Diário da República · I série · n.º 183 · 28 de Setembro de 2026Lei n.º 9/26, de 28 de Setembro · Lei da Cibersegurança

Ferramenta · plano

Cento e oitenta dias, cinco fases, trinta e cinco tarefas.

Da decisão da gestão ao registo no Centro Nacional de Cibersegurança. Cada tarefa tem o artigo que a justifica, o template que a resolve e o resultado que deve ficar no dossier de evidências. Marque o que já fez; fica guardado no seu navegador.

base legalart. 64.º art. 14.º art. 31.º art. 32.º art. 48.º art. 55.º

as suas respostas não saem do seu navegador

filtrar pelo perfil

Sem filtro, mostra todas as tarefas.

data de início

0 de 35 tarefas

fase 1 Diagnóstico e decisão da gestão

dias 1 a 15 · 28/09 a 12/10

Determinar as categorias da lei em que a organização se enquadra
Usar a calculadora de classificação e registar a conclusão com a fundamentação.
esforço baixo· Responsável de TI e jurídicoart. 11.º art. 7.º ferramenta: classificacao
resultado: Memorando de enquadramento com as categorias e os artigos aplicáveis.
Inventariar redes, sistemas de informação e serviços prestados
Listar activos, sistemas críticos, fornecedores de nuvem e centros de dados e dependências externas.
esforço medio· TIart. 14.º n.º 2 a)Matriz de avaliação de risco
resultado: Inventário de activos e dependências.
Fazer a autoavaliação de maturidade
Responder aos 42 itens e identificar os três domínios mais fracos.
esforço baixo· Responsável de TIart. 31.º n.º 4 art. 14.º ferramenta: autoavaliacao
resultado: Relatório de autoavaliação com prioridades.
Apresentar a lei e o diagnóstico ao órgão de gestão e obter a decisão de avançar
A gestão tem de aprovar e acompanhar as medidas. Registar a decisão em acta.
esforço baixo· Direcçãoart. 14.º n.º 2 g)art. 14.º n.º 1 k)Plano de conformidade de 180 dias
resultado: Acta da gestão com decisão, orçamento e responsável.
Aprovar o plano de 180 dias com datas e responsáveis
Adaptar este roadmap à organização e fixar as datas a partir do dia de início.
esforço baixo· Responsável pela cibersegurançaart. 64.º Plano de conformidade de 180 dias
resultado: Plano aprovado.

fase 2 Governação

dias 16 a 45 · 13/10 a 11/11

Designar o responsável pela cibersegurança e o ponto focal
Com poderes, contactos permanentes e substituto. Comunicar ao CSIRT sectorial e ao CERT.ao quando houver canal.
esforço baixo· Direcçãoart. 14.º n.º 1 b)art. 14.º n.º 2 g)Acta de designação do responsável e do ponto focal
resultado: Acta de designação.
Decidir e constituir o CSIRT institucional ou a adesão a CSIRT sectorial
Aprovar o regulamento, nomear a equipa e definir níveis de serviço.
esforço medio· Responsável pela cibersegurançaart. 14.º n.º 1 a)art. 16.º n.º 1 b)art. 32.º n.º 1 Regulamento do CSIRT institucional
resultado: Regulamento do CSIRT aprovado.
Aprovar a política de cibersegurança
Política de topo com âmbito, princípios, papéis e regras por domínio.
esforço medio· Direcçãoart. 14.º n.º 1 j)art. 31.º n.º 4 a)Política de cibersegurança
resultado: Política aprovada e comunicada.
Aprovar a política de gestão de risco e fazer a primeira avaliação
Metodologia, critérios, apetite ao risco e matriz preenchida.
esforço alto· Responsável pela cibersegurançaart. 14.º n.º 2 a)art. 31.º n.º 4 a)Política e metodologia de gestão de risco Matriz de avaliação de risco
resultado: Matriz de risco aprovada.
Definir a política de conservação de registos e de registo de utilizadores
O que se conserva, por quanto tempo, com que base legal e com os limites do art. 16.º n.º 4.
esforço medio· Jurídico e TIart. 16.º n.º 1 a)art. 16.º n.º 4 art. 20.º n.º 1 b)art. 24.º n.º 1 a)Procedimento de registo de utilizadores
resultado: Procedimento aprovado.
Publicar a política de comunicação responsável de vulnerabilidades
Canal de contacto, regras de boa-fé e prazo de resposta.
esforço baixo· Responsável pela cibersegurançaart. 48.º Política de comunicação responsável de vulnerabilidades
resultado: Política publicada no site.
Abrir o registo de decisões relevantes
Registar as decisões da gestão sobre cibersegurança a partir de agora.
esforço baixo· Responsável pela cibersegurançaart. 14.º n.º 1 k)Plano e registo de formação
resultado: Registo de decisões activo.

