Referências cruzadas do QNRCS (Anexo I do Regulamento n.º 756/2026)
Esta tabela reproduz, controlo a controlo, a coluna «Referências» do Anexo I do Regulamento n.º 756/2026, publicado no Diário da República, 2.ª série, n.º 118, de 22 de junho de 2026. Para cada um dos 107 controlos do Quadro Nacional de Referência para a Cibersegurança (QNRCS), o próprio regulamento indica a correspondência noutros referenciais.
O título de cada controlo e cada referência são o texto do regulamento, reproduzido tal como está, incluindo as gralhas do original (por exemplo, «8,1» onde se esperaria «8.1»). Não corrigimos nem interpretamos esse texto.
A correspondência entre os controlos e as alíneas do artigo 21.º da Diretiva NIS2 que o Provanis2 usa NÃO está incluída: é um juízo do produto, não algo que o regulamento diga.
- Fonte: Regulamento n.º 756/2026, Diário da República, 2.ª série, n.º 118, de 22 de junho de 2026.
- PDF: https://files.diariodarepublica.pt/2s/2026/06/118000000/0003200120.pdf
- SHA-256 do PDF: d842b56d73b59aa0d47023c80fa1b1f3fdee1912b211f17a350655fe758f50b3
- Versão do pacote de controlos: 2026.09.4
| local_id | Função | Categoria | Título | Nível mínimo | ISO/IEC 27001:2022 | ISO/IEC 27002:2022 | NIST CSF 2.0 | NIST SP 800-53 Rev.5 | CIS CSC v8.1 | CyFun 2025 |
|---|---|---|---|---|---|---|---|---|---|---|
| GR.CO-1 | Gerir | GR.CO — Contexto Organizacional | A missão, visão, estratégia de gestão dos riscos e objetivos da entidade são definidos e comunicados. | Substancial | 5.1,5.2 6.1, 6.2,7.4 | 5.1 | GV.OC-01 | SR-1 | — | GV.OC-01 |
| GR.CO-2 | Gerir | GR.CO — Contexto Organizacional | As necessidades e expectativas das partes interessadas internas e externas são compreendidas e encontram-se refletidas na gestão dos riscos de cibersegurança da entidade. | — | — | — | GV.OC-02 | — | — | GV.OC-02 |
| GR.CO-3 | Gerir | GR.CO — Contexto Organizacional | Os requisitos legais, regulamentares e contratuais para a cibersegurança, são compreendidos e geridos. | Básico | 4.1, 4.2, 7.2 | 5.5,5.31, 5.32, 5.33, 5.34, 5.35 | GV.CO-03 | SR-1 | 17 | GV.OC-03 |
| GR.CO-4 | Gerir | GR.CO — Contexto Organizacional | Os serviços críticos da entidade dos quais as partes interessadas externas dependem são identificados e comunicados. | Básico | 6.1.2,7.1,7.5.2,8.1,8.2 | 5.5,7.11,7.12,8.6 | GV.OC-05 | — | — | GV.OC-04 |
| GR.CO-5 | Gerir | GR.CO — Contexto Organizacional | Os requisitos de resiliência necessários para suportar a prestação de serviços críticos são definidos. | Básico | 6.2,7.5.2,8.1 | 5.5,5.29, 7.5, 7.11, 8.14 | GV.OC-05 | — | — | GV.OC-04 |
| GR.CO-6 | Gerir | GR.CO — Contexto Organizacional | Os serviços externos dos quais a entidade depende, são identificados e comunicados. | Básico | 7.5.2 | 5.19,5.20,5.21 | GV.OC-05 | — | — | GV.OC-05 |
| GR.GR-1 | Gerir | GR.GR — Estratégia de Gestão do Risco | O apetite e a tolerância ao risco da entidade são definidos, aprovados, comunicados e revistos regularmente. | Substancial | 5.1, 6.1.1, 6.1.3, 8.3, 9.3.2, 9.3.3 | — | GV.RM-02 | — | — | GV.RM-02 |
| GR.GR-2 | Gerir | GR.GR — Estratégia de Gestão do Risco | Os processos de gestão dos riscos de cibersegurança estão incluídos na estratégia transversal de gestão dos riscos da entidade. | Básico | 6.1.1., 7.5.2, 9.3.2 | 5.8,8.6 | GV.RM-03, GV.RM-07 | — | — | GV.RM-03 |
| GR.GR-3 | Gerir | GR.GR — Estratégia de Gestão do Risco | A entidade define a sua estratégia de tratamento do risco. | Substancial | — | — | GV.RM-04 | — | — | GV.RM-04 |
| GR.GR-4 | Gerir | GR.GR — Estratégia de Gestão do Risco | A entidade estabelece um canal de comunicação interno para partilha de riscos de cibersegurança. | Substancial | — | — | GV.RM-05 | — | — | GV.RM-05 |
| GR.GR-5 | Gerir | GR.GR — Estratégia de Gestão do Risco | A entidade define uma Política de Gestão dos Riscos de Cibersegurança a qual prevê uma metodologia para a gestão dos riscos de cibersegurança. | Substancial | — | — | GV.PO-02 | — | — | — |
