Aplicação prática · Anexo III
Medidas e evidências
O Anexo III transforma os níveis de conformidade em medidas mínimas obrigatórias e associa cada medida a critérios de verificação.
Enquadramento
A quem se aplica.
Entidades essenciais e importantes, conforme o respetivo nível de conformidade.
Leitura simples
Cinco pontos essenciais.
- Agrupa medidas pelos níveis Básico, Substancial e Elevado
- Liga cada medida a um controlo de cibersegurança
- Indica critérios de verificação para demonstrar aplicação
- Aplica os níveis de forma cumulativa
- Exige tratamento dos riscos que permaneçam após as medidas
Começar sem complicar
Quatro passos práticos.
- 01
Confirmar o nível
Partir do nível comunicado e incluir também todas as medidas dos níveis inferiores.
- 02
Criar uma matriz
Registar medida, critério, responsável, evidência, estado e prazo num único instrumento controlado.
- 03
Validar a execução
Confirmar que políticas e procedimentos são efetivamente aplicados e suportados por registos.
- 04
Tratar lacunas
Priorizar desvios, risco residual e medidas adicionais necessárias.
Prova
O que deve ficar organizado.
- Matriz cumulativa de medidas
- Políticas e procedimentos aprovados
- Registos factuais e evidências técnicas
- Testes, revisões, exceções e ações corretivas
Atenção
Evitar leituras erradas.
- Não aplicar apenas as linhas do nível mais alto.
- Não usar o número de documentos como medida de eficácia.
- Não aceitar evidências sem data, âmbito ou responsável.
Perguntas frequentes
Duas respostas diretas.
As medidas do nível Substancial incluem as do Básico?
Sim. Os níveis são cumulativos; o Elevado inclui também as medidas do Substancial e do Básico.
O que é um critério de verificação?
É a indicação da evidência factual, documental ou técnica que permite demonstrar a aplicação de uma medida.
Fonte primária
Regulamento n.º 756/2026, de 22 de junho
Guia informativo e simplificado. Para aplicar uma medida ou interpretar um critério, confirme sempre o texto integral do ato oficial.