[
  {
    "local_id": "GR.CO-1",
    "function": "gerir",
    "category": "GR.CO",
    "category_title_pt": "Contexto Organizacional",
    "title_pt": "A missão, visão, estratégia de gestão dos riscos e objetivos da entidade são definidos e comunicados.",
    "required_level": "substancial",
    "references": {
      "ISO/IEC 27001:2022": "5.1,5.2 6.1, 6.2,7.4",
      "ISO/IEC 27002:2022": "5.1",
      "NIST CSF 2.0": "GV.OC-01",
      "NIST SP 800-53 Rev.5": "SR-1",
      "CyFun 2025": "GV.OC-01"
    }
  },
  {
    "local_id": "GR.CO-2",
    "function": "gerir",
    "category": "GR.CO",
    "category_title_pt": "Contexto Organizacional",
    "title_pt": "As necessidades e expectativas das partes interessadas internas e externas são compreendidas e encontram-se refletidas na gestão dos riscos de cibersegurança da entidade.",
    "required_level": null,
    "references": {
      "NIST CSF 2.0": "GV.OC-02",
      "CyFun 2025": "GV.OC-02"
    }
  },
  {
    "local_id": "GR.CO-3",
    "function": "gerir",
    "category": "GR.CO",
    "category_title_pt": "Contexto Organizacional",
    "title_pt": "Os requisitos legais, regulamentares e contratuais para a cibersegurança, são compreendidos e geridos.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "4.1, 4.2, 7.2",
      "ISO/IEC 27002:2022": "5.5,5.31, 5.32, 5.33, 5.34, 5.35",
      "NIST CSF 2.0": "GV.CO-03",
      "NIST SP 800-53 Rev.5": "SR-1",
      "CIS CSC v8.1": "17",
      "CyFun 2025": "GV.OC-03"
    }
  },
  {
    "local_id": "GR.CO-4",
    "function": "gerir",
    "category": "GR.CO",
    "category_title_pt": "Contexto Organizacional",
    "title_pt": "Os serviços críticos da entidade dos quais as partes interessadas externas dependem são identificados e comunicados.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "6.1.2,7.1,7.5.2,8.1,8.2",
      "ISO/IEC 27002:2022": "5.5,7.11,7.12,8.6",
      "NIST CSF 2.0": "GV.OC-05",
      "CyFun 2025": "GV.OC-04"
    }
  },
  {
    "local_id": "GR.CO-5",
    "function": "gerir",
    "category": "GR.CO",
    "category_title_pt": "Contexto Organizacional",
    "title_pt": "Os requisitos de resiliência necessários para suportar a prestação de serviços críticos são definidos.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "6.2,7.5.2,8.1",
      "ISO/IEC 27002:2022": "5.5,5.29, 7.5, 7.11, 8.14",
      "NIST CSF 2.0": "GV.OC-05",
      "CyFun 2025": "GV.OC-04"
    }
  },
  {
    "local_id": "GR.CO-6",
    "function": "gerir",
    "category": "GR.CO",
    "category_title_pt": "Contexto Organizacional",
    "title_pt": "Os serviços externos dos quais a entidade depende, são identificados e comunicados.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "7.5.2",
      "ISO/IEC 27002:2022": "5.19,5.20,5.21",
      "NIST CSF 2.0": "GV.OC-05",
      "CyFun 2025": "GV.OC-05"
    }
  },
  {
    "local_id": "GR.GR-1",
    "function": "gerir",
    "category": "GR.GR",
    "category_title_pt": "Estratégia de Gestão do Risco",
    "title_pt": "O apetite e a tolerância ao risco da entidade são definidos, aprovados, comunicados e revistos regularmente.",
    "required_level": "substancial",
    "references": {
      "ISO/IEC 27001:2022": "5.1, 6.1.1, 6.1.3, 8.3, 9.3.2, 9.3.3",
      "NIST CSF 2.0": "GV.RM-02",
      "CyFun 2025": "GV.RM-02"
    }
  },
  {
    "local_id": "GR.GR-2",
    "function": "gerir",
    "category": "GR.GR",
    "category_title_pt": "Estratégia de Gestão do Risco",
    "title_pt": "Os processos de gestão dos riscos de cibersegurança estão incluídos na estratégia transversal de gestão dos riscos da entidade.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "6.1.1., 7.5.2, 9.3.2",
      "ISO/IEC 27002:2022": "5.8,8.6",
      "NIST CSF 2.0": "GV.RM-03, GV.RM-07",
      "CyFun 2025": "GV.RM-03"
    }
  },
  {
    "local_id": "GR.GR-3",
    "function": "gerir",
    "category": "GR.GR",
    "category_title_pt": "Estratégia de Gestão do Risco",
    "title_pt": "A entidade define a sua estratégia de tratamento do risco.",
    "required_level": "substancial",
    "references": {
      "NIST CSF 2.0": "GV.RM-04",
      "CyFun 2025": "GV.RM-04"
    }
  },
  {
    "local_id": "GR.GR-4",
    "function": "gerir",
    "category": "GR.GR",
    "category_title_pt": "Estratégia de Gestão do Risco",
    "title_pt": "A entidade estabelece um canal de comunicação interno para partilha de riscos de cibersegurança.",
    "required_level": "substancial",
    "references": {
      "NIST CSF 2.0": "GV.RM-05",
      "CyFun 2025": "GV.RM-05"
    }
  },
  {
    "local_id": "GR.GR-5",
    "function": "gerir",
    "category": "GR.GR",
    "category_title_pt": "Estratégia de Gestão do Risco",
    "title_pt": "A entidade define uma Política de Gestão dos Riscos de Cibersegurança a qual prevê uma metodologia para a gestão dos riscos de cibersegurança.",
    "required_level": "substancial",
