Anexo I · Objetivo 01
Gerir
Gerir estabelece as condições transversais de governação que orientam os restantes objetivos do QNRCS.
Estrutura completa
Categorias e controlos.
Selecione cada categoria para consultar todos os códigos e títulos que a compõem.
GR.COContexto Organizacional6 controlos
- GR.CO-1
A missão, visão, estratégia de gestão dos riscos e objetivos da entidade são definidos e comunicados.
- GR.CO-2
As necessidades e expectativas das partes interessadas internas e externas são compreendidas e refletidas na gestão dos riscos de cibersegurança.
- GR.CO-3
Os requisitos legais, regulamentares e contratuais para a cibersegurança são compreendidos e geridos.
- GR.CO-4
Os serviços críticos da entidade dos quais as partes interessadas externas dependem são identificados e comunicados.
- GR.CO-5
Os requisitos de resiliência necessários para suportar a prestação de serviços críticos são definidos.
- GR.CO-6
Os serviços externos dos quais a entidade depende são identificados e comunicados.
GR.GREstratégia de Gestão do Risco5 controlos
- GR.GR-1
O apetite e a tolerância ao risco da entidade são definidos, aprovados, comunicados e revistos regularmente.
- GR.GR-2
Os processos de gestão dos riscos de cibersegurança estão incluídos na estratégia transversal de gestão dos riscos da entidade.
- GR.GR-3
A entidade define a sua estratégia de tratamento do risco.
- GR.GR-4
A entidade estabelece um canal de comunicação interno para partilha de riscos de cibersegurança.
- GR.GR-5
A entidade define uma Política de Gestão dos Riscos de Cibersegurança com metodologia para gerir esses riscos.
GR.FRFunções, Responsabilidades e Autoridades4 controlos
- GR.FR-1
Os órgãos de gestão, direção e administração compreendem as suas funções e responsabilidades e promovem uma cultura de cibersegurança, ética e melhoria contínua.
- GR.FR-2
São atribuídos recursos adequados e proporcionais à estratégia, funções, responsabilidades e políticas de cibersegurança.
- GR.FR-3
As funções, responsabilidades e autoridades em matéria de cibersegurança são definidas e comunicadas ao pessoal, fornecedores e partes interessadas.
- GR.FR-4
A cibersegurança é contemplada nos processos de gestão de recursos humanos.
GR.PPPolíticas e Planos de Cibersegurança3 controlos
- GR.PP-1
As políticas para a gestão de cibersegurança são definidas com base no contexto, estratégia e prioridades da entidade.
- GR.PP-2
O Plano de Resposta a Incidentes é definido, comunicado, mantido e melhorado.
- GR.PP-3
O Plano de Recuperação de Desastres é definido, comunicado, mantido e melhorado.
GR.SPSupervisão3 controlos
- GR.SP-1
Os resultados da estratégia de gestão dos riscos são analisados para informar a gestão e adaptar a estratégia quando necessário.
- GR.SP-2
A estratégia de gestão dos riscos de cibersegurança é regularmente revista e adaptada aos requisitos e riscos organizacionais.
- GR.SP-3
O desempenho da gestão dos riscos de cibersegurança é avaliado e revisto para as alterações necessárias.
GR.CAGestão do Risco na Cadeia de Abastecimento10 controlos
- GR.CA-1
As políticas e processos de gestão dos riscos da cadeia de abastecimento são identificados, estabelecidos, avaliados e geridos.
- GR.CA-2
Os papéis e responsabilidades dos parceiros, fornecedores e clientes são definidos, comunicados e coordenados.
- GR.CA-3
A gestão dos riscos da cadeia de abastecimento integra os processos transversais e a estratégia de risco da entidade.
- GR.CA-4
Os fornecedores são periodicamente avaliados.
- GR.CA-5
A entidade integra nos contratos e acordos requisitos para gerir os riscos da cadeia de abastecimento.
- GR.CA-6
Antes da contratação são realizados processos de devida diligência para reduzir os riscos.
- GR.CA-7
A entidade avalia os riscos de cibersegurança da cadeia de abastecimento.
- GR.CA-8
Os planos de resposta e recuperação são testados com o acompanhamento dos fornecedores.
- GR.CA-9
As práticas da cadeia de abastecimento integram os programas de cibersegurança e são monitorizadas ao longo do ciclo de vida.
- GR.CA-10
Os processos incluem disposições para atividades durante ou após a cessação de contratos com fornecedores ou parceiros.
Aplicação
Como trabalhar cada controlo.
- Confirmar a descrição integral no Anexo I
- Definir âmbito e responsável
- Relacionar o controlo com risco e serviços críticos
- Associar implementação e evidência
- Registar lacunas, prioridade e prazo
- Rever execução e eficácia
Fonte primária
Regulamento n.º 756/2026, de 22 de junho — Anexo I
Os códigos e títulos reproduzem a estrutura do Anexo I. Consulte o ato oficial para a descrição integral e as referências normativas de cada controlo.