| GR.FR-1 | Gerir | GR.FR — Funções, Responsabilidades e Autoridades | Os órgãos de gestão, direção e administração compreendem as suas funções e responsabilidades, e promovem uma cultura de cibersegurança, ética e de melhoria contínua. | Básico | 5.1, 5.3, 7.2, 8.1 | 5.2,5.4, 5.12, 6.3 | GV.RR-01 | AT-3 | 14,17 | GV.RR-01 |
| GR.FR-2 | Gerir | GR.FR — Funções, Responsabilidades e Autoridades | São atribuídos recursos adequados e proporcionais à estratégia de gestão do risco de cibersegurança, às funções, responsabilidades e políticas de cibersegurança da entidade. | Substancial | — | — | GV.RR-03 | — | — | GV.RR-03 |
| GR.FR-3 | Gerir | GR.FR — Funções, Responsabilidades e Autoridades | As funções, responsabilidades e autoridades em matéria de cibersegurança são definidas e comunicadas ao pessoal, fornecedores e partes interessadas. | Substancial | 5.3, 5.1, 7.5, 7.5.2, 7.5.3, 9.1, 9.3 | 5.2, 5.4, 5.5 | GV.RR-02 | — | 14,17 | GV.RR-02 |
| GR.FR-4 | Gerir | GR.FR — Funções, Responsabilidades e Autoridades | A cibersegurança é contemplada nos processos de gestão de recursos humanos. | Básico | 4.1, 4.2, 7.1, 7.3 | 5.4, 5.5, 5.11, 6.1, 6.2, 6.3, 6.4, 6.5, 6.6, 6.7 | GV.RR-04 | PS-1, AT-1, AT-2 e AT-3 | — | GV.RR-04 |
| GR.PP-1 | Gerir | GR.PP — Políticas e Planos de Cibersegurança | As Políticas para a gestão de Cibersegurança, incluindo a Política de Cibersegurança, são definidas com base no contexto organizacional, na estratégia de cibersegurança e nas prioridades da entidade. | Básico | 4,4, 7.2, 7.5.2., 9.1 | 5.1, 5.5, 5.8 | GV.PO-1 | SR-1 | 14 | GV.PO-01 |
| GR.PP-2 | Gerir | GR.PP — Políticas e Planos de Cibersegurança | O Plano de Resposta a Incidentes é definido, comunicado, mantido e melhorado. | Básico | 4.1, 4.2, 6.2, 7.5.2, 7.5.3, 8.1, 9.3.2, 10.2 | 5.5, 5.20, 5.24, 5.29, 8.6 | ID.IM-04 | IR-8 | 17 | ID.IM-04 |
| GR.PP-3 | Gerir | GR.PP — Políticas e Planos de Cibersegurança | O Plano de Recuperação de Desastres é definido, comunicado, mantido e melhorado. | Substancial | 4.1, 4.2, 6.2, 7.5.2, 7.5.3, 8.1, 9.3.2, 10.2 | 5.5, 5.20, 5.29, 8.6 | ID.IM-04 | CP-2 | 17 | ID.IM-04 |
| GR.SP-1 | Gerir | GR.SP — Supervisão | Os resultados da estratégia de gestão dos riscos de cibersegurança são analisados para informar os órgãos de gestão, direção e administração e, caso necessário, para adaptar a estratégia da entidade quanto aos riscos. | — | — | — | GV.OV-01 | — | — | — |
| GR.SP-2 | Gerir | GR.SP — Supervisão | A estratégia de gestão de riscos de cibersegurança é regularmente revista e adaptada para garantir a cobertura dos requisitos e riscos organizacionais. | Elevado | — | — | GV.OV-O2 | — | — | GV.OV-02 |
| GR.SP-3 | Gerir | GR.SP — Supervisão | O desempenho da gestão dos riscos de cibersegurança da entidade é avaliado e revisto para alterações necessárias. | Elevado | — | — | GR.OV-3 | — | — | GV.OV-03 |
| GR.CA-1 | Gerir | GR.CA — Gestão do Risco na Cadeia de Abastecimento | As políticas e processos de gestão dos riscos da cadeia de abastecimento são identificados, estabelecidos, avaliados e geridos. | Elevado | 5.1, 5.3, 6.1.1, 6.1.2, 6.1.3, 6.2, 7.1, 7.5.2., 7.5.3, 8.1, 8.2, 8.3, 9.3.2 | 5.19, 5.20, 5.21, 5.22 | GV.SC-01 | RA-3 | — | GV.SC-01 |
| GR.CA-2 | Gerir | GR.CA — Gestão do Risco na Cadeia de Abastecimento | Os papéis e responsabilidades dos parceiros, fornecedores e clientes no âmbito da gestão da cibersegurança são definidos, comunicados e coordenados interna e externamente. | — | 5.3, 8.1, 9.2 | 5.2, 5.4, 5.12, 5.20, 5.22, 6.3, 8.30 | GV.SC-02 | AT-3 | 14 | GV.SC-02 |
| GR.CA-3 | Gerir | GR.CA — Gestão do Risco na Cadeia de Abastecimento | Os processos de gestão dos riscos de cibersegurança da cadeia de abastecimento da entidade estão incluídos nos processos transversais de cibersegurança e na estratégia de gestão dos riscos da entidade. | Substancial | — | — | GV.SC-03 | — | — | GV.SC-03 |