    "references": {
      "NIST CSF 2.0": "GV.PO-02"
    }
  },
  {
    "local_id": "GR.FR-1",
    "function": "gerir",
    "category": "GR.FR",
    "category_title_pt": "Funções, Responsabilidades e Autoridades",
    "title_pt": "Os órgãos de gestão, direção e administração compreendem as suas funções e responsabilidades, e promovem uma cultura de cibersegurança, ética e de melhoria contínua.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "5.1, 5.3, 7.2, 8.1",
      "ISO/IEC 27002:2022": "5.2,5.4, 5.12, 6.3",
      "NIST CSF 2.0": "GV.RR-01",
      "NIST SP 800-53 Rev.5": "AT-3",
      "CIS CSC v8.1": "14,17",
      "CyFun 2025": "GV.RR-01"
    }
  },
  {
    "local_id": "GR.FR-2",
    "function": "gerir",
    "category": "GR.FR",
    "category_title_pt": "Funções, Responsabilidades e Autoridades",
    "title_pt": "São atribuídos recursos adequados e proporcionais à estratégia de gestão do risco de cibersegurança, às funções, responsabilidades e políticas de cibersegurança da entidade.",
    "required_level": "substancial",
    "references": {
      "NIST CSF 2.0": "GV.RR-03",
      "CyFun 2025": "GV.RR-03"
    }
  },
  {
    "local_id": "GR.FR-3",
    "function": "gerir",
    "category": "GR.FR",
    "category_title_pt": "Funções, Responsabilidades e Autoridades",
    "title_pt": "As funções, responsabilidades e autoridades em matéria de cibersegurança são definidas e comunicadas ao pessoal, fornecedores e partes interessadas.",
    "required_level": "substancial",
    "references": {
      "ISO/IEC 27001:2022": "5.3, 5.1, 7.5, 7.5.2, 7.5.3, 9.1, 9.3",
      "ISO/IEC 27002:2022": "5.2, 5.4, 5.5",
      "NIST CSF 2.0": "GV.RR-02",
      "CIS CSC v8.1": "14,17",
      "CyFun 2025": "GV.RR-02"
    }
  },
  {
    "local_id": "GR.FR-4",
    "function": "gerir",
    "category": "GR.FR",
    "category_title_pt": "Funções, Responsabilidades e Autoridades",
    "title_pt": "A cibersegurança é contemplada nos processos de gestão de recursos humanos.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "4.1, 4.2, 7.1, 7.3",
      "ISO/IEC 27002:2022": "5.4, 5.5, 5.11, 6.1, 6.2, 6.3, 6.4, 6.5, 6.6, 6.7",
      "NIST CSF 2.0": "GV.RR-04",
      "NIST SP 800-53 Rev.5": "PS-1, AT-1, AT-2 e AT-3",
      "CyFun 2025": "GV.RR-04"
    }
  },
  {
    "local_id": "GR.PP-1",
    "function": "gerir",
    "category": "GR.PP",
    "category_title_pt": "Políticas e Planos de Cibersegurança",
    "title_pt": "As Políticas para a gestão de Cibersegurança, incluindo a Política de Cibersegurança, são definidas com base no contexto organizacional, na estratégia de cibersegurança e nas prioridades da entidade.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "4,4, 7.2, 7.5.2., 9.1",
      "ISO/IEC 27002:2022": "5.1, 5.5, 5.8",
      "NIST CSF 2.0": "GV.PO-1",
      "NIST SP 800-53 Rev.5": "SR-1",
      "CIS CSC v8.1": "14",
      "CyFun 2025": "GV.PO-01"
    }
  },
  {
    "local_id": "GR.PP-2",
    "function": "gerir",
    "category": "GR.PP",
    "category_title_pt": "Políticas e Planos de Cibersegurança",
    "title_pt": "O Plano de Resposta a Incidentes é definido, comunicado, mantido e melhorado.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "4.1, 4.2, 6.2, 7.5.2, 7.5.3, 8.1, 9.3.2, 10.2",
      "ISO/IEC 27002:2022": "5.5, 5.20, 5.24, 5.29, 8.6",
      "NIST CSF 2.0": "ID.IM-04",
      "NIST SP 800-53 Rev.5": "IR-8",
      "CIS CSC v8.1": "17",
      "CyFun 2025": "ID.IM-04"
    }
  },
  {
    "local_id": "GR.PP-3",
    "function": "gerir",
    "category": "GR.PP",
    "category_title_pt": "Políticas e Planos de Cibersegurança",
    "title_pt": "O Plano de Recuperação de Desastres é definido, comunicado, mantido e melhorado.",
    "required_level": "substancial",
    "references": {
      "ISO/IEC 27001:2022": "4.1, 4.2, 6.2, 7.5.2, 7.5.3, 8.1, 9.3.2, 10.2",
      "ISO/IEC 27002:2022": "5.5, 5.20, 5.29, 8.6",
      "NIST CSF 2.0": "ID.IM-04",
      "NIST SP 800-53 Rev.5": "CP-2",
      "CIS CSC v8.1": "17",
      "CyFun 2025": "ID.IM-04"
    }
  },
  {
    "local_id": "GR.SP-1",
    "function": "gerir",
    "category": "GR.SP",
    "category_title_pt": "Supervisão",
    "title_pt": "Os resultados da estratégia de gestão dos riscos de cibersegurança são analisados para informar os órgãos de gestão, direção e administração e, caso necessário, para adaptar a estratégia da entidade quanto aos riscos.",
    "required_level": null,
    "references": {
      "NIST CSF 2.0": "GV.OV-01"
    }
  },
  {
    "local_id": "GR.SP-2",
    "function": "gerir",
    "category": "GR.SP",
    "category_title_pt": "Supervisão",
    "title_pt": "A estratégia de gestão de riscos de cibersegurança é regularmente revista e adaptada para garantir a cobertura dos requisitos e riscos organizacionais.",
    "required_level": "elevado",
    "references": {
      "NIST CSF 2.0": "GV.OV-O2",
