Regulamento n.º 756/2026
Do Regime Jurídico à execução verificável.
O Regulamento concretiza como as entidades se identificam, comunicam, são qualificadas e demonstram medidas através de critérios de verificação.
Visão geral
O regulamento que liga qualificação, risco, medidas e evidências.
Os quatro anexos fazem parte integrante do Regulamento com igual valor jurídico. Não são simples materiais de apoio.
- Publicação
- 22 de junho de 2026
- Entrada em vigor
- 23 de junho de 2026
- Artigos
- 35
- Estrutura
- 5 capítulos
- Anexos
- 4, com igual valor jurídico
- Extensão oficial
- 89 páginas
Percurso operacional
Da identificação à operação contínua.
- 01Artigo 8.º
Autoidentificação
A entidade submete os dados necessários à qualificação e recebe um registo provisório.
- 02Artigo 9.º
Qualificação
A autoridade conduz audiência dos interessados e profere decisão final, podendo indicar nível e medidas aplicáveis.
- 03Artigo 10.º
Registo definitivo
A qualificação consolida o registo da entidade na plataforma eletrónica.
- 04Artigos 28.º e 29.º
Matriz de risco
Setor, dimensão, importância e cenários de risco suportam a determinação do nível de conformidade.
- 05Artigos 30.º e 31.º
Medidas e evidências
A entidade aplica medidas mínimas e gere os riscos residuais, produzindo evidências verificáveis.
- 06Artigos 12.º a 22.º
Operação contínua
Comunicações, documentos, responsáveis, contactos e incidentes passam pela plataforma e pelos procedimentos definidos.
Matriz de risco
Três níveis de conformidade.
O total resulta da matriz e considera cenários de risco, probabilidade, impacto, dimensão e importância do setor.
Básico
Nível resultante do valor total calculado nos termos da matriz de risco.
Compreender este nívelSubstancial
Acrescenta medidas correspondentes a um risco e exigência superiores.
Compreender este nívelElevado
Nível mais exigente previsto pela matriz para entidades essenciais e importantes.
Compreender este nívelOs intervalos apresentados reproduzem o Anexo II. A determinação aplicável deve resultar do procedimento e da matriz oficial, não de uma autoescolha.
Anexo I
Seis objetivos para gerir o ciclo completo.
O QNRCS organiza controlos e medidas de cibersegurança numa estrutura contínua e evolutiva.
Gerir
Governação, contexto, responsabilidades, política, risco e cadeia de abastecimento.
Ver categorias e controlosIdentificar
Ativos, vulnerabilidades, ameaças, impacto, risco e melhoria.
Ver categorias e controlosProteger
Identidades, acessos, dados, plataformas, resiliência e sensibilização.
Ver categorias e controlosDetetar
Monitorização, análise de eventos adversos e deteção de incidentes.
Ver categorias e controlosResponder
Gestão, análise, mitigação, comunicação e reporte de incidentes.
Ver categorias e controlosRecuperar
Execução de planos, reposição, verificação e comunicação da recuperação.
Ver categorias e controlosTexto normativo
35 artigos em cinco capítulos.
Abra cada capítulo para consultar os títulos oficiais. Esta estrutura suporta a futura explicação artigo a artigo.