| GR.CA-4 | Gerir | GR.CA — Gestão do Risco na Cadeia de Abastecimento | Os fornecedores são periodicamente avaliados. | — | 8.1, 9.2 | 5.20, 5.22 | GV.SC-04 | — | — | — |
| GR.CA-5 | Gerir | GR.CA — Gestão do Risco na Cadeia de Abastecimento | A entidade define e integra nos contratos e outros acordos com fornecedores os requisitos para gerir os riscos de cibersegurança da cadeia de abastecimento. | Substancial | 6.1.3, 7.5.2, 8.1, 9.1 | 5.20, 5.35 | GV.SC-05 | — | — | GV.SC-05 |
| GR.CA-6 | Gerir | GR.CA — Gestão do Risco na Cadeia de Abastecimento | Antes da contratação de fornecedores são realizados processos de devida diligência para reduzir os riscos da entidade. | Elevado | — | — | GV.SC-06 | — | — | GV.SC-06 |
| GR.CA-7 | Gerir | GR.CA — Gestão do Risco na Cadeia de Abastecimento | A entidade avalia os riscos de cibersegurança da cadeia de abastecimento. | Básico | 5.1, 6.1.2, 7.4, 7.5.2, 7.5.3, 8.1, 8.2 | 5.19, 5.21, 5.22 | GV.SC-07 | PM-9 | — | GV.SC-07 |
| GR.CA-8 | Gerir | GR.CA — Gestão do Risco na Cadeia de Abastecimento | O Plano de Resposta a Incidentes e o Plano de Recuperação de Desastres são testados com o acompanhamento dos fornecedores. | Substancial | 6.1.3, 7.5.2, 8.1, 8.3 | 5.26, 5.29 | GV.SC-08 | CP-2 | 18 | GV.SC-08 |
| GR.CA-9 | Gerir | GR.CA — Gestão do Risco na Cadeia de Abastecimento | As práticas de cibersegurança da cadeia de abastecimento são integradas em programas de cibersegurança e de gestão de riscos organizacionais, e o seu desempenho é monitorizado ao longo do ciclo de vida dos produtos e serviços tecnológicos. | — | — | — | GV.SC-09 | — | — | GV.SC-09 |
| GR.CA-10 | Gerir | GR.CA — Gestão do Risco na Cadeia de Abastecimento | Aquando da definição de processos de gestão dos riscos da cadeia de abastecimento de cibersegurança a entidade inclui disposições para atividades que possam ocorrer durante ou após a cessação de contratos com fornecedores ou parceiros. | — | — | — | GV.SC-10 | — | — | GV.SC-10 O objetivo Identificar pretende estabelecer uma base comum, transversal à entidade, para a abordagem à gestão de riscos de cibersegurança no contexto da envolvência das suas redes e sistemas de informação, pessoas, ativos, dados e respetivas capacidades.A entidade identifica quais os ativos que suportam os seus processos críticos e os riscos associados relevantes.Esta identificação permite que a entidade consiga definir e priorizar os seus recursos e investimentos, de acordo com os seus objetivos gerais e com a sua estratégia de gestão de riscos.As práticas que se enquadram no objetivo Identificar são basilares para a efetiva utilização do QNRCS.Conhecer, num contexto organizacional, os recursos que suportam as funções importantes e os respetivos riscos associados, permite às entidades priorizar os seus esforços de forma consistente. |
| ID.GA-1 | Identificar | ID.GA — Gestão de Ativos | Os equipamentos e os demais recursos físicos geridos ou detidos pela entidade são inventariados. | Básico | 7.5.2, 7.5.3, 8.1 | 5.9, 7.1 | ID.AM-01 | CM — 8 | 1 | ID.AM-01 |
| ID.GA-2 | Identificar | ID.GA — Gestão de Ativos | Os recursos lógicos que suportam os processos dos serviços da entidade são inventariados | Básico | 7.5.2, 7.5.3, 8.1 | 5.9, 8.30 | ID.AM-02 | CM-8 | 2 | ID.AM-02 |
| ID.GA-3 | Identificar | ID.GA — Gestão de Ativos | As redes e fluxos de comunicação são mapeados. | Substancial | 7.5.2, 7.5.3, 8.1, 9.1 | 5.5., 5.9, 8.12 | ID.AM-03 | AC-4 | 12 | ID.AM-03 |
| ID.GA-4 | Identificar | ID.GA — Gestão de Ativos | Os serviços prestados por fornecedores são inventariados. | Básico | 7.5.2, 7.5.3, 8.1 | 5.9, 5.12, 8.6 | ID.AM-04 | AC-20 | 12 | ID.AM-04 |
| ID.GA-5 | Identificar | ID.GA — Gestão de Ativos | Os ativos são classificados de acordo com a sua criticidade. | Básico | — | 5.9, 5.12, 8.6 | ID.AM-05 | — | 3 | ID.AM-05 |
