O Regulamento não substitui o RJCS
O Regulamento n.º 756/2026 executa matérias previstas no Regime Jurídico da Cibersegurança. Os dois atos devem ser lidos em conjunto, incluindo os quatro anexos do Regulamento, que fazem parte integrante do ato com igual valor jurídico.
A publicação do Regulamento torna concretos procedimentos que antes dependiam de regulamentação, mas algumas disposições continuam sujeitas às regras próprias de produção de efeitos e a instruções técnicas.
Autoidentificação, audiência e decisão
A entidade submete informação na plataforma, recebe um registo provisório e pode ser chamada a fornecer elementos adicionais. Antes da decisão final de qualificação existe audiência dos interessados, com prazo previsto de 10 dias úteis.
A submissão deve ser tratada como um processo formal: dados validados, fundamento, comprovativos e recibos preservados.
O nível não é escolhido pela entidade
Para entidades essenciais e importantes, a matriz de risco determina o nível de conformidade. O resultado enquadra-se em Básico, Substancial ou Elevado, segundo a pontuação e os fatores aplicáveis.
O nível orienta medidas mínimas, mas não elimina a avaliação do risco residual nem outras obrigações aplicáveis.
- Básico: 0 a 99.
- Substancial: 100 a 199.
- Elevado: 200 a 1200.
Critérios de verificação mudam a conversa
Os anexos associam medidas a critérios factuais, documentais ou técnicos. A organização precisa de mostrar aplicação, não apenas intenção.
Uma política pode ser necessária, mas pode não ser suficiente: configurações, registos, aprovações, testes, relatórios e resultados completam a prova.
A conformidade é manutenção
Os dados submetidos são responsabilidade da entidade e devem permanecer atualizados. Pessoas, contactos, ativos, documentos e comunicações precisam de processos de revisão e substituição.
O erro mais provável é tratar a qualificação como fim do projeto. Na prática, é o início de uma operação contínua.