Centro de Implementação
Da obrigação à evidência verificável.
Transforme requisitos legais em trabalho executável: ações, medidas, documentos, responsáveis, prazos e provas de aplicação.
Modelo de execução
Cumprir é conseguir ligar quatro elementos.
Uma política sem execução é insuficiente. Uma configuração sem obrigação, responsável e registo também não forma um sistema controlado.
- 01
Obrigação
Identificar a fonte, o âmbito, a entidade e o resultado exigido.
- 02
Medida
Definir o controlo organizacional, técnico ou processual a aplicar.
- 03
Documento
Formalizar decisões, regras, procedimentos, registos e responsabilidades.
- 04
Evidência
Demonstrar que a medida existe, funciona e é revista.
Mapa de implementação
Nove domínios para organizar o trabalho.
Abra cada domínio para consultar a ligação entre fonte, ações, medidas, documentos e evidências.
01Governação e responsabilidadesÓrgão de gestão e RCS
Objetivo
Fixar responsabilidade, supervisão, reporte e capacidade de decisão.
Referências
- RJCS: artigos 25.º a 32.º
- Regulamento: artigos 13.º a 15.º
Ações
- Aprovar o modelo de governação
- Designar o responsável de cibersegurança
- Constituir o ponto de contacto permanente
- Definir reporte ao órgão de gestão
Medidas
- Responsabilidades formalmente atribuídas
- Segregação de funções
- Supervisão pelo órgão de gestão
- Substituição e escalamento definidos
Documentos
- Política de cibersegurança
- Despacho ou ata de designação do RCS
- Matriz RACI
- Termos de referência do comité
- Plano e modelo de reporte
Evidências
- Atas de aprovação
- Comunicação do RCS e PCP no MyCiber
- Relatórios periódicos
- Registos de reuniões e decisões
Responsável: Órgão de gestão e RCS · Cadência: Revisão anual e após alterações relevantes
02Risco e plano de tratamentoRCS, proprietários de risco e órgão de gestão
Objetivo
Conhecer o risco, selecionar medidas proporcionais e acompanhar o risco residual.
Referências
- RJCS: artigos 26.º a 29.º
- Regulamento: artigos 28.º a 31.º e Anexo II
Ações
- Definir metodologia
- Identificar cenários, ameaças e vulnerabilidades
- Avaliar probabilidade e impacto
- Aprovar tratamento e aceitação do risco residual
Medidas
- Critérios consistentes de avaliação
- Proprietários de risco
- Tratamentos com prazo e prioridade
- Reavaliação do risco residual
Documentos
- Metodologia de risco
- Matriz de risco
- Registo de riscos
- Plano de tratamento
- Declarações de aceitação
Evidências
- Matrizes aprovadas
- Histórico de alterações
- Tarefas de tratamento concluídas
- Decisões de aceitação
Responsável: RCS, proprietários de risco e órgão de gestão · Cadência: Contínua e após mudanças ou incidentes
03Ativos e inventáriosTI, proprietários de ativos e RCS
Objetivo
Saber o que suporta os serviços e quais os ativos diretamente acessíveis pela Internet.
Referências
- RJCS: artigo 35.º
- Regulamento: artigo 32.º
- Regulamento: anexos III e IV
Ações
- Inventariar ativos, sistemas, dados e serviços
- Atribuir proprietário e criticidade
- Relacionar dependências
- Comunicar e atualizar ativos publicamente acessíveis
Medidas
- Identificação única
- Classificação e criticidade
- Ciclo de vida controlado
- Reconciliação técnica periódica
Documentos
- Política de gestão de ativos
- Inventário de ativos
- Mapa de dependências
- Lista de ativos públicos
- Procedimento de atualização
Evidências
- Exportações de inventário
- Registos de descoberta
- Aprovações dos proprietários
- Recibos de comunicação no MyCiber
Responsável: TI, proprietários de ativos e RCS · Cadência: Atualização contínua e reconciliação periódica
04Proteção, acessos e configuraçãoTI, segurança e proprietários dos sistemas
Objetivo
Reduzir a probabilidade e o impacto de acesso indevido, erro e exploração técnica.