      "CyFun 2025": "GV.OV-02"
    }
  },
  {
    "local_id": "GR.SP-3",
    "function": "gerir",
    "category": "GR.SP",
    "category_title_pt": "Supervisão",
    "title_pt": "O desempenho da gestão dos riscos de cibersegurança da entidade é avaliado e revisto para alterações necessárias.",
    "required_level": "elevado",
    "references": {
      "NIST CSF 2.0": "GR.OV-3",
      "CyFun 2025": "GV.OV-03"
    }
  },
  {
    "local_id": "GR.CA-1",
    "function": "gerir",
    "category": "GR.CA",
    "category_title_pt": "Gestão do Risco na Cadeia de Abastecimento",
    "title_pt": "As políticas e processos de gestão dos riscos da cadeia de abastecimento são identificados, estabelecidos, avaliados e geridos.",
    "required_level": "elevado",
    "references": {
      "ISO/IEC 27001:2022": "5.1, 5.3, 6.1.1, 6.1.2, 6.1.3, 6.2, 7.1, 7.5.2., 7.5.3, 8.1, 8.2, 8.3, 9.3.2",
      "ISO/IEC 27002:2022": "5.19, 5.20, 5.21, 5.22",
      "NIST CSF 2.0": "GV.SC-01",
      "NIST SP 800-53 Rev.5": "RA-3",
      "CyFun 2025": "GV.SC-01"
    }
  },
  {
    "local_id": "GR.CA-2",
    "function": "gerir",
    "category": "GR.CA",
    "category_title_pt": "Gestão do Risco na Cadeia de Abastecimento",
    "title_pt": "Os papéis e responsabilidades dos parceiros, fornecedores e clientes no âmbito da gestão da cibersegurança são definidos, comunicados e coordenados interna e externamente.",
    "required_level": null,
    "references": {
      "ISO/IEC 27001:2022": "5.3, 8.1, 9.2",
      "ISO/IEC 27002:2022": "5.2, 5.4, 5.12, 5.20, 5.22, 6.3, 8.30",
      "NIST CSF 2.0": "GV.SC-02",
      "NIST SP 800-53 Rev.5": "AT-3",
      "CIS CSC v8.1": "14",
      "CyFun 2025": "GV.SC-02"
    }
  },
  {
    "local_id": "GR.CA-3",
    "function": "gerir",
    "category": "GR.CA",
    "category_title_pt": "Gestão do Risco na Cadeia de Abastecimento",
    "title_pt": "Os processos de gestão dos riscos de cibersegurança da cadeia de abastecimento da entidade estão incluídos nos processos transversais de cibersegurança e na estratégia de gestão dos riscos da entidade.",
    "required_level": "substancial",
    "references": {
      "NIST CSF 2.0": "GV.SC-03",
      "CyFun 2025": "GV.SC-03"
    }
  },
  {
    "local_id": "GR.CA-4",
    "function": "gerir",
    "category": "GR.CA",
    "category_title_pt": "Gestão do Risco na Cadeia de Abastecimento",
    "title_pt": "Os fornecedores são periodicamente avaliados.",
    "required_level": null,
    "references": {
      "ISO/IEC 27001:2022": "8.1, 9.2",
      "ISO/IEC 27002:2022": "5.20, 5.22",
      "NIST CSF 2.0": "GV.SC-04"
    }
  },
  {
    "local_id": "GR.CA-5",
    "function": "gerir",
    "category": "GR.CA",
    "category_title_pt": "Gestão do Risco na Cadeia de Abastecimento",
    "title_pt": "A entidade define e integra nos contratos e outros acordos com fornecedores os requisitos para gerir os riscos de cibersegurança da cadeia de abastecimento.",
    "required_level": "substancial",
    "references": {
      "ISO/IEC 27001:2022": "6.1.3, 7.5.2, 8.1, 9.1",
      "ISO/IEC 27002:2022": "5.20, 5.35",
      "NIST CSF 2.0": "GV.SC-05",
      "CyFun 2025": "GV.SC-05"
    }
  },
  {
    "local_id": "GR.CA-6",
    "function": "gerir",
    "category": "GR.CA",
    "category_title_pt": "Gestão do Risco na Cadeia de Abastecimento",
    "title_pt": "Antes da contratação de fornecedores são realizados processos de devida diligência para reduzir os riscos da entidade.",
    "required_level": "elevado",
    "references": {
      "NIST CSF 2.0": "GV.SC-06",
      "CyFun 2025": "GV.SC-06"
    }
  },
  {
    "local_id": "GR.CA-7",
    "function": "gerir",
    "category": "GR.CA",
    "category_title_pt": "Gestão do Risco na Cadeia de Abastecimento",
    "title_pt": "A entidade avalia os riscos de cibersegurança da cadeia de abastecimento.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "5.1, 6.1.2, 7.4, 7.5.2, 7.5.3, 8.1, 8.2",
      "ISO/IEC 27002:2022": "5.19, 5.21, 5.22",
      "NIST CSF 2.0": "GV.SC-07",
      "NIST SP 800-53 Rev.5": "PM-9",
      "CyFun 2025": "GV.SC-07"
    }
  },
  {
    "local_id": "GR.CA-8",
    "function": "gerir",
    "category": "GR.CA",
    "category_title_pt": "Gestão do Risco na Cadeia de Abastecimento",
    "title_pt": "O Plano de Resposta a Incidentes e o Plano de Recuperação de Desastres são testados com o acompanhamento dos fornecedores.",
    "required_level": "substancial",
    "references": {
      "ISO/IEC 27001:2022": "6.1.3, 7.5.2, 8.1, 8.3",
      "ISO/IEC 27002:2022": "5.26, 5.29",
      "NIST CSF 2.0": "GV.SC-08",
      "NIST SP 800-53 Rev.5": "CP-2",
      "CIS CSC v8.1": "18",
      "CyFun 2025": "GV.SC-08"
    }
  },
  {
    "local_id": "GR.CA-9",
    "function": "gerir",
    "category": "GR.CA",
    "category_title_pt": "Gestão do Risco na Cadeia de Abastecimento",
