Informação Jurídica

Cibersegurança

04-12-2025

Medidas destinadas a garantir um elevado nível comum de cibersegurança na União

(1) Decreto-Lei n.º 125/2025, de 4 de dezembro / Presidência do Conselho de Ministros. - Transpõe a Diretiva (UE) 2022/2555, relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União. Diário da República. - Série I - n.º 234 (04-12-2025), pp. 4-68 [65].

(2) Regulamento (UE) n.º 910/2014 do Parlamento Europeu e do Conselho, de 23 de julho de 2014, relativo à identificação eletrónica e aos serviços de confiança para as transações eletrónicas no mercado interno e que revoga a Diretiva 1999/93/CE. JO L 257 de 28.8.2014, p. 73-114. O artigo 19.º (Requisitos de segurança aplicáveis aos prestadores de serviços de confiança) é suprimido pelo artigo 42.º da Diretiva (UE) 2022/2555, de 14 de dezembro, com efeitos a partir de 18 de outubro de 2024.

(3) Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho, de 6 de julho de 2016, relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação em toda a União. JO L 194 de 19.7.2016, p. 1-30. Revogada pelo artigo 44.º da Diretiva (UE) 2022/2555, de 14 de dezembro, com efeitos a partir de 18 de outubro de 2024.

(4) Diretiva (UE) 2018/1972 do Parlamento Europeu e do Conselho, de 11 de dezembro de 2018, que estabelece o Código Europeu das Comunicações Eletrónicas (reformulação) (Texto relevante para efeitos do EEE) [PE/52/2018/REV/1]. JO L 321 de 17.12.2018, p. 36-214. Versão consolidada atual (17/12/2018): 02018L1972 — PT — 17.12.2018 — 000.001/153. Os artigos 40.º (Segurança das redes e dos serviços) e 41.º (Aplicação e execução)são suprimidos pelo artigo 43.º da Diretiva (UE) 2022/2555, de 14 de dezembro, com efeitos a partir de 18 de outubro de 2024.

(5) Comunicação da Comissão «Orientações da Comissão sobre a aplicação do artigo 3.º, n.º 4, da Diretiva (UE) 2022/2555 (Diretiva SRI 2)» (2023/C 324/02) [C/2023/6070]. JO C 324 de 14.9.2023, p. 2-7.

(6) Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União que altera o Regulamento (UE) n.º 910/2014 e a Diretiva (UE) 2018/1972 e revoga a Diretiva (UE) 2016/1148 (Diretiva SRI 2) (Texto relevante para efeitos do EEE) [PE/32/2022/REV/2]. JO L 333 de 27.12.2022, pp. 80-152 [73].

(7) Regulamento n.º 756/2026 (Série II), de 17 de junho de 2026 / Presidência do Conselho de Ministros. Gabinete Nacional de Segurança. Centro Nacional de Cibersegurança. - Regulamento de execução do Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025, de 4 de dezembro. Diário da República. - Série II - n.º 118 (22-06-2026), pp. 1-89. 

//////////////////////////////////////////////////////////////////

14-09-2026

22-06-2026

CENTRO NACIONAL DE CIBERSEGURANÇA

Regulamento do Regime Jurídico da Cibersegurança de 22-06-2026

(1) Regulamento n.º 756/2026 (Série II), de 17 de junho de 2026 / Presidência do Conselho de Ministros. Gabinete Nacional de Segurança. Centro Nacional de Cibersegurança. - Regulamento de execução do Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025, de 4 de dezembro. Diário da República. - Série II - n.º 118 (22-06-2026), pp. 1-89. 

PRESIDÊNCIA DO CONSELHO DE MINISTROS

Gabinete Nacional de Segurança

Centro Nacional de Cibersegurança

Regulamento n.º 756/2026

Regulamento do Regime Jurídico da Cibersegurança

O Decreto-Lei n.º 125/2025, de 4 de dezembro, aprovou o Regime Jurídico da Cibersegurança, transpondo a Diretiva (UE) 2022/2555, do Parlamento Europeu e do Conselho, de 14 de dezembro, destinada a garantir um elevado nível comum de cibersegurança em toda a União, sendo aplicável às entidades essenciais, importantes e públicas relevantes, com o enquadramento e delimitações previstas no mesmo regime jurídico.