Capítulo IDisposições geraisArtigos 1.º a 3.º
- Artigo 1.º — Objeto
- Artigo 2.º — Âmbito de aplicação
- Artigo 3.º — Definições
Capítulo IIPlataforma eletrónicaArtigos 4.º a 19.º
- Artigo 4.º — Finalidades e funcionalidades da plataforma
- Artigo 5.º — Disponibilização da plataforma eletrónica
- Artigo 6.º — Identificação e acesso à plataforma eletrónica
- Artigo 7.º — Mecanismos de autenticação e legitimidade de representação
- Artigo 8.º — Autoidentificação
- Artigo 9.º — Qualificação de entidades
- Artigo 10.º — Registo definitivo na plataforma
- Artigo 11.º — Atualização permanente da informação
- Artigo 12.º — Comunicações com as autoridades de cibersegurança
- Artigo 13.º — Comunicação de documentos
- Artigo 14.º — Responsável de cibersegurança
- Artigo 15.º — Ponto de contacto permanente
- Artigo 16.º — Tratamento, conservação e atualização dos dados e respetiva destruição
- Artigo 17.º — Situações de indisponibilidade técnica
- Artigo 18.º — Mecanismos de interoperabilidade e acesso a informação
- Artigo 19.º — Notificações eletrónicas às entidades
Capítulo IIINotificações de incidentesArtigos 20.º a 22.º
- Artigo 20.º — Notificação obrigatória de incidentes
- Artigo 21.º — Notificação voluntária de informações pertinentes
- Artigo 22.º — Tramitação de notificações obrigatórias de incidentes
Capítulo IVInstrumentos estruturantesArtigos 23.º a 33.º
- Artigo 23.º — QNRCS
- Artigo 24.º — Âmbito de aplicação subjetivo
- Artigo 25.º — Organização e estrutura do QNRCS
- Artigo 26.º — Aplicação conjunta
- Artigo 27.º — Certificação voluntária
- Artigo 28.º — Matriz de Risco
- Artigo 29.º — Cenários de Risco
- Artigo 30.º — Medidas de Cibersegurança Mínimas
- Artigo 31.º — Gestão do Risco
- Artigo 32.º — Lista de ativos publicamente acessíveis
- Artigo 33.º — Medidas de Execução
Capítulo VDisposições finaisArtigos 34.º e 35.º
- Artigo 34.º — Entrada em vigor
- Artigo 35.º — Produção de efeitos
Aplicação prática
Quatro anexos com funções diferentes.
QNRCS
Controlos e medidas organizados pelos objetivos Gerir, Identificar, Proteger, Detetar, Responder e Recuperar.
Entidades essenciais, importantes e públicas relevantesCompreender este anexoMatriz de risco
Método para relacionar setor, dimensão, importância, probabilidade e impacto com o nível de conformidade.
Entidades essenciais e importantesCompreender este anexoMedidas mínimas e critérios de verificação
Medidas obrigatórias por nível de conformidade e respetivas evidências factuais, documentais ou técnicas.
Entidades essenciais e importantesCompreender este anexoMedidas para entidades públicas relevantes
Medidas obrigatórias e critérios de verificação aplicáveis conforme a qualificação no Grupo A ou B.
Entidades públicas relevantesCompreender este anexoPontos de atenção
Regras que condicionam a implementação.
Audiência na qualificação
Após a autoidentificação, a entidade é notificada para se pronunciar sobre o projeto de decisão no prazo de 10 dias úteis.
Compreender este pontoAtualização permanente
Os dados e informações submetidos são responsabilidade da entidade e devem permanecer atualizados.
Compreender este pontoCanal de comunicação
As comunicações previstas no RJCS e no Regulamento são efetuadas através da plataforma, salvo disposição em contrário.
Compreender este pontoIndisponibilidade técnica
O Regulamento prevê procedimentos alternativos e posterior regularização quando a plataforma ou a entidade estejam tecnicamente indisponíveis.
Compreender este pontoNível determinado
A matriz determina o nível de conformidade; a entidade não escolhe livremente entre Básico, Substancial e Elevado.
Compreender este pontoProdução de efeitos
Algumas disposições dependem de instruções técnicas ou outros normativos e produzem efeitos com a respetiva publicação.
Compreender este pontoPerguntas frequentes
Aplicar sem confundir.
O Regulamento substitui o Decreto-Lei n.º 125/2025?
Não. O Regulamento executa matérias previstas no RJCS. Deve ser aplicado em conjunto com o Decreto-Lei e com instruções técnicas ou outros normativos relevantes.
Uma entidade pode escolher o seu nível de conformidade?
Não. Para entidades essenciais e importantes, o nível resulta da matriz de risco, considerando fatores como setor ou subsetor, dimensão, importância, cenários, probabilidade e impacto.
O que são critérios de verificação?
São evidências factuais, documentais ou técnicas da aplicação das medidas de cibersegurança, previstas nos anexos III e IV.
Os quatro anexos são apenas orientações?
Não. O artigo 1.º determina que os anexos fazem parte integrante do Regulamento com igual valor jurídico.
Todas as disposições produziram efeitos em 23 de junho de 2026?
Não necessariamente. O artigo 35.º ressalva as regras do Decreto-Lei n.º 125/2025 e as disposições dependentes de instruções técnicas ou outros normativos.
Fontes e relação
Consulte o ato oficial e o regime de base.
Guia informativo e estrutural. A aplicação concreta depende da qualificação da entidade, do nível ou grupo aplicável e das instruções técnicas ou outros normativos em vigor.