| ID.GA-6 | Identificar | ID.GA — Gestão de Ativos | Os dados e respetivos metadados são identificados e registados. | Elevado | — | — | ID.AM-07 | — | — | ID.AM-07 |
| ID.GA-7 | Identificar | ID.GA — Gestão de Ativos | Sistemas, hardware, software, serviços e dados são geridos ao longo dos seus ciclos de vida | Básico | 7.1, 7.5.2, 8.1, 9.1 | 5.10, 5.11, 5.19, 5.37, 7.2, 7.9, 7.10, 7.13, 7.14, 8.7, 8.11, 8.12, 8.15, 8.21 | PR.PS-03, PR.PS-02, ID.AM-08 | — | 1,4,7 | ID.AM-08 |
| ID.GA-8 | Identificar | ID.GA — Gestão de Ativos | Os dados são destruídos de acordo com a Política de Classificação e Gestão de Dados definida. | Substancial | 7.5.2, 7.5.3., 8.1 | 5.10, 7.10, 7.14, 8.10 | ID.AM-08 | MP-4 | — | — |
| ID.GA-9 | Identificar | ID.GA — Gestão de Ativos | A entidade implementa um processo de gestão de alterações. | Elevado | ― 7.5.3, 8.1 | ― 8.9, 8.19, 8.32, 8.33 | ID.RA-07 | CM-9 | 4, 5, 12 | — |
| ID.AR-1 | Identificar | ID.AR — Avaliação do Risco | As vulnerabilidades dos ativos são identificadas e documentadas com base na metodologia definida. | Básico | 6.1.2, 6.1.3, 7.5.2, 8.2, 8.3 | 5.36,8.8, 8.33 | ID.RA-01 | RA-5 | 7 | ID.RA-01 |
| ID.AR-2 | Identificar | ID.AR — Avaliação do Risco | A entidade partilha informações sobre ameaças de cibersegurança com partes interessadas. | — | 4.2, 6.1.3, 7.3, 7.4, 8.3 | 5.5, 5.6, 5.7, 5.12, 5.13, 5.20, 5.21 | ID.RA-02 | — | 14 | ID.RA-02 |
| ID.AR-3 | Identificar | ID.AR — Avaliação do Risco | As ameaças internas e externas são identificadas e documentadas com base na metodologia definida. | — | 6.1.2 | — | ID.RA-03 | RA-3 | 7 | ID.RA-05 |
| ID.AR-4 | Identificar | ID.AR — Avaliação do Risco | São identificados e registados potenciais impactos e as respetivas probabilidades de ameaças. | Básico | 6, 8 | 5.36, 6.8, 8.8, 8.32 | ID.RA-04 | — | 2, 4, 5, 16, 18 | ID.RA-06 |
| ID.AR-5 | Identificar | ID.AR — Avaliação do Risco | A entidade avalia os riscos identificados. | Básico | 4.1, 6.1.2, 7.4, 7.5.2, 8.2, 9.3.2 | 5.5, 5.27, 6.8, 8.8 | ID.RA-05 | RA-3 | 7, 10 | ID.RA-05 |
| ID.AR-6 | Identificar | ID.AR — Avaliação do Risco | A entidade garante que as respostas aos riscos são identificadas e priorizadas. | Básico | 5.1, 6.1.3, 8.3, 10.1 | 8.8 | ID.RA-06 | RA-7 | 7, 10 | ID.RA-06 |
| ID.AR-7 | Identificar | ID.AR — Avaliação do Risco | A entidade define processos para receber informação, analisar e responder a vulnerabilidades provenientes de fontes internas e externas. | Básico | 4.4, 7.5.2, 8.3, 9.1 | 5.7, 5.37,8.8, 8.16, 8.29 | ID.RA-08 | — | 17 | ID.RA-08 |
| ID.MC-1 | Identificar | ID.MC — Melhoria Contínua | As melhorias são identificadas através de avaliações e a informação é partilhada com as partes interessadas. | — | 7.4 | 5.27 | ID.IM-01 | — | — | — |
| ID.MC-2 | Identificar | ID.MC — Melhoria Contínua | São identificadas melhorias a partir de testes e exercícios de cibersegurança. | Elevado | 6.1.3, 7.5.2, 8.1, 8.3 | 5.26, 5.29 | ID.IM-02 | CP-4, IR-3, PM-14 | 18 | ID.IM-02 |
| ID.MC-3 | Identificar | ID.MC — Melhoria Contínua | As melhorias são identificadas a partir da execução de processos, procedimentos e atividades operacionais. | Básico | 9.1, 9.2.1, 10.1 | 5.27 | ID.IM-03 | — | — | ID.IM-03 Pretende-se, como resultado do objetivo Proteger, proporcionar o desenvolvimento e a implementação de controlos de cibersegurança necessários à garantia de prestação de serviços ou bens, reforçando a capacidade da entidade em limitar ou conter o impacto de uma eventual ocorrência de um incidente de cibersegurança.Através da implementação de controlos que protejam os processos organizativos e os ativos da entidade, independentemente da sua natureza tecnológica, a entidade garante a sua proteção em três dimensões: Pessoas, Processos e Tecnologia.Esta capacidade potencia-se e assegura-se, na gestão da identidade eletrónica e respetivas autorizações, na realização de ações de formação e de sensibilização e na definição e implementação de procedimentos, processos e tecnologias de proteção da informação, entre outras. |