fase 3 Controlos mínimos

dias 46 a 90 · 12/11 a 26/12

Implementar controlo de acessos, gestão de identidades e MFA
Contas nominais, privilégios mínimos, MFA em acessos remotos e privilegiados, revisões periódicas.
esforço alto· TIart. 31.º n.º 4 d)art. 14.º n.º 2 f)Política de controlo de acessos, identidades e MFA
resultado: MFA activo e política aplicada.
Aplicar criptografia adequada ao risco
Cifra em trânsito e em repouso para dados sensíveis, gestão de chaves e certificados.
esforço medio· TIart. 14.º n.º 2 f)art. 25.º Política de criptografia
resultado: Política aplicada e inventário de certificados.
Implementar cópias de segurança com testes de restauro
Cópias cifradas, uma delas fora de linha ou fora do local, com restauro testado.
esforço medio· TIart. 14.º n.º 2 f)art. 25.º Política de cópias de segurança
resultado: Relatório de teste de restauro.
Pôr em prática a gestão de vulnerabilidades e actualizações
Fontes de alertas, avaliação, prazos por criticidade e registo.
esforço medio· TIart. 14.º n.º 2 d)art. 25.º Procedimento de gestão de vulnerabilidades e actualizações
resultado: Procedimento activo e registo de vulnerabilidades.
Activar monitorização de segurança contínua
Registos centralizados, alertas e revisão regular.
esforço alto· TIart. 14.º n.º 2 b)art. 25.º
resultado: Monitorização activa com responsáveis pela revisão.
Verificar a segurança do domínio e do correio
DNSSEC, SPF, DMARC e certificados.
esforço baixo· TIart. 27.º ferramenta: dominio
resultado: Relatório do verificador de domínio com correcções feitas.
Rever a segurança física e ambiental dos sistemas
Controlo de acesso a salas técnicas, energia, climatização e incêndio.
esforço medio· Operaçõesart. 14.º n.º 2 b)
resultado: Relatório de revisão e acções.
Realizar avaliação de risco e testes de segurança periódicos
Primeiro teste de vulnerabilidades ou de penetração e calendário de repetição.
esforço medio· Responsável pela cibersegurançaart. 31.º n.º 4 e)
resultado: Relatório de teste e plano de correcção.