Em consequência, o mesmo Regime Jurídico da Cibersegurança prevê a necessidade de estabelecer, através de regulamento, os termos da aplicação de algumas das suas disposições, nomeadamente quanto às regras de funcionamento da plataforma eletrónica (n.º 7 do artigo 8.º); às medidas de cibersegurança mínimas e níveis de conformidade determinadas do Quadro Nacional de Referência para a Cibersegurança (n.^os 2 e 5 do artigo 14.º); às medidas de cibersegurança mínimas e níveis de conformidade a adotar pelas entidades essenciais e entidades importantes (n.º 5 do artigo 26.º); à gestão do risco residual (n.º 1 do artigo 29.º); à comunicação do relatório anual (n.º 2 e 4 do artigo 30.º); à indicação do responsável de cibersegurança (n.º 3 do artigo 31.º); à indicação da pessoa ou pessoas que compõem a equipa que asseguram as funções de ponto de contacto permanente (n.º 3 do artigo 32.º); à determinação das medidas de cibersegurança que devem ser cumpridas por parte das entidades públicas relevantes (n.º 2 do artigo 33.º); às comunicações entre as entidades com o Centro Nacional de Cibersegurança, ou com as autoridades nacionais setoriais de cibersegurança, incluindo as notificações obrigatórias e voluntárias de informações pertinentes de incidentes (artigos 40.º a 45.º e n.º 2 do artigo 83.º); e às notificações eletrónicas realizadas pelas autoridades de cibersegurança competentes às entidades registadas na plataforma eletrónica (n.º 2 do artigo 72.º).

Considerando as diversas matérias dependentes, na sua aplicação, de regulamento a aprovar pelo Centro Nacional de Cibersegurança (CNCS) optou-se, numa lógica de simplificação regulamentar, por incluí-las num único documento normativo.

Nesses termos, no âmbito das competências que lhe são cometidas e de acordo com os seus poderes e funções como Autoridade Nacional de Cibersegurança, o CNCS procedeu à elaboração do projeto de Regulamento, o qual foi submetido a consulta pública, nos termos do artigo 101.º do Código de Procedimento Administrativo, através do Aviso n.º 5146/2026/2, de 10 de março, publicado no Diário da República, 2.ª série, n.º 48 e aprovado pelo seu subdiretor-geral do Gabinete Nacional de Segurança e coordenador do Centro Nacional de Cibersegurança, por despacho de 27 de fevereiro de 2026. O mesmo projeto de Regulamento foi, ainda, sujeito à audição prévia das demais autoridades de cibersegurança competentes.

Findo o prazo de consulta pública, foram recebidas 57 pronúncias. Atento os contributos recebidos e de acordo com a fundamentação estabelecida no relatório da consulta pública, o projeto de Regulamento em consulta pública foi objeto das alterações que se entenderam como oportunas e pertinentes de acordo com as sugestões realizadas. A fundamentação da análise realizada pelo CNCS e das decisões tomadas consta do relatório da consulta pública, que se encontra publicado no sítio institucional do CNCS na Internet. Este relatório contém referência a todos os contributos recebidos, bem como o resultado da apreciação que reflete o entendimento sobre os mesmos e os fundamentos das opções tomadas pelo CNCS. O projeto final de Regulamento, acompanhado da respetiva nota justificativa fundamentada, foi submetido à aprovação do Coordenador do Centro Nacional de Cibersegurança a 16 de junho de 2026.