    "title_pt": "As práticas de cibersegurança da cadeia de abastecimento são integradas em programas de cibersegurança e de gestão de riscos organizacionais, e o seu desempenho é monitorizado ao longo do ciclo de vida dos produtos e serviços tecnológicos.",
    "required_level": null,
    "references": {
      "NIST CSF 2.0": "GV.SC-09",
      "CyFun 2025": "GV.SC-09"
    }
  },
  {
    "local_id": "GR.CA-10",
    "function": "gerir",
    "category": "GR.CA",
    "category_title_pt": "Gestão do Risco na Cadeia de Abastecimento",
    "title_pt": "Aquando da definição de processos de gestão dos riscos da cadeia de abastecimento de cibersegurança a entidade inclui disposições para atividades que possam ocorrer durante ou após a cessação de contratos com fornecedores ou parceiros.",
    "required_level": null,
    "references": {
      "NIST CSF 2.0": "GV.SC-10",
      "CyFun 2025": "GV.SC-10 O objetivo Identificar pretende estabelecer uma base comum, transversal à entidade, para a abordagem à gestão de riscos de cibersegurança no contexto da envolvência das suas redes e sistemas de informação, pessoas, ativos, dados e respetivas capacidades.A entidade identifica quais os ativos que suportam os seus processos críticos e os riscos associados relevantes.Esta identificação permite que a entidade consiga definir e priorizar os seus recursos e investimentos, de acordo com os seus objetivos gerais e com a sua estratégia de gestão de riscos.As práticas que se enquadram no objetivo Identificar são basilares para a efetiva utilização do QNRCS.Conhecer, num contexto organizacional, os recursos que suportam as funções importantes e os respetivos riscos associados, permite às entidades priorizar os seus esforços de forma consistente."
    }
  },
  {
    "local_id": "ID.GA-1",
    "function": "identificar",
    "category": "ID.GA",
    "category_title_pt": "Gestão de Ativos",
    "title_pt": "Os equipamentos e os demais recursos físicos geridos ou detidos pela entidade são inventariados.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "7.5.2, 7.5.3, 8.1",
      "ISO/IEC 27002:2022": "5.9, 7.1",
      "NIST CSF 2.0": "ID.AM-01",
      "NIST SP 800-53 Rev.5": "CM — 8",
      "CIS CSC v8.1": "1",
      "CyFun 2025": "ID.AM-01"
    }
  },
  {
    "local_id": "ID.GA-2",
    "function": "identificar",
    "category": "ID.GA",
    "category_title_pt": "Gestão de Ativos",
    "title_pt": "Os recursos lógicos que suportam os processos dos serviços da entidade são inventariados",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "7.5.2, 7.5.3, 8.1",
      "ISO/IEC 27002:2022": "5.9, 8.30",
      "NIST CSF 2.0": "ID.AM-02",
      "NIST SP 800-53 Rev.5": "CM-8",
      "CIS CSC v8.1": "2",
      "CyFun 2025": "ID.AM-02"
    }
  },
  {
    "local_id": "ID.GA-3",
    "function": "identificar",
    "category": "ID.GA",
    "category_title_pt": "Gestão de Ativos",
    "title_pt": "As redes e fluxos de comunicação são mapeados.",
    "required_level": "substancial",
    "references": {
      "ISO/IEC 27001:2022": "7.5.2, 7.5.3, 8.1, 9.1",
      "ISO/IEC 27002:2022": "5.5., 5.9, 8.12",
      "NIST CSF 2.0": "ID.AM-03",
      "NIST SP 800-53 Rev.5": "AC-4",
      "CIS CSC v8.1": "12",
      "CyFun 2025": "ID.AM-03"
    }
  },
  {
    "local_id": "ID.GA-4",
    "function": "identificar",
    "category": "ID.GA",
    "category_title_pt": "Gestão de Ativos",
    "title_pt": "Os serviços prestados por fornecedores são inventariados.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "7.5.2, 7.5.3, 8.1",
      "ISO/IEC 27002:2022": "5.9, 5.12, 8.6",
      "NIST CSF 2.0": "ID.AM-04",
      "NIST SP 800-53 Rev.5": "AC-20",
      "CIS CSC v8.1": "12",
      "CyFun 2025": "ID.AM-04"
    }
  },
  {
    "local_id": "ID.GA-5",
    "function": "identificar",
    "category": "ID.GA",
    "category_title_pt": "Gestão de Ativos",
    "title_pt": "Os ativos são classificados de acordo com a sua criticidade.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27002:2022": "5.9, 5.12, 8.6",
      "NIST CSF 2.0": "ID.AM-05",
      "CIS CSC v8.1": "3",
      "CyFun 2025": "ID.AM-05"
    }
  },
  {
    "local_id": "ID.GA-6",
    "function": "identificar",
    "category": "ID.GA",
    "category_title_pt": "Gestão de Ativos",
    "title_pt": "Os dados e respetivos metadados são identificados e registados.",
    "required_level": "elevado",
    "references": {
      "NIST CSF 2.0": "ID.AM-07",
      "CyFun 2025": "ID.AM-07"
    }
  },
  {
    "local_id": "ID.GA-7",
    "function": "identificar",
    "category": "ID.GA",
    "category_title_pt": "Gestão de Ativos",
    "title_pt": "Sistemas, hardware, software, serviços e dados são geridos ao longo dos seus ciclos de vida",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "7.1, 7.5.2, 8.1, 9.1",
      "ISO/IEC 27002:2022": "5.10, 5.11, 5.19, 5.37, 7.2, 7.9, 7.10, 7.13, 7.14, 8.7, 8.11, 8.12, 8.15, 8.21",
