Sobre este template

O Regulamento 756/2026 pede, desde o nível básico, um registo documentado das vulnerabilidades identificadas e do seu tratamento. Nos níveis substancial e elevado pede ainda o registo dos processos de gestão (fontes internas e externas), a análise e avaliação sistemática e o registo dos testes de intrusão regulares. Este ficheiro Excel reúne tudo numa folha de registo, com os campos que as evidências pedem e os campos de boa prática (CVE, CVSS, exploração ativa, responsável), e calcula prazos e atrasos a partir de prazos internos que a organização define.

O que contém o ficheiro

• Instruções: objetivo, medidas a que serve de evidência (com código e nível), tipo de entidade, o que é obrigação e o que é boa prática, e o que fica a confirmar com o CNCS.
• Registo: uma linha por vulnerabilidade: fonte e origem, ativo e criticidade, severidade, exposição, decisão de tratamento (corrigir, mitigar com controlo compensatório, aceitar, não aplicável), correção e evidência, estado, dias em aberto e situação face ao prazo interno, com formatação condicional.
• Testes de intrusão: registo de cada teste (data, âmbito, entidade, achados, relatório) e data do próximo teste calculada com a periodicidade interna.
• Parâmetros: prazos internos de correção por severidade e periodicidade dos testes, editáveis.
• Indicadores: em aberto por severidade e estado, percentagem corrigida dentro do prazo interno, idade média, aceitações de risco ativas e a expirar. As linhas de exemplo ficam fora das contagens.
• Referências legais: o texto literal das evidências do Regulamento e das normas citadas.

A evidência é exigida conforme o nível de conformidade da entidade (Básico, Substancial ou Elevado); as medidas do artigo 27.º n.os 1 e 2 e do artigo 33.º só são exigíveis a 22 de junho de 2028 (DL 125/2025, art. 10.º n.º 2), pelo que até lá o registo é preparação.