Assim, por força e em cumprimento do disposto no artigo 3.º e no n.º 4 do artigo 4.º do Decreto-Lei n.º 3/2012, de 16 de janeiro, na redação atual, que aprova a orgânica do Gabinete Nacional de Segurança e nos termos do n.º 7 do artigo 8.º, do n.º 2 do artigo 14.º, da alínea e) do n.º 1 do artigo 20.º, do n.º 5 do artigo 26.º, do n.º 1 do artigo 29.º, do n.º 3 do artigo 31.º, do n.º 3 do artigo 32.º, do n.º 2 do artigo 33.º, do n.º 6 do artigo 40.º e dos artigos 45.º, 72.ºe 83.º do Regime Jurídico da Cibersegurança, aprovado em anexo ao Decreto-Lei n.º 125/2025, de 4 de dezembro, e ao abrigo das competências que me foram delegadas através da alínea a) do n.º 1 do Despacho n.º 8875/2025, de 17 de julho, publicado no Diário da República, 2.ª série, n.º 145, aprovo, nos termos e com a fundamentação já referida, o seguinte Regulamento para as matérias nele previstas.

17 de junho de 2026. - O Coordenador do Centro Nacional de Cibersegurança, Lino Santos.

CAPÍTULO I

DISPOSIÇÕES GERAIS

Artigo 1.º

Objeto

1 - O presente Regulamento aprova:

a) As regras de funcionamento da plataforma eletrónica, nomeadamente quanto ao procedimento de auto-identificação e respetiva qualificação das entidades, nos termos do n.º 7 do artigo 8.º do Regime Jurídico da Cibersegurança;

b) As regras das notificações obrigatórias de incidentes de cibersegurança ou notificações voluntárias de informações pertinentes, previstas no n.º 6 do artigo 40.º e no artigo 45.º do Regime Jurídico da Cibersegurança;

c) As regras relativas às comunicações entre entidades e a autoridade de cibersegurança competente, nomeadamente do Relatório Anual, do Responsável de Cibersegurança, do Ponto de Contacto Permanente, nos termos do artigo 83.º do Regime Jurídico da Cibersegurança;

d) O Quadro Nacional de Referência de Cibersegurança (QNRCS) que consta no Anexo I ao presente Regulamento, nos termos do n.º 2 do artigo 14.º do Regime Jurídico da Cibersegurança;

e) As regras para a produção da Matriz de Risco enquanto variável que permite definir os níveis de conformidade e respetivas medidas de cibersegurança mínimas a adotar pelas entidades essenciais e importantes e que consta do Anexo II ao presente Regulamento, nos termos da alínea e) do n.º 1 do artigo 20.º e do n.º 5 do artigo 26.º do Regime Jurídico da Cibersegurança;

f) As regras relativas à gestão dos riscos residuais, nos termos do n.º 1 do artigo 29.º do Regime Jurídico da Cibersegurança;

g) Os níveis de conformidade e respetivas medidas de cibersegurança mínimas, obrigatórias para as entidades essenciais e importantes e os critérios de verificação que as entidades devem considerar, que constam do Anexo III ao presente Regulamento e que advêm do QNRCS, nos termos do n.º 5 do artigo 26.º do Regime Jurídico da Cibersegurança;

h) As regras relativas à comunicação do responsável de cibersegurança e do ponto de contacto permanente, nos termos do n.º 3 do artigo 31.º e do n.º 3 do artigo 32.º do Regime Jurídico da Cibersegurança;

i) As medidas de cibersegurança obrigatórias para as entidades públicas relevantes, consoante a sua qualificação como A ou B, e os critérios de verificação que as entidades devem observar, e que constam do Anexo IV ao presente Regulamento, nos termos do n.º 2 do artigo 33.º do Regime Jurídico da Cibersegurança.

2 - Os anexos ao presente Regulamento, e dos quais constam as matérias previstas nos números anteriores, fazem parte integrante do mesmo com igual valor jurídico.

Artigo 2.º

Âmbito de aplicação

1 - O presente Regulamento aplica-se às entidades essenciais, importantes e públicas relevantes, nos termos e com os limites previstos no Regime Jurídico da Cibersegurança.

2 - O presente Regulamento é aplicado pela autoridade de cibersegurança competente, sendo a mesma entendida nos termos da alínea b) do artigo 2.º do Regime Jurídico da Cibersegurança e na alínea b) do artigo 3.º deste Regulamento.