      "NIST CSF 2.0": "PR.PS-03, PR.PS-02, ID.AM-08",
      "CIS CSC v8.1": "1,4,7",
      "CyFun 2025": "ID.AM-08"
    }
  },
  {
    "local_id": "ID.GA-8",
    "function": "identificar",
    "category": "ID.GA",
    "category_title_pt": "Gestão de Ativos",
    "title_pt": "Os dados são destruídos de acordo com a Política de Classificação e Gestão de Dados definida.",
    "required_level": "substancial",
    "references": {
      "ISO/IEC 27001:2022": "7.5.2, 7.5.3., 8.1",
      "ISO/IEC 27002:2022": "5.10, 7.10, 7.14, 8.10",
      "NIST CSF 2.0": "ID.AM-08",
      "NIST SP 800-53 Rev.5": "MP-4"
    }
  },
  {
    "local_id": "ID.GA-9",
    "function": "identificar",
    "category": "ID.GA",
    "category_title_pt": "Gestão de Ativos",
    "title_pt": "A entidade implementa um processo de gestão de alterações.",
    "required_level": "elevado",
    "references": {
      "ISO/IEC 27001:2022": "― 7.5.3, 8.1",
      "ISO/IEC 27002:2022": "― 8.9, 8.19, 8.32, 8.33",
      "NIST CSF 2.0": "ID.RA-07",
      "NIST SP 800-53 Rev.5": "CM-9",
      "CIS CSC v8.1": "4, 5, 12"
    }
  },
  {
    "local_id": "ID.AR-1",
    "function": "identificar",
    "category": "ID.AR",
    "category_title_pt": "Avaliação do Risco",
    "title_pt": "As vulnerabilidades dos ativos são identificadas e documentadas com base na metodologia definida.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "6.1.2, 6.1.3, 7.5.2, 8.2, 8.3",
      "ISO/IEC 27002:2022": "5.36,8.8, 8.33",
      "NIST CSF 2.0": "ID.RA-01",
      "NIST SP 800-53 Rev.5": "RA-5",
      "CIS CSC v8.1": "7",
      "CyFun 2025": "ID.RA-01"
    }
  },
  {
    "local_id": "ID.AR-2",
    "function": "identificar",
    "category": "ID.AR",
    "category_title_pt": "Avaliação do Risco",
    "title_pt": "A entidade partilha informações sobre ameaças de cibersegurança com partes interessadas.",
    "required_level": null,
    "references": {
      "ISO/IEC 27001:2022": "4.2, 6.1.3, 7.3, 7.4, 8.3",
      "ISO/IEC 27002:2022": "5.5, 5.6, 5.7, 5.12, 5.13, 5.20, 5.21",
      "NIST CSF 2.0": "ID.RA-02",
      "CIS CSC v8.1": "14",
      "CyFun 2025": "ID.RA-02"
    }
  },
  {
    "local_id": "ID.AR-3",
    "function": "identificar",
    "category": "ID.AR",
    "category_title_pt": "Avaliação do Risco",
    "title_pt": "As ameaças internas e externas são identificadas e documentadas com base na metodologia definida.",
    "required_level": null,
    "references": {
      "ISO/IEC 27001:2022": "6.1.2",
      "NIST CSF 2.0": "ID.RA-03",
      "NIST SP 800-53 Rev.5": "RA-3",
      "CIS CSC v8.1": "7",
      "CyFun 2025": "ID.RA-05"
    }
  },
  {
    "local_id": "ID.AR-4",
    "function": "identificar",
    "category": "ID.AR",
    "category_title_pt": "Avaliação do Risco",
    "title_pt": "São identificados e registados potenciais impactos e as respetivas probabilidades de ameaças.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "6, 8",
      "ISO/IEC 27002:2022": "5.36, 6.8, 8.8, 8.32",
      "NIST CSF 2.0": "ID.RA-04",
      "CIS CSC v8.1": "2, 4, 5, 16, 18",
      "CyFun 2025": "ID.RA-06"
    }
  },
  {
    "local_id": "ID.AR-5",
    "function": "identificar",
    "category": "ID.AR",
    "category_title_pt": "Avaliação do Risco",
    "title_pt": "A entidade avalia os riscos identificados.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "4.1, 6.1.2, 7.4, 7.5.2, 8.2, 9.3.2",
      "ISO/IEC 27002:2022": "5.5, 5.27, 6.8, 8.8",
      "NIST CSF 2.0": "ID.RA-05",
      "NIST SP 800-53 Rev.5": "RA-3",
      "CIS CSC v8.1": "7, 10",
      "CyFun 2025": "ID.RA-05"
    }
  },
  {
    "local_id": "ID.AR-6",
    "function": "identificar",
    "category": "ID.AR",
    "category_title_pt": "Avaliação do Risco",
    "title_pt": "A entidade garante que as respostas aos riscos são identificadas e priorizadas.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "5.1, 6.1.3, 8.3, 10.1",
      "ISO/IEC 27002:2022": "8.8",
      "NIST CSF 2.0": "ID.RA-06",
      "NIST SP 800-53 Rev.5": "RA-7",
      "CIS CSC v8.1": "7, 10",
      "CyFun 2025": "ID.RA-06"
    }
  },
  {
    "local_id": "ID.AR-7",
    "function": "identificar",
    "category": "ID.AR",
    "category_title_pt": "Avaliação do Risco",
    "title_pt": "A entidade define processos para receber informação, analisar e responder a vulnerabilidades provenientes de fontes internas e externas.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "4.4, 7.5.2, 8.3, 9.1",
      "ISO/IEC 27002:2022": "5.7, 5.37,8.8, 8.16, 8.29",
      "NIST CSF 2.0": "ID.RA-08",
      "CIS CSC v8.1": "17",
      "CyFun 2025": "ID.RA-08"
    }
  },
  {
    "local_id": "ID.MC-1",
    "function": "identificar",
    "category": "ID.MC",
    "category_title_pt": "Melhoria Contínua",
    "title_pt": "As melhorias são identificadas através de avaliações e a informação é partilhada com as partes interessadas.",