| PR.GA-1 | Proteger | PR.GA — Gestão de Identidades, Autenticação e Controlo de Acessos | Os ciclos de vida de gestão de identidades são definidos | Básico | 6.1.1, 8.1 | 5.16, 5.17, 5.18, 8.2, 8.3, 8.5 | PR.AA-01 | AC-2 | 1, 3, 4, 5, 12, 13 | PR.AA-01 |
| PR.GA-2 | Proteger | PR.GA — Gestão de Identidades, Autenticação e Controlo de Acessos | A entidade verifica a identidade dos utilizadores e vincula-a às respetivas credenciais. | Substancial | 7.5.2, 8.1 | 5.15, 8.2, 8.3, 8.18 | PR.AA-02, PR.AA-04 | AC-17 | 3,4,5,6 | PR.AA-02 |
| PR.GA-3 | Proteger | PR.GA — Gestão de Identidades, Autenticação e Controlo de Acessos | São definidos mecanismos de autenticação de utilizadores, dispositivos e outros ativos de sistemas de informação. | Básico | 6.1.2, 7.5.2, 8.1 | 5.16, 5.17, 5.34, 8.5, 8.27 | PR.AA-03 | AC-17 | 3,4,5,6,9,12,13 | PR.AA-03 |
| PR.GA-4 | Proteger | PR.GA — Gestão de Identidades, Autenticação e Controlo de Acessos | As afirmações de identidade são protegidas, transmitidas e verificadas. | Elevado | — | — | PR.AA-04 | — | — | PR.AA-04 |
| PR.GA-5 | Proteger | PR.GA — Gestão de Identidades, Autenticação e Controlo de Acessos | As permissões de acesso, os direitos e as autorizações são definidas numa política, são geridas, aplicadas e atualizadas, e incorporam os princípios do menor privilégio e da separação de funções. | Básico | 8.1, 9.1, 9,2 | 5.3, 5.15, 8.2, 8.3, 8.4, 8.18 | PR.AA-05 | AC-17 | 3, 4, 6, 7, 12, 13, 16 | PR.AA-05 |
| PR.GA-6 | Proteger | PR.GA — Gestão de Identidades, Autenticação e Controlo de Acessos | Os controlos de acesso físico a ativos da entidade são geridos, monitorizados e aplicados em função do risco. | Básico | 8.1 | 7.1, 7.2, 7.3, 7.4, 7.5, 7.6, 7.8, 7.9, 7.11, 7.12, 8.1 | PR.AA-06 | PE-2 | — | PR.AS-06 |
| PR.GA-7 | Proteger | PR.GA — Gestão de Identidades, Autenticação e Controlo de Acessos | A entidade gere os seus acessos remotos. | Básico | 7.52, 8.1 | 5.14, 6.7, 7.9, 8.1, 8.5, 8.11, 8.20 | — | AC-17 | 5, 6, 13 | — |
| PR.FC-1 | Proteger | PR.FC — Formação e Sensibilização | Todo o pessoal é sensibilizado e formado em matérias de cibersegurança. | Básico | 7.2, 7.3, 7.4, 9.1 | 6.3, 8.7 | PR.AT-01 | AT-2 | 14, 16 | PR.AT-01 |
| PR.FC-2 | Proteger | PR.FC — Formação e Sensibilização | O pessoal com funções especializadas em cibersegurança e os órgãos de gestão, direção e administração recebem formação adequada para o exercício das suas funções. | Básico | 5.3, 7.2, 7.3 | 5.2, 6.3 | PR.AT-02 | AT-3 | 4,14,16 | PR-AT-02 |
| PR.SD-1 | Proteger | PR.SD — Segurança de Dados | A entidade protege a confidencialidade, integridade e disponibilidade dos dados em repouso. | Substancial | 8.1 | 5.10, 8.11, 8.17 | PR.DS-01 | — | 3 | PR.DS-01 |
| PR.SD-2 | Proteger | PR.SD — Segurança de Dados | A entidade protege a confidencialidade, integridade e disponibilidade dos dados em trânsito. | Básico | 8.1 | 5.10, 5.14, 8.11,8.20, 8.26 | PR.DS-02 | — | 3 | PR.DS-02 |
| PR.SD-3 | Proteger | PR.SD — Segurança de Dados | A entidade implementa proteções que evitem exfiltração de dados. | Elevado | 8.1 | 5.3, 5.10, 5.13, 5.14, 5.15, 6.1, 6.2, 6.5, 6.6, 7.5, 7.6, 7.8, 8.2, 8.3, 8.4, 8.11, 8.12, 8.18, 8.20, 8.22, 8.24, 8.26 | PR.DS-02 | — | 3 | — |
| PR.SD-4 | Proteger | PR.SD — Segurança de Dados | A entidade protege a confidencialidade, integridade e disponibilidade dos dados em uso. | Elevado | — | — | PR.DS-10 | — | — | PR.DS-10 |
| PR.SD-5 | Proteger | PR.SD — Segurança de Dados | São realizadas, mantidas e testadas cópias de segurança dos dados da entidade. | Básico | 6.2, 7.5.1, 8.1 | 5.1, 5.20, 5.23, 5.29, 5.32, 5.33, 5.37, 6.7, 8.6, 8.7, 8.9, 8.12, 8.13, 8.17 | PR.DS-11 | CP-9 | 11 | PR.DS-11 |