fase 4 Notificação, continuidade, fornecedores e formação

dias 91 a 150 · 27/12 a 24/02

Aprovar e treinar o plano de resposta a incidentes
Classificação pelo art. 28.º, contenção, notificação e comunicação a clientes. Fazer um exercício de mesa.
esforço alto· CSIRT institucionalart. 31.º n.º 4 b)art. 55.º n.º 2 d)Plano de resposta a incidentes Registo de incidentes ferramenta: incidente
resultado: Plano aprovado e exercício realizado.
Preparar o procedimento e os modelos de notificação ao CERT.ao
Modelo com o conteúdo mínimo do art. 30.º n.º 4, matriz de destinatários e relatório final.
esforço medio· CSIRT institucionalart. 30.º art. 32.º Notificação de incidente ao CERT.ao Relatório final de resposta e resolução ferramenta: notificacao
resultado: Modelos prontos e contactos do CERT.ao confirmados.
Preparar a comunicação de incidentes a clientes e o resumo de políticas para assinantes
Modelos de aviso a clientes, resumo das políticas de continuidade e informação sobre seguro.
esforço medio· Comercial e CSIRTart. 38.º art. 40.º Comunicação de incidente a clientes Resumo de políticas de continuidade para assinantes Informação sobre cobertura de seguro
resultado: Documentos entregues aos assinantes.
Contratar ou rever o seguro de responsabilidade civil
Obrigatório para centros de dados; informar os assinantes das condições.
esforço medio· Direcção financeiraart. 18.º n.º 1 f)art. 38.º n.º 3 art. 40.º c)Informação sobre cobertura de seguro
resultado: Apólice e documento de informação.
Aprovar e testar o plano de continuidade e recuperação
Processos críticos, RTO e RPO, cenários e um teste de recuperação.
esforço alto· Operações e TIart. 31.º n.º 4 f)art. 14.º n.º 2 f)Plano de continuidade e recuperação
resultado: Plano aprovado e teste documentado.
Rever contratos com fornecedores de tecnologia, nuvem e centros de dados
Incluir cláusulas de segurança, notificação de incidentes, auditoria, reversibilidade e portabilidade.
esforço alto· Jurídico e comprasart. 14.º n.º 2 f)art. 34.º n.º 2 art. 55.º n.º 2 f)Política de fornecedores e cláusulas contratuais
resultado: Adendas contratuais assinadas.
Realizar a primeira acção de formação e sensibilização
Formação para a gestão, para a equipa técnica e sensibilização geral, com registo de presenças.
esforço medio· Recursos humanosart. 14.º n.º 1 k)art. 31.º n.º 4 g)Plano e registo de formação
resultado: Registo de formação com presenças e avaliação.
Preparar a descrição de serviços e processos técnicos
Catálogo de serviços e processos de segurança para apresentar ao regulador.
esforço medio· Responsável pela cibersegurançaart. 22.º n.º 1 a)art. 24.º n.º 1 e)Descrição de serviços e processos técnicos
resultado: Documento aprovado.
Preparar a resposta a pedidos de informação do CERT.ao
Saber onde estão os registos, quem autoriza e como preservar o estado do sistema.
esforço baixo· CSIRT institucionalart. 46.º art. 47.º ferramenta: checklist-cert
resultado: Procedimento e lista de localização dos registos.

fase 5 Registo no CNC, revisão e evidências

dias 151 a 180 · 25/02 a 26/03

Submeter o registo no Centro Nacional de Cibersegurança
Reunir os dados e documentos e submeter pelo procedimento que o Centro publicar. Prazo: 27 de Março de 2027.
esforço medio· Responsável pela cibersegurançaart. 64.º Checklist de preparação do registo no CNC
resultado: Comprovativo de registo.
Repetir a autoavaliação e comparar com o diagnóstico inicial
Medir a evolução por domínio e fechar as lacunas restantes.
esforço baixo· Responsável pela cibersegurançaart. 31.º n.º 4 ferramenta: autoavaliacao
resultado: Relatório comparativo.
Organizar o dossier de evidências
Políticas aprovadas, actas, registos, testes, formação e notificações, prontos para fiscalização ou auditoria.
esforço medio· Responsável pela cibersegurançaart. 51.º art. 52.º
resultado: Dossier organizado e indexado.
Apresentar o relatório de conformidade ao órgão de gestão
Estado de cada obrigação, riscos residuais e plano para o ano seguinte.
esforço baixo· Responsável pela cibersegurançaart. 14.º n.º 2 g)
resultado: Acta de apreciação pela gestão.
Rever o plano à luz dos regulamentos entretanto publicados
Prazos de notificação, requisitos técnicos e relatórios periódicos.
esforço baixo· Responsável pela cibersegurançaart. 29.º n.º 3 art. 30.º n.º 5 art. 55.º
resultado: Plano actualizado.
Fixar o ciclo anual de revisão
Datas para rever a avaliação de risco, testar planos, repetir formação e actualizar políticas.
esforço baixo· Responsável pela cibersegurançaart. 31.º n.º 4 e)
resultado: Calendário anual aprovado.

partilharWhatsApp LinkedIn