    "required_level": null,
    "references": {
      "ISO/IEC 27001:2022": "7.4",
      "ISO/IEC 27002:2022": "5.27",
      "NIST CSF 2.0": "ID.IM-01"
    }
  },
  {
    "local_id": "ID.MC-2",
    "function": "identificar",
    "category": "ID.MC",
    "category_title_pt": "Melhoria Contínua",
    "title_pt": "São identificadas melhorias a partir de testes e exercícios de cibersegurança.",
    "required_level": "elevado",
    "references": {
      "ISO/IEC 27001:2022": "6.1.3, 7.5.2, 8.1, 8.3",
      "ISO/IEC 27002:2022": "5.26, 5.29",
      "NIST CSF 2.0": "ID.IM-02",
      "NIST SP 800-53 Rev.5": "CP-4, IR-3, PM-14",
      "CIS CSC v8.1": "18",
      "CyFun 2025": "ID.IM-02"
    }
  },
  {
    "local_id": "ID.MC-3",
    "function": "identificar",
    "category": "ID.MC",
    "category_title_pt": "Melhoria Contínua",
    "title_pt": "As melhorias são identificadas a partir da execução de processos, procedimentos e atividades operacionais.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "9.1, 9.2.1, 10.1",
      "ISO/IEC 27002:2022": "5.27",
      "NIST CSF 2.0": "ID.IM-03",
      "CyFun 2025": "ID.IM-03 Pretende-se, como resultado do objetivo Proteger, proporcionar o desenvolvimento e a implementação de controlos de cibersegurança necessários à garantia de prestação de serviços ou bens, reforçando a capacidade da entidade em limitar ou conter o impacto de uma eventual ocorrência de um incidente de cibersegurança.Através da implementação de controlos que protejam os processos organizativos e os ativos da entidade, independentemente da sua natureza tecnológica, a entidade garante a sua proteção em três dimensões: Pessoas, Processos e Tecnologia.Esta capacidade potencia-se e assegura-se, na gestão da identidade eletrónica e respetivas autorizações, na realização de ações de formação e de sensibilização e na definição e implementação de procedimentos, processos e tecnologias de proteção da informação, entre outras."
    }
  },
  {
    "local_id": "PR.GA-1",
    "function": "proteger",
    "category": "PR.GA",
    "category_title_pt": "Gestão de Identidades, Autenticação e Controlo de Acessos",
    "title_pt": "Os ciclos de vida de gestão de identidades são definidos",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "6.1.1, 8.1",
      "ISO/IEC 27002:2022": "5.16, 5.17, 5.18, 8.2, 8.3, 8.5",
      "NIST CSF 2.0": "PR.AA-01",
      "NIST SP 800-53 Rev.5": "AC-2",
      "CIS CSC v8.1": "1, 3, 4, 5, 12, 13",
      "CyFun 2025": "PR.AA-01"
    }
  },
  {
    "local_id": "PR.GA-2",
    "function": "proteger",
    "category": "PR.GA",
    "category_title_pt": "Gestão de Identidades, Autenticação e Controlo de Acessos",
    "title_pt": "A entidade verifica a identidade dos utilizadores e vincula-a às respetivas credenciais.",
    "required_level": "substancial",
    "references": {
      "ISO/IEC 27001:2022": "7.5.2, 8.1",
      "ISO/IEC 27002:2022": "5.15, 8.2, 8.3, 8.18",
      "NIST CSF 2.0": "PR.AA-02, PR.AA-04",
      "NIST SP 800-53 Rev.5": "AC-17",
      "CIS CSC v8.1": "3,4,5,6",
      "CyFun 2025": "PR.AA-02"
    }
  },
  {
    "local_id": "PR.GA-3",
    "function": "proteger",
    "category": "PR.GA",
    "category_title_pt": "Gestão de Identidades, Autenticação e Controlo de Acessos",
    "title_pt": "São definidos mecanismos de autenticação de utilizadores, dispositivos e outros ativos de sistemas de informação.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "6.1.2, 7.5.2, 8.1",
      "ISO/IEC 27002:2022": "5.16, 5.17, 5.34, 8.5, 8.27",
      "NIST CSF 2.0": "PR.AA-03",
      "NIST SP 800-53 Rev.5": "AC-17",
      "CIS CSC v8.1": "3,4,5,6,9,12,13",
      "CyFun 2025": "PR.AA-03"
    }
  },
  {
    "local_id": "PR.GA-4",
    "function": "proteger",
    "category": "PR.GA",
    "category_title_pt": "Gestão de Identidades, Autenticação e Controlo de Acessos",
    "title_pt": "As afirmações de identidade são protegidas, transmitidas e verificadas.",
    "required_level": "elevado",
    "references": {
      "NIST CSF 2.0": "PR.AA-04",
      "CyFun 2025": "PR.AA-04"
    }
  },
  {
    "local_id": "PR.GA-5",
    "function": "proteger",
    "category": "PR.GA",
    "category_title_pt": "Gestão de Identidades, Autenticação e Controlo de Acessos",
    "title_pt": "As permissões de acesso, os direitos e as autorizações são definidas numa política, são geridas, aplicadas e atualizadas, e incorporam os princípios do menor privilégio e da separação de funções.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "8.1, 9.1, 9,2",
      "ISO/IEC 27002:2022": "5.3, 5.15, 8.2, 8.3, 8.4, 8.18",
      "NIST CSF 2.0": "PR.AA-05",
      "NIST SP 800-53 Rev.5": "AC-17",
      "CIS CSC v8.1": "3, 4, 6, 7, 12, 13, 16",
      "CyFun 2025": "PR.AA-05"
    }
  },
  {
    "local_id": "PR.GA-6",
    "function": "proteger",
    "category": "PR.GA",
