RJCS · Artigos 26.º a 29.º
Risco e medidas: do inventário ao risco residual
As medidas mínimas são um ponto de partida. A organização precisa de compreender ativos, ameaças, dependências e impacto para justificar medidas adequadas e tratar o risco que permanece.
Para quem
Quando este artigo deve entrar no plano.
Entidades sujeitas aos deveres de gestão de risco e medidas de cibersegurança, com proporcionalidade ao respetivo contexto e qualificação.
Breve tutorial
Quatro passos para começar com método.
Adapte a profundidade, os responsáveis e as evidências ao enquadramento concreto da entidade.
- 01
Definir contexto
Identificar serviços críticos, ativos, informação, dependências, responsáveis e critérios de impacto.
- 02
Avaliar o risco
Registar cenários, ameaças, vulnerabilidades, probabilidade, impacto e controlos existentes.
- 03
Selecionar medidas
Relacionar medidas legais e técnicas com cada risco e com a cadeia de abastecimento.
- 04
Tratar o residual
Reavaliar o risco após as medidas, definir tratamento adicional ou aceitação formal e rever periodicamente.
Prova
Evidências a preparar.
- Inventário de ativos e serviços
- Metodologia e matriz de risco
- Plano de tratamento
- Registo de risco residual e aceitações
Atenção
Erros que fragilizam a implementação.
- Confundir checklist de medidas com avaliação de risco
- Ignorar fornecedores e dependências
- Aceitar risco sem decisão e prazo de revisão
Controlo rápido
Checklist inicial.
- Contexto documentado
- Riscos avaliados
- Medidas relacionadas
- Terceiros considerados
- Risco residual decidido
Perguntas frequentes
Duas respostas essenciais.
Cumprir as medidas mínimas é suficiente?
Não necessariamente. O risco residual deve ser avaliado e tratado de acordo com o contexto da entidade.
A cadeia de abastecimento entra na análise?
Sim. O artigo 28.º integra a segurança da cadeia de abastecimento na abordagem de risco.
Fonte primária
Decreto-Lei n.º 125/2025, de 4 de dezembro
Tutorial informativo. Confirme sempre o texto oficial, a regulamentação aplicável e o enquadramento concreto da organização.