Modelo de execução

Cumprir é conseguir ligar quatro elementos.

Uma política sem execução é insuficiente. Uma configuração sem obrigação, responsável e registo também não forma um sistema controlado.

  1. 01

    Obrigação

    Identificar a fonte, o âmbito, a entidade e o resultado exigido.

  2. 02

    Medida

    Definir o controlo organizacional, técnico ou processual a aplicar.

  3. 03

    Documento

    Formalizar decisões, regras, procedimentos, registos e responsabilidades.

  4. 04

    Evidência

    Demonstrar que a medida existe, funciona e é revista.

Mapa de implementação

Nove domínios para organizar o trabalho.

Abra cada domínio para consultar a ligação entre fonte, ações, medidas, documentos e evidências.

01Governação e responsabilidadesÓrgão de gestão e RCS

Objetivo

Fixar responsabilidade, supervisão, reporte e capacidade de decisão.

Referências

  • RJCS: artigos 25.º a 32.º
  • Regulamento: artigos 13.º a 15.º

Ações

  • Aprovar o modelo de governação
  • Designar o responsável de cibersegurança
  • Constituir o ponto de contacto permanente
  • Definir reporte ao órgão de gestão

Medidas

  • Responsabilidades formalmente atribuídas
  • Segregação de funções
  • Supervisão pelo órgão de gestão
  • Substituição e escalamento definidos

Documentos

  • Política de cibersegurança
  • Despacho ou ata de designação do RCS
  • Matriz RACI
  • Termos de referência do comité
  • Plano e modelo de reporte

Evidências

  • Atas de aprovação
  • Comunicação do RCS e PCP no MyCiber
  • Relatórios periódicos
  • Registos de reuniões e decisões

Responsável: Órgão de gestão e RCS · Cadência: Revisão anual e após alterações relevantes

02Risco e plano de tratamentoRCS, proprietários de risco e órgão de gestão

Objetivo

Conhecer o risco, selecionar medidas proporcionais e acompanhar o risco residual.

Referências

  • RJCS: artigos 26.º a 29.º
  • Regulamento: artigos 28.º a 31.º e Anexo II

Ações

  • Definir metodologia
  • Identificar cenários, ameaças e vulnerabilidades
  • Avaliar probabilidade e impacto
  • Aprovar tratamento e aceitação do risco residual

Medidas

  • Critérios consistentes de avaliação
  • Proprietários de risco
  • Tratamentos com prazo e prioridade
  • Reavaliação do risco residual

Documentos

  • Metodologia de risco
  • Matriz de risco
  • Registo de riscos
  • Plano de tratamento
  • Declarações de aceitação

Evidências

  • Matrizes aprovadas
  • Histórico de alterações
  • Tarefas de tratamento concluídas
  • Decisões de aceitação

Responsável: RCS, proprietários de risco e órgão de gestão · Cadência: Contínua e após mudanças ou incidentes

03Ativos e inventáriosTI, proprietários de ativos e RCS

Objetivo

Saber o que suporta os serviços e quais os ativos diretamente acessíveis pela Internet.

Referências

  • RJCS: artigo 35.º
  • Regulamento: artigo 32.º
  • Regulamento: anexos III e IV

Ações

  • Inventariar ativos, sistemas, dados e serviços
  • Atribuir proprietário e criticidade
  • Relacionar dependências
  • Comunicar e atualizar ativos publicamente acessíveis

Medidas

  • Identificação única
  • Classificação e criticidade
  • Ciclo de vida controlado
  • Reconciliação técnica periódica

Documentos

  • Política de gestão de ativos
  • Inventário de ativos
  • Mapa de dependências
  • Lista de ativos públicos
  • Procedimento de atualização

Evidências

  • Exportações de inventário
  • Registos de descoberta
  • Aprovações dos proprietários
  • Recibos de comunicação no MyCiber

Responsável: TI, proprietários de ativos e RCS · Cadência: Atualização contínua e reconciliação periódica

04Proteção, acessos e configuraçãoTI, segurança e proprietários dos sistemas

Objetivo

Reduzir a probabilidade e o impacto de acesso indevido, erro e exploração técnica.

