Publicado o regulamento do novo Regime Jurídico da Cibersegurança

Foi publicado o Regulamento n.º 756/2026, que concretiza a aplicação do novo Regime Jurídico da Cibersegurança (RJCS), aprovado pelo Decreto-Lei n.º 125/2025, e que transpõe para o ordenamento jurídico nacional a Diretiva NIS2.

O regulamento estabelece o quadro operacional para a implementação das obrigações aplicáveis às entidades essenciais, importantes e públicas relevantes, reforçando o modelo nacional de governação, gestão de risco e supervisão em matéria de cibersegurança.

Entre as principais novidades destacam-se a criação da plataforma eletrónica do Centro Nacional de Cibersegurança (CNCS), que passa a centralizar o registo e qualificação das entidades abrangidas, a comunicação de incidentes de cibersegurança, a submissão de relatórios anuais e a designação dos responsáveis de cibersegurança e pontos de contacto permanentes.

O diploma aprova ainda a nova versão do Quadro Nacional de Referência para a Cibersegurança (QNRCS), alinhado com referenciais internacionais como o NIST Cybersecurity Framework 2.0, a ISO/IEC 27001 e os CIS Controls. O modelo organiza as medidas de segurança em seis áreas fundamentais: Governar, Identificar, Proteger, Detetar, Responder e Recuperar.

Uma das alterações mais relevantes consiste na adoção de uma abordagem baseada no risco. Através de uma matriz de risco setorial, as entidades serão enquadradas em três níveis de conformidade - Básico, Substancial ou Elevado - determinando o conjunto de medidas mínimas de cibersegurança que deverão implementar.

As obrigações incluem, entre outras, a realização de avaliações periódicas de risco, gestão de vulnerabilidades, autenticação multifator, segmentação de redes, monitorização de eventos de segurança, planos de resposta a incidentes, mecanismos de recuperação e continuidade de negócio, bem como medidas de gestão do risco da cadeia de abastecimento.

Com este diploma, a cibersegurança assume definitivamente uma dimensão de conformidade regulatória e de governação organizacional, exigindo às entidades abrangidas uma abordagem estruturada, baseada no risco e suportada por evidências demonstráveis de implementação e eficácia dos controlos de segurança.

O regulamento entrou em vigor após a sua publicação e constitui um marco relevante na operacionalização do novo quadro nacional de cibersegurança, reforçando a resiliência digital das organizações e a proteção dos serviços essenciais em Portugal.