Regulamento de execução do Regime Jurídico da Cibersegurança

Regulamento n.º 756/2026 de 22 de junho. Regulamento de execução do Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025, de 4 de dezembro.

O presente regulamento procede à regulamentação de diversas disposições do Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025, de 4 de dezembro.

Sem prejuízo da consulta completa do diploma, o regulamento estabelece:

As regras de funcionamento da plataforma eletrónica, nomeadamente quanto ao procedimento de auto-identificação e respetiva qualificação das entidades, nos termos do n.º 7 do artigo 8.º do Regime Jurídico da Cibersegurança;
As regras das notificações obrigatórias de incidentes de cibersegurança ou notificações voluntárias de informações pertinentes, previstas no n.º 6 do artigo 40.º e no artigo 45.º do Regime Jurídico da Cibersegurança;
As regras relativas às comunicações entre entidades e a autoridade de cibersegurança competente, nomeadamente do Relatório Anual, do Responsável de Cibersegurança, do Ponto de Contacto Permanente, nos termos do artigo 83.º do Regime Jurídico da Cibersegurança;
O Quadro Nacional de Referência de Cibersegurança (QNRCS) , nos termos do n.º 2 do artigo 14.º do Regime Jurídico da Cibersegurança;
As regras para a produção da Matriz de Risco enquanto variável que permite definir os níveis de conformidade e respetivas medidas de cibersegurança mínimas a adotar pelas entidades essenciais e importantes, nos termos da alínea e) do n.º 1 do artigo 20.º e do n.º 5 do artigo 26.º do Regime Jurídico da Cibersegurança;
As regras relativas à gestão dos riscos residuais, nos termos do n.º 1 do artigo 29.º do Regime Jurídico da Cibersegurança;
Os níveis de conformidade e respetivas medidas de cibersegurança mínimas, obrigatórias para as entidades essenciais e importantes e os critérios de verificação que as entidades devem considerar, nos termos do n.º 5 do artigo 26.º do Regime Jurídico da Cibersegurança;
As regras relativas à comunicação do responsável de cibersegurança e do ponto de contacto permanente, nos termos do n.º 3 do artigo 31.º e do n.º 3 do artigo 32.º do Regime Jurídico da Cibersegurança;
As medidas de cibersegurança obrigatórias para as entidades públicas relevantes, consoante a sua qualificação como A ou B, e os critérios de verificação que as entidades devem observar, nos termos do n.º 2 do artigo 33.º do Regime Jurídico da Cibersegurança.

O presente regulamento entra em vigor no dia 23 de junho de 2026.