Artigo 3.º

Definições

Para efeitos do disposto no presente Regulamento e sem prejuízo das definições previstas no artigo 2.º do Regime Jurídico da Cibersegurança, entende-se por:

a) «Regime Jurídico da Cibersegurança», aprovado em anexo ao Decreto-Lei n.º 125/2025, de 4 de dezembro;

b) «Autoridade de cibersegurança competente» - O Centro Nacional de Cibersegurança (CNCS), ou, quando aplicável, a autoridade nacional setorial de cibersegurança competente nos termos da alínea a) do n.º 2 do artigo 15.º do Regime Jurídico da Cibersegurança, sem prejuízo das reservas de competência exclusiva de entidades públicas com responsabilidades em matéria de investigação criminal, de produção de informações e de ciberdefesa;

c) «Níveis de Conformidade» - Sistema de classificação, graduado com os níveis básico, substancial e elevado, do qual resultam as medidas de cibersegurança mínimas que devem ser cumpridas pelas entidades abrangidas pelo Regime Jurídico da Cibersegurança, a partir da matriz de risco aprovada pelo presente Regulamento;

d) «Critérios de Verificação» - Evidências factuais, documentais ou técnicas da aplicação de medidas de cibersegurança, previstas nos anexos iii e iv ao presente Regulamento;

e) «Plataforma eletrónica» - A plataforma prevista, entre outros, no n.º 7 do artigo 8.º do Regime Jurídico da Cibersegurança;

f) «Área reservada» - Área digital de acesso reservado disponibilizada na plataforma eletrónica, prevista no n.º 4 do artigo 72.º do Regime Jurídico da Cibersegurança;

g) «Autenticação segura» - Os mecanismos de autenticação digital segura resultantes, nomeadamente, do Cartão de Cidadão, Chave Móvel Digital ou outros que sejam reconhecidos como equivalentes em território nacional;

h) «Registo provisório» - O registo criado em consequência do preenchimento do formulário de autoidentificação e válido até à notificação da qualificação da entidade;

i) «Registo definitivo» - A consolidação do registo provisório quando se confirme que a entidade está inserida no âmbito de aplicação material, subjetivo e territorial do Regime Jurídico da Cibersegurança e é qualificada nos termos dos artigos 6.º e 7.º do mesmo regime.

(…)

CAPÍTULO V

DISPOSIÇÕES FINAIS

Artigo 34.º

Entrada em vigor

O presente Regulamento entra em vigor no dia seguinte após a sua publicação.

Artigo 35.º

Produção de efeitos

1 - O presente Regulamento produz efeitos na data da sua entrada em vigor, sem prejuízo do disposto no n.º 2 do artigo 10.º do Decreto-Lei n.º 125/2025, de 4 de dezembro.

2 - As disposições do presente Regulamento que careçam de instruções técnicas ou outros normativos a aprovar pela autoridade de cibersegurança competente, produzem efeitos à data da publicação dos mesmos.

3 - Sem prejuízo do número anterior, as entidades devem enviar à autoridade de cibersegurança competente a informação que seja determinada ou determinável com base nos critérios ou requisitos já existentes na legislação ou regulamentação em vigor.

ANEXO I

QNRCS

Sumário Executivo

O Quadro Nacional de Referência para a Cibersegurança aprovado pelo Centro Nacional de Cibersegurança (CNCS) é considerado um instrumento nacional de referência para a identificação das normas, padrões e boas práticas existentes em matéria de gestão da Cibersegurança.

A segunda versão do Quadro Nacional de Referência para a Cibersegurança, doravante designado QNRCS, encontra-se alinhada com o novo Regime Jurídico da Cibersegurança (RJC) mais concretamente o Decreto-Lei n.º 125/2025, de 4 de dezembro, que transpõe a Diretiva da União Europeia (UE) 2022/2555, do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022 (Diretiva SRI 2) relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação em toda a União. O QNRCS, identificado no RJC como um instrumento estruturante da segurança do ciberespaço, tem como missão providenciar às entidades um referencial que sistematiza e disponibiliza bases para um conjunto de controlos e medidas de cibersegurança.