| PR.SP-1 | Proteger | PR.SP — Segurança de plataformas | É criada e mantida uma configuração base de redes e sistemas de informação que incorpora os princípios de segurança. | Básico | 7.5.2, 7.5.3, 8.1, 9.1 | 8.16, 8.19, 8.28, 8.32 | PR.PS-01 | CM-2 | 1, 4, 7, 12 | PR.PS01 |
| PR.SP-2 | Proteger | PR.SP — Segurança de plataformas | Os logs de sistemas e o histórico de atividades são documentados, implementados e revistos de acordo com as Políticas da entidade. | Básico | 7.5.2., 7.5.3, 9.1, 9.2 | 5.37, 8.15, 8.17, 8.34 | PR.PS-04 | — | 1, 3, 4, 8 | PR.PS-04 |
| PR.SP-3 | Proteger | PR.SP — Segurança de plataformas | A instalação e execução de software não autorizado são impedidas. | Básico | — | 8.7 | PR.PS-06 | CM-7, CM-11 | 2, 3 | PR.PS-05 |
| PR.SP-4 | Proteger | PR.SP — Segurança de plataformas | É implementado um ciclo de vida de desenvolvimento seguro de software. | Substancial | 8.1 | 5.8, 8.17, 8.25, 8.27, 8.28, 8.30, 8.33 | PR.PS-06 | CM-9 | 16 | PR.PS-06 |
| PR.RI-1 | Proteger | PR.RI — Resiliência da Infraestrutura Tecnológica | A entidade protege a integridade das redes de comunicações. | Básico | 8.1 | 5.14, 5.37, 8.8, 8.11, 8.16, 8.20, 8.21, 8.22, 8.23, 8.26 | PR.IR-01 | — | 3, 4, 7, 10, 12, 13 | PR.IR-01 |
| PR.RI-2 | Proteger | PR.RI — Resiliência da Infraestrutura Tecnológica | Os ambientes de desenvolvimento e de teste são separados de ambientes de produção. | Substancial | 8.1, 9.1 | 8.31, 8.30, 8.33 | PR.IR-01 | PL-8 | 16 | PR.IR-01 |
| PR.RI-3 | Proteger | PR.RI — Resiliência da Infraestrutura Tecnológica | Os ativos tecnológicos da entidade são protegidos de ameaças naturais. | Elevado | 4.1, 4.2, 6.1.1, 7.1, 8.1 | 5.5, 7.2, 7.5, 7.6, 7.8, 7.11, 7.12, 8.14, 8.32 | PR.IR-02 | MA-1 | — | PR.IR-02 |
| PR.RI-4 | Proteger | PR.RI — Resiliência da Infraestrutura Tecnológica | São implementados mecanismos para cumprir os requisitos de resiliência em situações adversas. | Substancial | 6.2, 7.5.2, 8.1 | 5.29, 7.5, 8.14 | PR.IR-03 | CP-2 | — | PR.IR-03 |
| PR.RI-5 | Proteger | PR.RI — Resiliência da Infraestrutura Tecnológica | A entidade planeia a capacidade adequada dos recursos para garantir a disponibilidade das suas redes e sistemas de informação. | Substancial | 7.1, 8.1., 9.2, 9.3.2 | 8.6, 8.14, 8.32 | PR.IR-04 | PL-8 | 1,2 | PR.IR-04 No contexto do objetivo Detetar, pretende-se desenvolver práticas adequadas e atempadas à deteção da ocorrência de eventos segurança, ou seja, a deteção de eventos com um efeito adverso real na segurança das redes e dos sistemas de informação por via da monitorização contínua das redes e sistemas de informação e da implementação de processos de deteção. |
| DE.MC-1 | Detetar | DE.MC — Monitorização Contínua de Segurança | As redes e sistemas de informação são monitorizados para detetar potenciais incidentes. | Básico | 8.1,9.1, 9.2 | 5.7, 5.22, 8.8, 8.12, 8.15, 8.16, 8.17, 8.21 | DE.CM-01 | SC-7 | 1, 8, 10, 13 | DE.CM-01 |
| DE.MC-2 | Detetar | DE.MC — Monitorização Contínua de Segurança | O ambiente físico é monitorizado para possibilitar a deteção de potenciais incidentes de segurança. | Substancial | 8.1, 9.1 | 5.7, 5.22, 7.1, 7.2, 7.4, 7.5, 7.10, 7.11, 8.3, 8.4, 8.15, 8.26, 8.31, 8.32 | DE.CM-02 | — | — | DE.CM-02 |
| DE.MC-3 | Detetar | DE.MC — Monitorização Contínua de Segurança | A atividade do pessoal da entidade é monitorizada para se detetar potenciais incidentes. | — | 8.1, 9.1, Anexo A (27002) | 5.7, 8.1, 8.7, 8.12, 8.15, 8.16, 8.19, 8.20, 8.23 | DE.CM-03 | SC-7 | 3, 8, 13, 15 | DE.CM-03 |
| DE.MC-4 | Detetar | DE.MC — Monitorização Contínua de Segurança | A entidade identifica e implementa mecanismos para deteção de código malicioso. | Básico | 8, 9.1 | 8.7, 8.12, 8.16 | — | SC-7 | 8, 10, 13 | — |
