Dois anexos, dois universos de entidades

O Regulamento n.º 756/2026, publicado pelo CNCS em Diário da República (2.ª série, n.º 118), completa o quadro técnico do Regime Jurídico da Cibersegurança (DL 125/2025) ao definir, com o nível de detalhe que faltava, quais são as medidas concretas de cibersegurança que cada entidade deve implementar. Para esse efeito, o regulamento distingue dois universos de destinatários, cada um com o seu próprio anexo de medidas mínimas.

O Anexo III aplica-se às entidades essenciais e importantes, nos termos do n.º 5 do artigo 26.º do Regime Jurídico da Cibersegurança (ver também o artigo 27.º). Este anexo define 153 medidas, repartidas por três níveis de conformidade cumulativos: básico, substancial e elevado. O Anexo IV aplica-se às entidades públicas relevantes, nos termos do n.º 2 do artigo 33.º, e define 40 medidas, repartidas por dois grupos: Grupo B e Grupo A.

Anexo III: três níveis cumulativos para entidades essenciais e importantes

O Anexo III organiza as 153 medidas em três níveis de conformidade que se acumulam entre si: o nível básico tem 43 medidas, o nível substancial acrescenta mais 59 medidas às do nível básico, e o nível elevado acrescenta ainda mais 51 medidas às dos dois níveis anteriores. Isto significa que uma entidade sujeita ao nível elevado deve, na prática, implementar as 43 medidas básicas, as 59 medidas substanciais e as 51 medidas elevadas, num total de 153 medidas.

O nível de conformidade exigível a cada entidade não é uma escolha da própria entidade: é determinado pela autoridade competente na decisão de qualificação, tendo em conta fatores como a dimensão da entidade, o setor de atividade e a criticidade dos serviços prestados.

Nível	N.º de medidas próprias	Total acumulado
Básico	43	43
Substancial	59	102
Elevado	51	153

As medidas cobrem domínios como governação e gestão de riscos, gestão de ativos, controlo de acessos e autenticação multifator, proteção de dados em repouso e em trânsito, monitorização e deteção de eventos, resposta e recuperação de incidentes, e gestão de riscos da cadeia de abastecimento. Cada medida corresponde a um código de controlo QNRCS (por exemplo, GR.CO-3 para requisitos legais e regulamentares de cibersegurança, ou PR.GA-3 para mecanismos de autenticação), acompanhado da descrição da medida e do critério de verificação que a autoridade competente pode exigir como evidência.

Anexo IV: Grupo B e Grupo A para entidades públicas relevantes

O Anexo IV aplica-se às entidades públicas relevantes e define 40 medidas divididas em dois grupos: o Grupo B tem 18 medidas e o Grupo A acrescenta mais 22 medidas às do Grupo B, num total de 40. Tal como no Anexo III, a lógica é cumulativa: as entidades classificadas no Grupo A devem assegurar igualmente as medidas definidas para o Grupo B.

Grupo	N.º de medidas próprias	Total acumulado
Grupo B	18	18
Grupo A	22	40

As medidas do Anexo IV utilizam a mesma estrutura de código de controlo, medida e critério de verificação, adaptada à realidade das entidades públicas. Entre as tecnologias mencionadas nos critérios de verificação constam siglas como MFA (autenticação multifator), TIC (tecnologias de informação e comunicação), VDI (infraestrutura de desktop virtual) e VPN (rede privada virtual).

Como ler cada medida: código, controlo e critério de verificação

Cada uma das 193 medidas apresenta a mesma estrutura de três elementos, o que facilita a leitura e a auditoria interna:

• Código de controlo QNRCS: identificador curto (por exemplo, ID.GA-1 ou DE.MC-1) que situa a medida dentro do Quadro Nacional de Referência para a Cibersegurança, agrupando-a por função (governação e risco, identificação, proteção, deteção, resposta, recuperação).
• Descrição da medida: o que a entidade deve concretamente implementar, por exemplo a definição de uma Política de Uso Aceitável ou a implementação de autenticação multifator nos acessos remotos.
• Critério de verificação: a evidência que a autoridade competente pode exigir para confirmar o cumprimento, como um registo documentado, uma política aprovada ou evidência técnica de uma configuração.

Esta estrutura torna as medidas auditáveis: em vez de princípios genéricos, cada linha do Anexo III ou do Anexo IV corresponde a algo que pode ser verificado por um auditor ou pela própria autoridade competente.

Presunção de cumprimento com certificações reconhecidas

O Regulamento 756/2026 prevê ainda que as entidades com certificações no âmbito do Esquema de Certificação do QNRCS (EC QNRCS) ou da norma ISO/IEC 27001, desde que cumpridos os respetivos requisitos, podem beneficiar de presunção de cumprimento de parte das medidas exigidas. Esta disposição evita duplicação de esforços para entidades que já mantêm sistemas de gestão de segurança da informação certificados.

O que fazer já

Com os Anexos III e IV publicados, as entidades passam a ter uma lista concreta e auditável de medidas a implementar, em vez de princípios genéricos de gestão de risco. As ações prioritárias são:

1. Identificar o anexo e o nível ou grupo aplicável: Anexo III (básico, substancial ou elevado) para entidades essenciais e importantes, ou Anexo IV (Grupo B ou Grupo A) para entidades públicas relevantes, confirmando a classificação na decisão de qualificação da autoridade competente.
2. Fazer o levantamento medida a medida do estado de conformidade atual, registando para cada uma o estado (conforme, parcial, não conforme ou não aplicável) e a evidência disponível.
3. Utilizar os checklists correspondentes para estruturar este levantamento e o respetivo plano de correção.
4. Verificar certificações existentes (EC QNRCS, ISO/IEC 27001) que possam beneficiar de presunção de cumprimento, confirmando se o âmbito certificado cobre os critérios de verificação exigidos.
5. Consultar o resumo estruturado das 193 medidas disponível na página dedicada ao Regulamento 756/2026, com filtros por anexo, nível e grupo.