Este referencial é composto por um conjunto de controlos de cibersegurança que as entidades podem adotar para incrementar a sua ciber-resiliência, com base em normas internacionais comummente utilizadas (NIST Cybersecurity Framework (CSF) 2.0; CyberFundamentals Framework; ISO/IEC 27001:2022; ISO/IEC 27002:2022; CIS Critical Security Controls Version 8.1 e NIST Special Publication 800-53 Rev.5).

O QNRCS é constituído por controlos e medidas de cibersegurança das redes e sistemas de informação, nas suas diversas componentes, que visam cumprir seis objetivos: Gerir, Identificar, Proteger, Detetar, Responder e Recuperar.

A versão atualizada do QNRCS, procura refletir uma nova realidade e ambiente de cibersegurança que está em constante mudança. Nesse sentido, o documento incorpora novos referenciais, cumpre com as orientações e medidas definidas no novo RJC e descreve controlos e medidas de cibersegurança que pretendem refletir uma realidade complexa e heterogénea.

Esta versão do QNRCS incorpora novos controlos de acordo com o RJC e normativos internacionais, sendo também reflexo de uma análise dos incidentes mais relevantes em Portugal nos últimos anos. Esta versão pretende igualmente simplificar as orientações e exemplos para a aplicação das medidas de cibersegurança pelas entidades.

Na sequência da evolução do QNRCS, foi acrescentado um novo objetivo (Gerir) à sua estrutura com o propósito de incluir controlos e medidas que reflitam as condições transversais que as entidades podem implementar para garantir o cumprimento dos restantes objetivos. Assim, este novo objetivo integra categorias relacionadas com o contexto organizacional, a gestão dos riscos da entidade e da sua cadeia de abastecimento, as funções, responsabilidades e autoridades nesta matéria, políticas e atividades de supervisão. Esta alteração decorre dos referenciais nos quais o QNRCS se suporta, e das boas práticas, mais concretamente, de uma evolução por parte da Cybersecurity Framework do National Institute of Standards and Technology (NIST).

De notar, que esta versão do QNRCS pretende continuar a ser implementada por toda a comunidade, contribuindo assim para um desenvolvimento económico sustentável.

Finalmente, nos termos do disposto do n.º 2 do artigo 14.º do Decreto-Lei n.º 125/2025 o QNRCS será atualizado, pelo menos, de cinco em cinco anos.

1 - Enquadramento:

1.1 - O QNRCS:

O QNRCS pretende ser um referencial que guia as entidades para uma maior ciberresiliência, perante um ambiente complexo e heterogéneo, que oferece novas possibilidades e oportunidades, enquanto potencia e cria espaço para a ocorrência de incidentes.

As infraestruturas operam baseadas na premissa de que os elementos tecnológicos são robustos e fiáveis e que tecnologias emergentes e complexas (e.g., Internet of Things (IoT), Tecnologia Quântica, Inteligência Artificial (IA) têm o potencial para oferecer uma elevada flexibilidade e eficiência na comunicação e coordenação de serviços e processos. Porém, o uso de tecnologias de informação também significa que estas se tornam mais vulneráveis a atividades ilícitas e maliciosas e a processos de manutenção operacionais inadequados.

Neste contexto, a implementação exclusiva de controlos de segurança tecnológicos e processuais não é suficiente para reduzir o risco de exploração de vulnerabilidades, uma vez que o fator humano assume um papel central na cibersegurança e deve também ser integrado na estratégia de cibersegurança da entidade.

Deste modo, uma gestão adequada dos riscos de cibersegurança pelas entidades possibilita a melhoria e manutenção da qualidade dos seus serviços prestados, na adoção de novas práticas, no desenvolvimento de novos produtos ou serviços e num menor custo operacional decorrente do impacto dos ciberataques.