Referências

  • RJCS: artigo 26.º
  • Regulamento: anexos III e IV

Ações

  • Definir identidades e perfis
  • Aplicar autenticação forte
  • Normalizar configurações seguras
  • Gerir vulnerabilidades, correções e alterações

Medidas

  • Menor privilégio
  • Autenticação multifator
  • Hardening
  • Correções baseadas em risco
  • Revisão de acessos

Documentos

  • Política de controlo de acessos
  • Matriz de perfis
  • Baselines de configuração
  • Procedimento de vulnerabilidades
  • Procedimento de gestão de alterações

Evidências

  • Listagens de acessos
  • Resultados de revisão
  • Relatórios de vulnerabilidades
  • Registos de patches
  • Tickets de alteração

Responsável: TI, segurança e proprietários dos sistemas · Cadência: Contínua, com revisões programadas

05Terceiros e cadeia de fornecimentoCompras, jurídico, proprietários do contrato e RCS

Objetivo

Controlar dependências e risco introduzido por fornecedores e prestadores.

Referências

  • RJCS: artigo 26.º
  • Regulamento: anexos III e IV

Ações

  • Classificar terceiros por criticidade
  • Avaliar antes da contratação
  • Definir requisitos contratuais
  • Monitorizar desempenho, incidentes e saída

Medidas

  • Due diligence proporcional
  • Requisitos de notificação
  • Direito de auditoria
  • Gestão de subcontratantes
  • Controlo de acessos externos

Documentos

  • Política de terceiros
  • Inventário de fornecedores
  • Questionário de avaliação
  • Cláusulas de segurança
  • Plano de saída e reversibilidade

Evidências

  • Avaliações preenchidas
  • Contratos e adendas
  • Reuniões de serviço
  • Relatórios e certificados
  • Testes de reversibilidade

Responsável: Compras, jurídico, proprietários do contrato e RCS · Cadência: Antes da contratação e durante o contrato

06Deteção e gestão de incidentesPCP, RCS, equipas técnicas e gestão de crise

Objetivo

Detetar, conter, comunicar, recuperar e aprender dentro dos prazos aplicáveis.

Referências

  • RJCS: artigos 40.º a 45.º
  • Regulamento: artigos 20.º a 22.º

Ações

  • Definir critérios e severidade
  • Operacionalizar deteção e escalamento
  • Preparar notificações
  • Executar análise pós-incidente

Medidas

  • Monitorização
  • Triagem e escalamento
  • Preservação de prova
  • Comunicação coordenada
  • Lições aprendidas

Documentos

  • Plano de resposta a incidentes
  • Matriz de severidade
  • Playbooks
  • Modelos de notificação
  • Relatório pós-incidente

Evidências

  • Alertas e tickets
  • Cronologia do incidente
  • Decisões de severidade
  • Recibos de notificação
  • Exercícios e ações corretivas

Responsável: PCP, RCS, equipas técnicas e gestão de crise · Cadência: Permanente e testada por exercícios

07Continuidade, recuperação e criseGestão, continuidade, TI, RCS e donos dos serviços

Objetivo

Manter ou recuperar serviços essenciais dentro de objetivos aprovados.

Referências

  • RJCS: artigo 26.º
  • Regulamento: anexos III e IV

Ações

  • Realizar análise de impacto
  • Definir prioridades e objetivos de recuperação
  • Criar estratégias e planos
  • Testar cenários e corrigir falhas

Medidas

  • Redundância proporcional
  • Cópias de segurança protegidas
  • Recuperação testada
  • Canais alternativos
  • Gestão de crise

Documentos

  • Análise de impacto no negócio
  • Plano de continuidade
  • Plano de recuperação
  • Plano de comunicação de crise
  • Programa de exercícios

Evidências

  • Resultados de testes
  • Relatórios de restauro
  • Registos de exercícios
  • Ações corretivas
  • Aprovação dos objetivos de recuperação

Responsável: Gestão, continuidade, TI, RCS e donos dos serviços · Cadência: Testes programados e após mudanças relevantes

08Pessoas, formação e culturaRecursos humanos, RCS e chefias

Objetivo

Garantir competências adequadas às funções e reduzir o risco humano.

Referências

  • RJCS: artigos 25.º e 26.º
  • Regulamento: anexos III e IV

Ações

  • Mapear funções e competências
  • Formar órgão de gestão e equipas
  • Sensibilizar utilizadores
  • Avaliar eficácia e reforçar comportamentos

Medidas

  • Formação por risco e função
  • Sensibilização recorrente
  • Exercícios e simulações
  • Regras de entrada, mudança e saída

Documentos

  • Política de formação
  • Matriz de competências
  • Plano anual
  • Conteúdos por função
  • Procedimento de onboarding e offboarding

Evidências

  • Presenças e conclusões
  • Resultados de avaliações
  • Campanhas e simulações
  • Planos de melhoria
  • Registos de onboarding e offboarding

Responsável: Recursos humanos, RCS e chefias · Cadência: Na entrada, periodicamente e após mudanças

09Conformidade e melhoria contínuaRCS, auditoria, conformidade e órgão de gestão

Objetivo

Demonstrar cumprimento, identificar desvios e sustentar a melhoria.