Referências
- RJCS: artigo 26.º
- Regulamento: anexos III e IV
Ações
- Definir identidades e perfis
- Aplicar autenticação forte
- Normalizar configurações seguras
- Gerir vulnerabilidades, correções e alterações
Medidas
- Menor privilégio
- Autenticação multifator
- Hardening
- Correções baseadas em risco
- Revisão de acessos
Documentos
- Política de controlo de acessos
- Matriz de perfis
- Baselines de configuração
- Procedimento de vulnerabilidades
- Procedimento de gestão de alterações
Evidências
- Listagens de acessos
- Resultados de revisão
- Relatórios de vulnerabilidades
- Registos de patches
- Tickets de alteração
Responsável: TI, segurança e proprietários dos sistemas · Cadência: Contínua, com revisões programadas
05Terceiros e cadeia de fornecimentoCompras, jurídico, proprietários do contrato e RCS
Objetivo
Controlar dependências e risco introduzido por fornecedores e prestadores.
Referências
- RJCS: artigo 26.º
- Regulamento: anexos III e IV
Ações
- Classificar terceiros por criticidade
- Avaliar antes da contratação
- Definir requisitos contratuais
- Monitorizar desempenho, incidentes e saída
Medidas
- Due diligence proporcional
- Requisitos de notificação
- Direito de auditoria
- Gestão de subcontratantes
- Controlo de acessos externos
Documentos
- Política de terceiros
- Inventário de fornecedores
- Questionário de avaliação
- Cláusulas de segurança
- Plano de saída e reversibilidade
Evidências
- Avaliações preenchidas
- Contratos e adendas
- Reuniões de serviço
- Relatórios e certificados
- Testes de reversibilidade
Responsável: Compras, jurídico, proprietários do contrato e RCS · Cadência: Antes da contratação e durante o contrato
06Deteção e gestão de incidentesPCP, RCS, equipas técnicas e gestão de crise
Objetivo
Detetar, conter, comunicar, recuperar e aprender dentro dos prazos aplicáveis.
Referências
- RJCS: artigos 40.º a 45.º
- Regulamento: artigos 20.º a 22.º
Ações
- Definir critérios e severidade
- Operacionalizar deteção e escalamento
- Preparar notificações
- Executar análise pós-incidente
Medidas
- Monitorização
- Triagem e escalamento
- Preservação de prova
- Comunicação coordenada
- Lições aprendidas
Documentos
- Plano de resposta a incidentes
- Matriz de severidade
- Playbooks
- Modelos de notificação
- Relatório pós-incidente
Evidências
- Alertas e tickets
- Cronologia do incidente
- Decisões de severidade
- Recibos de notificação
- Exercícios e ações corretivas
Responsável: PCP, RCS, equipas técnicas e gestão de crise · Cadência: Permanente e testada por exercícios
07Continuidade, recuperação e criseGestão, continuidade, TI, RCS e donos dos serviços
Objetivo
Manter ou recuperar serviços essenciais dentro de objetivos aprovados.
Referências
- RJCS: artigo 26.º
- Regulamento: anexos III e IV
Ações
- Realizar análise de impacto
- Definir prioridades e objetivos de recuperação
- Criar estratégias e planos
- Testar cenários e corrigir falhas
Medidas
- Redundância proporcional
- Cópias de segurança protegidas
- Recuperação testada
- Canais alternativos
- Gestão de crise
Documentos
- Análise de impacto no negócio
- Plano de continuidade
- Plano de recuperação
- Plano de comunicação de crise
- Programa de exercícios
Evidências
- Resultados de testes
- Relatórios de restauro
- Registos de exercícios
- Ações corretivas
- Aprovação dos objetivos de recuperação
Responsável: Gestão, continuidade, TI, RCS e donos dos serviços · Cadência: Testes programados e após mudanças relevantes
08Pessoas, formação e culturaRecursos humanos, RCS e chefias
Objetivo
Garantir competências adequadas às funções e reduzir o risco humano.
Referências
- RJCS: artigos 25.º e 26.º
- Regulamento: anexos III e IV
Ações
- Mapear funções e competências
- Formar órgão de gestão e equipas
- Sensibilizar utilizadores
- Avaliar eficácia e reforçar comportamentos
Medidas
- Formação por risco e função
- Sensibilização recorrente
- Exercícios e simulações
- Regras de entrada, mudança e saída
Documentos
- Política de formação
- Matriz de competências
- Plano anual
- Conteúdos por função
- Procedimento de onboarding e offboarding
Evidências
- Presenças e conclusões
- Resultados de avaliações
- Campanhas e simulações
- Planos de melhoria
- Registos de onboarding e offboarding
Responsável: Recursos humanos, RCS e chefias · Cadência: Na entrada, periodicamente e após mudanças
09Conformidade e melhoria contínuaRCS, auditoria, conformidade e órgão de gestão
Objetivo
Demonstrar cumprimento, identificar desvios e sustentar a melhoria.