    "category_title_pt": "Gestão de Identidades, Autenticação e Controlo de Acessos",
    "title_pt": "Os controlos de acesso físico a ativos da entidade são geridos, monitorizados e aplicados em função do risco.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "8.1",
      "ISO/IEC 27002:2022": "7.1, 7.2, 7.3, 7.4, 7.5, 7.6, 7.8, 7.9, 7.11, 7.12, 8.1",
      "NIST CSF 2.0": "PR.AA-06",
      "NIST SP 800-53 Rev.5": "PE-2",
      "CyFun 2025": "PR.AS-06"
    }
  },
  {
    "local_id": "PR.GA-7",
    "function": "proteger",
    "category": "PR.GA",
    "category_title_pt": "Gestão de Identidades, Autenticação e Controlo de Acessos",
    "title_pt": "A entidade gere os seus acessos remotos.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "7.52, 8.1",
      "ISO/IEC 27002:2022": "5.14, 6.7, 7.9, 8.1, 8.5, 8.11, 8.20",
      "NIST SP 800-53 Rev.5": "AC-17",
      "CIS CSC v8.1": "5, 6, 13"
    }
  },
  {
    "local_id": "PR.FC-1",
    "function": "proteger",
    "category": "PR.FC",
    "category_title_pt": "Formação e Sensibilização",
    "title_pt": "Todo o pessoal é sensibilizado e formado em matérias de cibersegurança.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "7.2, 7.3, 7.4, 9.1",
      "ISO/IEC 27002:2022": "6.3, 8.7",
      "NIST CSF 2.0": "PR.AT-01",
      "NIST SP 800-53 Rev.5": "AT-2",
      "CIS CSC v8.1": "14, 16",
      "CyFun 2025": "PR.AT-01"
    }
  },
  {
    "local_id": "PR.FC-2",
    "function": "proteger",
    "category": "PR.FC",
    "category_title_pt": "Formação e Sensibilização",
    "title_pt": "O pessoal com funções especializadas em cibersegurança e os órgãos de gestão, direção e administração recebem formação adequada para o exercício das suas funções.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "5.3, 7.2, 7.3",
      "ISO/IEC 27002:2022": "5.2, 6.3",
      "NIST CSF 2.0": "PR.AT-02",
      "NIST SP 800-53 Rev.5": "AT-3",
      "CIS CSC v8.1": "4,14,16",
      "CyFun 2025": "PR-AT-02"
    }
  },
  {
    "local_id": "PR.SD-1",
    "function": "proteger",
    "category": "PR.SD",
    "category_title_pt": "Segurança de Dados",
    "title_pt": "A entidade protege a confidencialidade, integridade e disponibilidade dos dados em repouso.",
    "required_level": "substancial",
    "references": {
      "ISO/IEC 27001:2022": "8.1",
      "ISO/IEC 27002:2022": "5.10, 8.11, 8.17",
      "NIST CSF 2.0": "PR.DS-01",
      "CIS CSC v8.1": "3",
      "CyFun 2025": "PR.DS-01"
    }
  },
  {
    "local_id": "PR.SD-2",
    "function": "proteger",
    "category": "PR.SD",
    "category_title_pt": "Segurança de Dados",
    "title_pt": "A entidade protege a confidencialidade, integridade e disponibilidade dos dados em trânsito.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "8.1",
      "ISO/IEC 27002:2022": "5.10, 5.14, 8.11,8.20, 8.26",
      "NIST CSF 2.0": "PR.DS-02",
      "CIS CSC v8.1": "3",
      "CyFun 2025": "PR.DS-02"
    }
  },
  {
    "local_id": "PR.SD-3",
    "function": "proteger",
    "category": "PR.SD",
    "category_title_pt": "Segurança de Dados",
    "title_pt": "A entidade implementa proteções que evitem exfiltração de dados.",
    "required_level": "elevado",
    "references": {
      "ISO/IEC 27001:2022": "8.1",
      "ISO/IEC 27002:2022": "5.3, 5.10, 5.13, 5.14, 5.15, 6.1, 6.2, 6.5, 6.6, 7.5, 7.6, 7.8, 8.2, 8.3, 8.4, 8.11, 8.12, 8.18, 8.20, 8.22, 8.24, 8.26",
      "NIST CSF 2.0": "PR.DS-02",
      "CIS CSC v8.1": "3"
    }
  },
  {
    "local_id": "PR.SD-4",
    "function": "proteger",
    "category": "PR.SD",
    "category_title_pt": "Segurança de Dados",
    "title_pt": "A entidade protege a confidencialidade, integridade e disponibilidade dos dados em uso.",
    "required_level": "elevado",
    "references": {
      "NIST CSF 2.0": "PR.DS-10",
      "CyFun 2025": "PR.DS-10"
    }
  },
  {
    "local_id": "PR.SD-5",
    "function": "proteger",
    "category": "PR.SD",
    "category_title_pt": "Segurança de Dados",
    "title_pt": "São realizadas, mantidas e testadas cópias de segurança dos dados da entidade.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "6.2, 7.5.1, 8.1",
      "ISO/IEC 27002:2022": "5.1, 5.20, 5.23, 5.29, 5.32, 5.33, 5.37, 6.7, 8.6, 8.7, 8.9, 8.12, 8.13, 8.17",
      "NIST CSF 2.0": "PR.DS-11",
      "NIST SP 800-53 Rev.5": "CP-9",
      "CIS CSC v8.1": "11",
      "CyFun 2025": "PR.DS-11"
    }
  },
  {
    "local_id": "PR.SP-1",
    "function": "proteger",
    "category": "PR.SP",
    "category_title_pt": "Segurança de plataformas",
    "title_pt": "É criada e mantida uma configuração base de redes e sistemas de informação que incorpora os princípios de segurança.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "7.5.2, 7.5.3, 8.1, 9.1",
      "ISO/IEC 27002:2022": "8.16, 8.19, 8.28, 8.32",
      "NIST CSF 2.0": "PR.PS-01",
      "NIST SP 800-53 Rev.5": "CM-2",