Referências

  • RJCS: artigos 30.º e 34.º
  • Regulamento: artigos 13.º, 27.º e 30.º a 33.º
  • Regulamento: anexos III e IV

Ações

  • Mapear medidas aplicáveis
  • Recolher critérios de verificação
  • Avaliar eficácia
  • Tratar não conformidades
  • Preparar relatório e supervisão

Medidas

  • Controlo documental
  • Autoavaliação
  • Auditoria independente proporcional
  • Acompanhamento de ações
  • Revisão pela gestão

Documentos

  • Matriz de conformidade
  • Plano de auditoria
  • Relatório de avaliação
  • Plano de ações corretivas
  • Relatório anual, quando aplicável

Evidências

  • Critérios de verificação satisfeitos
  • Relatórios e amostras
  • Não conformidades encerradas
  • Atas de revisão
  • Submissões e recibos

Responsável: RCS, auditoria, conformidade e órgão de gestão · Cadência: Programa anual e acompanhamento contínuo

Fluxo de trabalho

Implementação não começa pela compra de tecnologia.

  1. 01

    Enquadrar

    Confirmar qualificação, nível ou grupo e fontes aplicáveis.

  2. 02

    Mapear

    Relacionar cada obrigação com medidas e critérios de verificação.

  3. 03

    Avaliar

    Identificar estado atual, lacunas, dependências e risco.

  4. 04

    Planear

    Atribuir prioridade, responsável, prazo e recursos.

  5. 05

    Executar

    Implementar medidas e produzir documentação e registos.

  6. 06

    Demonstrar

    Testar eficácia, guardar evidências e corrigir desvios.

Critérios de verificação

Três formas complementares de demonstrar.

A evidência deve ser atual, atribuível, íntegra, relevante para a medida e suficiente para suportar a conclusão.

Factual

Observação verificável de uma prática, condição ou resultado em funcionamento.

Entrevista, observação, demonstração ou amostra.
Documental

Documento aprovado ou registo controlado que demonstra decisão e execução.

Política, ata, relatório, ticket, lista ou recibo.
Técnica

Resultado extraído de sistemas, ferramentas ou testes.

Configuração, log, relatório de scan, alerta ou teste de restauro.

Matriz de prioridade

Ordenar pelo prazo, risco e dependência.

P0

Imediato

Prazo legal em curso, exposição crítica ou ausência de capacidade de resposta.

MyCiber, contactos, incidentes e acessos críticos.
P1

Fundacional

Dependência necessária para implementar ou provar várias outras medidas.

Governação, risco, ativos, RCS e PCP.
P2

Redução de risco

Lacuna relevante com impacto material nos serviços ou dados.

Proteção, terceiros, continuidade e recuperação.
P3

Otimização

Melhoria de eficácia, integração, automação ou maturidade.

Métricas, automatização de evidências e certificação.

Perguntas frequentes

Documentar não é o mesmo que implementar.

Um documento é suficiente para demonstrar implementação?

Não necessariamente. Um documento pode demonstrar intenção e governação, mas a eficácia normalmente exige também registos factuais ou técnicos da execução da medida.

Todas as entidades aplicam as mesmas medidas?

Não. As medidas dependem da qualificação, do nível de conformidade ou grupo aplicável, do risco e de eventuais normas setoriais complementares.

O que é um critério de verificação?

É a evidência factual, documental ou técnica utilizada para verificar a aplicação de uma medida, conforme os anexos III e IV do Regulamento n.º 756/2026.

Quem deve ser responsável por cada medida?

Deve existir um proprietário operacional com autoridade e recursos, sem retirar ao órgão de gestão e às funções legalmente previstas as respetivas responsabilidades.

O Centro de Implementação substitui o CyberComply?

Não. Este centro é conhecimento público. O CyberComply é uma plataforma externa que pode apoiar a gestão documental, evidências e roadmaps.

A implementação termina quando todos os documentos existem?

Não. A conformidade exige operação, monitorização, testes, atualização e melhoria contínua, além da documentação.

Fontes e percursos

Comece pela qualificação e confirme as fontes oficiais.

Roadmap de implementação

Que lacunas devem ser tratadas primeiro?

O ponto de partida é uma avaliação proporcional que ligue risco, obrigações, dependências e evidências existentes.

Identificar prioridades