoria.
Checklist Anexo III (essenciais e importantes)
As 153 medidas dos níveis básico, substancial e elevado, organizadas por código QNRCS, com colunas para evidência e responsável.
Descarregar .xlsxChecklist Anexo IV (entidades públicas relevantes)
As 40 medidas dos Grupos B e A, com tabela de abreviaturas e colunas para evidência e responsável.
Descarregar .xlsxPerguntas frequentes
As dúvidas mais comuns sobre a aplicação prática dos Anexos III e IV do Regulamento 756/2026.
A quem se aplica o Anexo III e a quem se aplica o Anexo IV?
O Anexo III do Regulamento 756/2026 define as medidas mínimas de cibersegurança para as entidades essenciais e importantes abrangidas pelo Regime Jurídico da Cibersegurança, nos termos do n.º 5 do artigo 26.º do DL 125/2025. O Anexo IV define as medidas mínimas para as entidades públicas relevantes, nos termos do n.º 2 do artigo 33.º, organizadas em Grupo B e Grupo A consoante o grupo atribuído na decisão de qualificação em função do número de trabalhadores da entidade (artigo 7.º do RJC).
Quem determina o nível de conformidade da minha entidade?
O nível de conformidade aplicável a cada entidade (básico, substancial ou elevado no Anexo III; Grupo B ou Grupo A no Anexo IV) é determinado pela autoridade competente na decisão de qualificação da entidade, e não pela própria entidade (artigo 9.º, n.º 5, do Regulamento). No Anexo III, o nível resulta do setor de atividade, da dimensão e da matriz de risco do Anexo II (artigo 28.º, n.os 2 e 3, do Regulamento); no Anexo IV, o grupo decorre do número de trabalhadores (artigo 7.º do RJC). É por isso essencial confirmar junto do CNCS ou da autoridade setorial competente qual o nível que efetivamente se aplica antes de iniciar o processo de conformidade.
Os níveis de medidas são cumulativos?
Sim. No Anexo III, o nível substancial inclui as medidas do nível básico e o nível elevado inclui as medidas dos níveis básico e substancial. No Anexo IV, as entidades do Grupo A asseguram igualmente as medidas definidas para o Grupo B. Uma entidade classificada no nível mais exigente tem de cumprir cumulativamente todas as medidas dos níveis inferiores.
Ter certificação ISO/IEC 27001 dispensa o cumprimento destas medidas?
Não dispensa automaticamente. Nos termos do artigo 27.º, n.º 3, do Regulamento 756/2026, podem beneficiar de presunção de cumprimento as entidades certificadas no Esquema de Certificação do QNRCS (EC QNRCS), na ISO/IEC 27001 apenas quando o âmbito da certificação abrange integralmente os sistemas de informação e redes associados aos serviços prestados, ou, no caso das entidades públicas relevantes, no Selo Digital (DNP TS 4577-1), ou ainda noutro esquema reconhecido pela Autoridade Nacional de Certificação de Cibersegurança. Cabe sempre à autoridade competente atestar essa correspondência e a validade da certificação em causa, com base na matriz de equivalência que o CNCS aprova por instrução técnica (artigo 27.º, n.º 7).
Continue a preparar a sua conformidade
Ferramentas e recursos complementares para transformar esta checklist num plano de ação.
Sistema de auditoria NIS2
Avalie o nível de maturidade da sua entidade face aos requisitos de cibersegurança.
Roadmap de 90 dias
Plano estruturado para arrancar com a conformidade NIS2 em três meses.
Todos os templates
Políticas, planos e registos prontos a adaptar à sua entidade.
Leis europeias de cibersegurança
NIS2, DORA, AI Act, Cyber Resilience Act e Cyber Solidarity Act em Portugal.
Regulamento 756/2026 e MyCiber
Notícia sobre a publicação do regulamento e a entrada em funcionamento do MyCiber.