A versão atualizada do QNRCS complementa o Decreto-Lei n.º 125/2025, de 4 de dezembro que transpõe a Diretiva SRI2, aprovada pela UE e Estados-Membros. Esta Diretiva tem em consideração a crescente digitalização das entidades e sociedade, e pretende responder ao facto de que “o número, a amplitude, a sofisticação, a frequência e o impacto dos incidentes estão a aumentar e constituem uma grave ameaça ao funcionamento dos sistemas de rede e informação” (Considerando 3, Diretiva 2022/2555, do Parlamento Europeu e Conselho).

Assim, o QNRCS constitui-se como uma ferramenta de referência à disposição da sociedade para apoio sistemático, alinhado com o RJC. O QNRCS consubstancia-se numa visão homogénea e inclusiva da realidade organizacional (pública e privada) portuguesa, guiando as entidades para a implementação de controlos de cibersegurança. As entidades podem aplicar o documento de forma adaptada ao seu contexto, para melhor endereçar necessidades específicas inerentes ao seu setor, dimensão ou qualquer outro aspeto distintivo que caracterize a entidade.

A estrutura central do QNRCS foi definida numa perspetiva de ciclo de vida da gestão da cibersegurança de uma entidade, considerando os aspetos humanos, tecnológicos e processuais, com especial foco nos processos e procedimentos da gestão dos riscos.

Uma característica intrínseca do risco é o facto de este não poder ser totalmente eliminado, tornando-se fundamental a concretização, pelas entidades, de uma estratégia global para garantir a implementação de um processo eficaz de gestão dos riscos. Este é um processo contínuo de identificação, análise, avaliação e tratamento, sendo que, para que seja possível gerir os riscos, as entidades devem compreender a probabilidade de um determinado evento ocorrer, bem como os potenciais impactos adversos e vulnerabilidades existentes. A aplicação do QNRCS poderá ser complementada por guias, ferramentas e orientações que venham a ser emitidas pelo Centro Nacional de Cibersegurança.

1.2 - Âmbito e Aplicabilidade:

O QNRCS é aplicável a todas as entidades públicas e privadas, sejam elas abrangidas pelo Regime Jurídico da Cibersegurança ou não, que utilizem redes e sistemas de informação.

O QNRCS pode ser utilizado em complemento com processos já existentes nas entidades, permitindo a identificação de lacunas na estratégia organizacional de cibersegurança e promovendo a definição de um caminho de melhoria contínua.

A estrutura central do QNRCS sistematiza um universo essencial de controlos de cibersegurança que as entidades podem utilizar para comparar com os controlos de cibersegurança já implementados.

1.3 - Estrutura QNRCS:

As categorias, controlos e medidas de cibersegurança descritos no QNRCS, atendem, mas não exclusivamente, aos seguintes princípios:

1) Considerar todos os aspetos característicos de um ecossistema de cibersegurança nas entidades nacionais, independentemente da sua dimensão, natureza (pública ou privada), criticidade ou orientação tecnológica;

2) Abranger transversalmente todos os setores de atividade;

3) Atender às características do tecido social e económico do país;

4) Permitir e promover que determinadas entidades possam definir o respetivo contexto de aplicação do QNRCS para o seu setor de atividade/regulação.

A estrutura central do QNRCS é constituída por:

1) Objetivos de cibersegurança;

2) Categorias;

3) Controlos de cibersegurança;

Cada um dos seis objetivos subdivide-se em categorias, que agrupam propósitos e atividades particulares. Por sua vez, as categorias dividem-se em um ou mais controlos de cibersegurança, os quais se baseiam em referenciais reconhecidos a nível nacional e internacional, na legislação europeia e nacional.

Cada controlo de cibersegurança contém descrições que pretendem sistematizar o objetivo do controlo, definindo objetivos para a aplicação dos mesmos pelas entidades. Os controlos de cibersegurança visam suportar as entidades no processo de sistematização da sua estratégia de gestão dos riscos de cibersegurança, e fomentam a melhoria contínua, recorrendo a lições aprendidas no âmbito de atividades realizadas.

De notar que a utilização do QNRCS deve ser conduzida numa perspetiva de melhoria contínua e não deve ser efetuada uma utilização estática das práticas identificadas no QNRCS, permitindo uma evolução de acordo com a maturidade da entidade e o seu contexto.