| DE.MC-5 | Detetar | DE.MC — Monitorização Contínua de Segurança | A utilização de aplicações não autorizadas em dispositivos móveis é detetada. | Básico | 8,1, 9.1 | 5.7, 5.21, 8.1, 8.16, 8.19 | — | — | 8, 10 | — |
| DE.MC-6 | Detetar | DE.MC — Monitorização Contínua de Segurança | As atividades dos prestadores de serviços externos são monitorizadas para deteção de incidentes. | Substancial | 8,1, 9.1 | 5.7, 5.22, 8.12, 8.15, 8.16, 8.30 | DE.CM-06 | — | — | DE.CM-06 |
| DE.MC-7 | Detetar | DE.MC — Monitorização Contínua de Segurança | O hardware, software, os ambientes em produção e os seus dados são monitorizados para detetar eventos potencialmente adversos. | Substancial | 8.1 | 8.7, 8.19, 8.24, 8.26, 8.27, 8.32 | DE.CM-09 | PL-8 | 2, 7 | DE.CM-09 |
| DE.AE-1 | Detetar | DE.AE — Anomalias e Eventos | Os eventos detetados são analisados. | Substancial | 8.1, 9.1, 10.2 | 5.7, 5.24, 5.25, 8.15 | DE.AE-02 | SI-4(2) | 1, 8, 13, 15 | DE.AE-02 |
| DE.AE-2 | Detetar | DE.AE — Anomalias e Eventos | Os eventos são recolhidos e correlacionados a partir de várias fontes e sensores. | Básico | 8.1, 9.1, 10.2 | 5.7, 5.24, 5.25, 5.28, 8.12, 8.15, 8.16, 8.17 | DE.AE-03 | AU-12(2) | 1, 3, 8, 10, 13, 15 | DE.AE-03 |
| DE.AE-3 | Detetar | DE.AE — Anomalias e Eventos | O impacto estimado e o âmbito dos eventos adversos detetados são compreendidos e identificados. | Elevado | 8.1, 9.1, 10.2 | 5.7, 5.25, 8.12 | DE.AE-04 | — | 8, 13 | DE.AE-04 |
| DE.AE-4 | Detetar | DE.AE — Anomalias e Eventos | As informações sobre deteções de eventos são comunicadas. | Substancial | 7.4 | 6.8 | DE.AE-06 | — | — | DE.AE-06 |
| DE.AE-5 | Detetar | DE.AE — Anomalias e Eventos | As informações sobre ciberameaças e outras informações contextuais são integradas na análise de eventos. | — | — | — | DE.AE-07 | — | — | — |
| DE.AE-6 | Detetar | DE.AE — Anomalias e Eventos | Os critérios para a declaração de incidentes são definidos | Básico | 8.1, 9.1, 10.2 | 5.25, 8.5, 8.12, 8.14, 8.16, 8.17 | DE.AE-08 | — | 8, 13 | DE.AE-08 Pretende-se, com o objetivo Responder, desenvolver e implementar práticas de resposta a um incidente de cibersegurança.Estas práticas devem capacitar a entidade para a contenção dos impactos de um potencial incidente, e para mitigar o impacto do incidente, isto é, reduzir e eventualmente reverter os seus potenciais efeitos adversos, através do planeamento da resposta a incidentes, da comunicação com as partes interessadas relevantes, da análise e mitigação de incidentes e da melhoria por intermédio das lições aprendidas. |
| RS.GI-1 | Responder | RS.GI — Gestão de Incidentes | O Plano de Resposta a Incidentes é executado, em coordenação com as partes interessadas, durante ou após a ocorrência de um incidente. | Básico | 8.1, 8.3, 10.2 | 5.26, 8.8, 8.13, 8.32 | RS.MA-01 | CP-2, 2 (2) | 17 | RS.MA-01 |
| RS.GI-2 | Responder | RS.GI — Gestão de Incidentes | As notificações dos sistemas de deteção são triadas e validadas. | Substancial | 9.1 | Anexo A 5.26, 8.8, 8.16 | RS.MA-02 | — | 17 | RS.MA-02 |
| RS.GI-3 | Responder | RS.GI — Gestão de Incidentes | Os incidentes são categorizados de acordo com o Plano de Resposta a Incidentes definido. | Substancial | 8.3 | 5.25 | RS.MA-03 | — | 17 | RS.MA-03 |
| RS.GI-4 | Responder | RS.GI — Gestão de Incidentes | Os incidentes são escalados ou elevados conforme necessário. | — | 7.3, 7.4, 8.1, 8.3 | 5.6, 5.26 | RS.MA-04 | IR-6 | 17 | — |
| RS.GI-5 | Responder | RS.GI — Gestão de Incidentes | São aplicados os critérios para iniciar a recuperação de incidentes. | Substancial | — | — | RS.MA-05 | — | — | RS.MA-05 |
| RS.AI-1 | Responder | RS.AI — Análise de Incidentes | É realizada uma análise forense para determinar o que ocorreu durante um incidente e a sua causa raiz. | Elevado | 9.1, 9.2, 10.2 | 5.26, 5.28 | RS.AN-03 | — | — | RS.AN-03 |
| RS.AI-2 | Responder | RS.AI — Análise de Incidentes | As ações realizadas durante uma investigação são registadas e a integridade e proveniência dos registos são preservadas. | Elevado | — | — | RS.AN-06 | — | — | RS.AN-06 |