Referências
- RJCS: artigos 30.º e 34.º
- Regulamento: artigos 13.º, 27.º e 30.º a 33.º
- Regulamento: anexos III e IV
Ações
- Mapear medidas aplicáveis
- Recolher critérios de verificação
- Avaliar eficácia
- Tratar não conformidades
- Preparar relatório e supervisão
Medidas
- Controlo documental
- Autoavaliação
- Auditoria independente proporcional
- Acompanhamento de ações
- Revisão pela gestão
Documentos
- Matriz de conformidade
- Plano de auditoria
- Relatório de avaliação
- Plano de ações corretivas
- Relatório anual, quando aplicável
Evidências
- Critérios de verificação satisfeitos
- Relatórios e amostras
- Não conformidades encerradas
- Atas de revisão
- Submissões e recibos
Responsável: RCS, auditoria, conformidade e órgão de gestão · Cadência: Programa anual e acompanhamento contínuo
Fluxo de trabalho
Implementação não começa pela compra de tecnologia.
- 01
Enquadrar
Confirmar qualificação, nível ou grupo e fontes aplicáveis.
- 02
Mapear
Relacionar cada obrigação com medidas e critérios de verificação.
- 03
Avaliar
Identificar estado atual, lacunas, dependências e risco.
- 04
Planear
Atribuir prioridade, responsável, prazo e recursos.
- 05
Executar
Implementar medidas e produzir documentação e registos.
- 06
Demonstrar
Testar eficácia, guardar evidências e corrigir desvios.
Critérios de verificação
Três formas complementares de demonstrar.
A evidência deve ser atual, atribuível, íntegra, relevante para a medida e suficiente para suportar a conclusão.
Observação verificável de uma prática, condição ou resultado em funcionamento.
Entrevista, observação, demonstração ou amostra.Documento aprovado ou registo controlado que demonstra decisão e execução.
Política, ata, relatório, ticket, lista ou recibo.Resultado extraído de sistemas, ferramentas ou testes.
Configuração, log, relatório de scan, alerta ou teste de restauro.Matriz de prioridade
Ordenar pelo prazo, risco e dependência.
Imediato
Prazo legal em curso, exposição crítica ou ausência de capacidade de resposta.
MyCiber, contactos, incidentes e acessos críticos.Fundacional
Dependência necessária para implementar ou provar várias outras medidas.
Governação, risco, ativos, RCS e PCP.Redução de risco
Lacuna relevante com impacto material nos serviços ou dados.
Proteção, terceiros, continuidade e recuperação.Otimização
Melhoria de eficácia, integração, automação ou maturidade.
Métricas, automatização de evidências e certificação.Perguntas frequentes
Documentar não é o mesmo que implementar.
Um documento é suficiente para demonstrar implementação?
Não necessariamente. Um documento pode demonstrar intenção e governação, mas a eficácia normalmente exige também registos factuais ou técnicos da execução da medida.
Todas as entidades aplicam as mesmas medidas?
Não. As medidas dependem da qualificação, do nível de conformidade ou grupo aplicável, do risco e de eventuais normas setoriais complementares.
O que é um critério de verificação?
É a evidência factual, documental ou técnica utilizada para verificar a aplicação de uma medida, conforme os anexos III e IV do Regulamento n.º 756/2026.
Quem deve ser responsável por cada medida?
Deve existir um proprietário operacional com autoridade e recursos, sem retirar ao órgão de gestão e às funções legalmente previstas as respetivas responsabilidades.
O Centro de Implementação substitui o CyberComply?
Não. Este centro é conhecimento público. O CyberComply é uma plataforma externa que pode apoiar a gestão documental, evidências e roadmaps.
A implementação termina quando todos os documentos existem?
Não. A conformidade exige operação, monitorização, testes, atualização e melhoria contínua, além da documentação.
Fontes e percursos
Comece pela qualificação e confirme as fontes oficiais.
Conteúdo informativo e estrutural. O plano concreto deve considerar a qualificação da entidade, o nível ou grupo aplicável, o risco, as instruções técnicas e as normas setoriais em vigor.