2 - Definições, Abreviaturas e Contexto Referencial:

2.1 - Definições:

Na tabela seguinte, identificam-se os termos utilizados ao longo do documento, cuja definição importa apresentar. Sempre que aplicável, são usados termos definidos em normas ou legislação nacional em vigor. Na coluna “Fonte” é indicada a norma ou legislação onde o termo se encontra definido.

Para aferir o nível de conformidade, o valor de risco é calculado para cada cenário de risco e ator, e os valores são somados (total). O nível de conformidade será selecionado com base no valor desta soma.

(…)

ANEXO II

Matriz de risco

(…)

O tipo de setor é definido com base no setor da entidade definido pelo Regime Jurídico da Cibersegurança, em concreto:

Para aferir o nível de conformidade, o valor de risco é calculado para cada cenário de risco e ator, e os valores são somados (total). O nível de conformidade será selecionado com base no valor desta soma.

(…)

ANEXO III

Medidas de Cibersegurança Mínimas para Entidades Essenciais e Importantes

(…)

ANEXO IV

Medidas de Cibersegurança Mínimas para Entidades Públicas Relevantes 

 (…)

 320013455

(2) Regulamento (UE) n.º 910/2014 do Parlamento Europeu e do Conselho, de 23 de julho de 2014, relativo à identificação eletrónica e aos serviços de confiança para as transações eletrónicas no mercado interno e que revoga a Diretiva 1999/93/CE. JO L 257 de 28.8.2014, p. 73-114. O artigo 19.º (Requisitos de segurança aplicáveis aos prestadores de serviços de confiança) é suprimido pelo artigo 42.º da Diretiva (UE) 2022/2555, de 14 de dezembro, com efeitos a partir de 18 de outubro de 2024.

(3) Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho, de 6 de julho de 2016, relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação em toda a União. JO L 194 de 19.7.2016, p. 1-30. Revogada pelo artigo 44.º da Diretiva (UE) 2022/2555, de 14 de dezembro, com efeitos a partir de 18 de outubro de 2024.

(4) Diretiva (UE) 2018/1972 do Parlamento Europeu e do Conselho, de 11 de dezembro de 2018, que estabelece o Código Europeu das Comunicações Eletrónicas (reformulação) (Texto relevante para efeitos do EEE) [PE/52/2018/REV/1]. JO L 321 de 17.12.2018, p. 36-214. Versão consolidada atual (17/12/2018): 02018L1972 — PT — 17.12.2018 — 000.001/153. Os artigos 40.º (Segurança das redes e dos serviços) e 41.º (Aplicação e execução)são suprimidos pelo artigo 43.º da Diretiva (UE) 2022/2555, de 14 de dezembro, com efeitos a partir de 18 de outubro de 2024.

(5) Comunicação da Comissão «Orientações da Comissão sobre a aplicação do artigo 3.º, n.º 4, da Diretiva (UE) 2022/2555 (Diretiva SRI 2)» (2023/C 324/02) [C/2023/6070]. JO C 324 de 14.9.2023, p. 2-7.

(6) Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União que altera o Regulamento (UE) n.º 910/2014 e a Diretiva (UE) 2018/1972 e revoga a Diretiva (UE) 2016/1148 (Diretiva SRI 2) (Texto relevante para efeitos do EEE) [PE/32/2022/REV/2]. JO L 333 de 27.12.2022, pp. 80-152 [73].

(7) Decreto-Lei n.º 125/2025, de 4 de dezembro / Presidência do Conselho de Ministros. - Transpõe a Diretiva (UE) 2022/2555, relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União. Diário da República. - Série I - n.º 234 (04-12-2025), pp. 4-68 [65].

_____________________________________

BIBLIOTECA DA ORDEM DOS ADVOGADOS

Catálogo da Biblioteca | e-mail: boa@cg.oa.pt
Gazetas Jurídicas | Informação Jurídica
2026-09-14 | 10:45