| RS.AI-3 | Responder | RS.AI — Análise de Incidentes | Os dados e metadados do incidente são recolhidos, e a sua integridade e proveniência são preservadas. | Elevado | — | — | RS.AN-07 | — | — | RS.AN-07 |
| RS.AI-4 | Responder | RS.AI — Análise de Incidentes | O impacto do incidente é estimado e validado. | Elevado | 4.1, 9.1 | 5.7, 5.25, 5.27, 5.29, 5.30 | RS.AN-08 | — | — | RS.AN-08 |
| RS.NC-1 | Responder | RS.NC — Notificação e Comunicação de Incidentes | As partes interessadas internas e externas são notificadas dos incidentes. | Básico | 5.3, 7.4, 10.1 | 5.5, 5.24, 5.36, 5.37, 6.3, 6.7, 6.8 | RS.CO-02 | IR-6 | 17 | RS.CO-02 |
| RS.NC-2 | Responder | RS.NC — Notificação e Comunicação de Incidentes | Existe partilha voluntária de informação com partes interessadas externas. | — | 7.3, 7.4 | 5.5, 5.6, 5.26 | RS.CO-03 | — | 17 | — |
| RS.MI-1 | Responder | RS.MI — Mitigação | Os incidentes são contidos. | Substancial | 6.1.3, 7.5.2, 8.3, 10.2 | Anexo A 5.26, 5.37, 8.7, 8.16 | RS.M1-01 | IR-4 | 17 | RS.M1-01 |
| RS.MI-2 | Responder | RS.MI — Mitigação | Os incidentes são resolvidos. | Elevado | 6.1.3, 7.5.2, 8.3, 10.2 | 5.26, 8.7, 8.8 | RS.MI-02 | IR-4 | 17 No âmbito do objetivo Recuperar, pretende-se desenvolver e implementar práticas e manter planos de resiliência para restaurar qualquer capacidade e/ou serviço que tenha sido comprometido na sequência de um evento de cibersegurança.Estas práticas promovem a recuperação adequada das operações da entidade, para reduzir os impactos do incidente ocorrido.Entre outras, promove-se a execução de planos de continuidade de negócio, de recuperação, da execução de exercícios de simulação de situações de crise e de atualizações dos planos com vista à melhoria dos mesmos.Os controlos pertencentes a este objetivo visam assegurar a resiliência da entidade nas suas dimensões: Pessoas, Processos e Tecnologia.Os controlos tencionam que, no caso de existência de um incidente, a entidade consiga utilizar os controlos para suporte à recuperação em tempo útil da sua atividade. | — |
| RC.PR-1 | Recuperar | RC.PR — Plano de Recuperação | A entidade segue um plano de recuperação durante ou após um incidente. | Básico | 8.3, 10.2 | 5.19, 5.24, 5.26, 5.29, 8.13 | RC.PR-01 | CP-2 | 11 | RC.RP-01 |
| RC.PR-2 | Recuperar | RC.PR — Plano de Recuperação | As ações de recuperação são definidas, priorizadas e executadas. | — | — | — | RC.RP-02 | — | — | RC.PR-02 |
| RC.PR-3 | Recuperar | RC.PR — Plano de Recuperação | A integridade das cópias de segurança e de outros ativos de restauro é verificada antes da sua utilização. | Básico | — | — | RC.PR-03 | — | — | — |
| RC.PR-4 | Recuperar | RC.PR — Plano de Recuperação | A entidade considera os seus serviços críticos e a gestão dos riscos de cibersegurança para estabelecer normas operacionais pós-incidente. | — | — | — | RC.RP-04 | — | — | — |
| RC.PR-5 | Recuperar | RC.PR — Plano de Recuperação | A integridade dos ativos restaurados é verificada, os sistemas e serviços são restaurados e o estado de normal funcionamento é confirmado. | Substancial | — | — | RC.RP-05 | — | — | RC.PR-05 |
| RC.PR-6 | Recuperar | RC.PR — Plano de Recuperação | O fim da recuperação do incidente é documentado e declarado com base em critérios predefinidos. | Substancial | — | — | RC.RP-06 | — | — | RC.PR-06 |
| RC.CO-1 | Recuperar | RC.CO — Comunicações | As atividades de recuperação são comunicadas às partes interessadas, bem como aos órgãos de gestão, direção e administração. | Substancial | 5.1, 7.4, 10.1 | 5.6 | RC.CO-03 | CP-2 | — | RC.CO-03 |
| RC.CO-2 | Recuperar | RC.CO — Comunicações | As atualizações sobre a recuperação de incidentes são partilhadas utilizando métodos aprovados pela entidade. | Substancial | 4.2, 5.1, 5.3, 7.4 | 5.5, 5.6 | RC.CO-4 | CP-2 | — | RC.CO-04 |