      "CIS CSC v8.1": "1, 4, 7, 12",
      "CyFun 2025": "PR.PS01"
    }
  },
  {
    "local_id": "PR.SP-2",
    "function": "proteger",
    "category": "PR.SP",
    "category_title_pt": "Segurança de plataformas",
    "title_pt": "Os logs de sistemas e o histórico de atividades são documentados, implementados e revistos de acordo com as Políticas da entidade.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "7.5.2., 7.5.3, 9.1, 9.2",
      "ISO/IEC 27002:2022": "5.37, 8.15, 8.17, 8.34",
      "NIST CSF 2.0": "PR.PS-04",
      "CIS CSC v8.1": "1, 3, 4, 8",
      "CyFun 2025": "PR.PS-04"
    }
  },
  {
    "local_id": "PR.SP-3",
    "function": "proteger",
    "category": "PR.SP",
    "category_title_pt": "Segurança de plataformas",
    "title_pt": "A instalação e execução de software não autorizado são impedidas.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27002:2022": "8.7",
      "NIST CSF 2.0": "PR.PS-06",
      "NIST SP 800-53 Rev.5": "CM-7, CM-11",
      "CIS CSC v8.1": "2, 3",
      "CyFun 2025": "PR.PS-05"
    }
  },
  {
    "local_id": "PR.SP-4",
    "function": "proteger",
    "category": "PR.SP",
    "category_title_pt": "Segurança de plataformas",
    "title_pt": "É implementado um ciclo de vida de desenvolvimento seguro de software.",
    "required_level": "substancial",
    "references": {
      "ISO/IEC 27001:2022": "8.1",
      "ISO/IEC 27002:2022": "5.8, 8.17, 8.25, 8.27, 8.28, 8.30, 8.33",
      "NIST CSF 2.0": "PR.PS-06",
      "NIST SP 800-53 Rev.5": "CM-9",
      "CIS CSC v8.1": "16",
      "CyFun 2025": "PR.PS-06"
    }
  },
  {
    "local_id": "PR.RI-1",
    "function": "proteger",
    "category": "PR.RI",
    "category_title_pt": "Resiliência da Infraestrutura Tecnológica",
    "title_pt": "A entidade protege a integridade das redes de comunicações.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "8.1",
      "ISO/IEC 27002:2022": "5.14, 5.37, 8.8, 8.11, 8.16, 8.20, 8.21, 8.22, 8.23, 8.26",
      "NIST CSF 2.0": "PR.IR-01",
      "CIS CSC v8.1": "3, 4, 7, 10, 12, 13",
      "CyFun 2025": "PR.IR-01"
    }
  },
  {
    "local_id": "PR.RI-2",
    "function": "proteger",
    "category": "PR.RI",
    "category_title_pt": "Resiliência da Infraestrutura Tecnológica",
    "title_pt": "Os ambientes de desenvolvimento e de teste são separados de ambientes de produção.",
    "required_level": "substancial",
    "references": {
      "ISO/IEC 27001:2022": "8.1, 9.1",
      "ISO/IEC 27002:2022": "8.31, 8.30, 8.33",
      "NIST CSF 2.0": "PR.IR-01",
      "NIST SP 800-53 Rev.5": "PL-8",
      "CIS CSC v8.1": "16",
      "CyFun 2025": "PR.IR-01"
    }
  },
  {
    "local_id": "PR.RI-3",
    "function": "proteger",
    "category": "PR.RI",
    "category_title_pt": "Resiliência da Infraestrutura Tecnológica",
    "title_pt": "Os ativos tecnológicos da entidade são protegidos de ameaças naturais.",
    "required_level": "elevado",
    "references": {
      "ISO/IEC 27001:2022": "4.1, 4.2, 6.1.1, 7.1, 8.1",
      "ISO/IEC 27002:2022": "5.5, 7.2, 7.5, 7.6, 7.8, 7.11, 7.12, 8.14, 8.32",
      "NIST CSF 2.0": "PR.IR-02",
      "NIST SP 800-53 Rev.5": "MA-1",
      "CyFun 2025": "PR.IR-02"
    }
  },
  {
    "local_id": "PR.RI-4",
    "function": "proteger",
    "category": "PR.RI",
    "category_title_pt": "Resiliência da Infraestrutura Tecnológica",
    "title_pt": "São implementados mecanismos para cumprir os requisitos de resiliência em situações adversas.",
    "required_level": "substancial",
    "references": {
      "ISO/IEC 27001:2022": "6.2, 7.5.2, 8.1",
      "ISO/IEC 27002:2022": "5.29, 7.5, 8.14",
      "NIST CSF 2.0": "PR.IR-03",
      "NIST SP 800-53 Rev.5": "CP-2",
      "CyFun 2025": "PR.IR-03"
    }
  },
  {
    "local_id": "PR.RI-5",
    "function": "proteger",
    "category": "PR.RI",
    "category_title_pt": "Resiliência da Infraestrutura Tecnológica",
    "title_pt": "A entidade planeia a capacidade adequada dos recursos para garantir a disponibilidade das suas redes e sistemas de informação.",
    "required_level": "substancial",
    "references": {
      "ISO/IEC 27001:2022": "7.1, 8.1., 9.2, 9.3.2",
      "ISO/IEC 27002:2022": "8.6, 8.14, 8.32",
      "NIST CSF 2.0": "PR.IR-04",
      "NIST SP 800-53 Rev.5": "PL-8",
      "CIS CSC v8.1": "1,2",
      "CyFun 2025": "PR.IR-04 No contexto do objetivo Detetar, pretende-se desenvolver práticas adequadas e atempadas à deteção da ocorrência de eventos segurança, ou seja, a deteção de eventos com um efeito adverso real na segurança das redes e dos sistemas de informação por via da monitorização contínua das redes e sistemas de informação e da implementação de processos de deteção."
    }
  },
  {
    "local_id": "DE.MC-1",
    "function": "detetar",
    "category": "DE.MC",
    "category_title_pt": "Monitorização Contínua de Segurança",
    "title_pt": "As redes e sistemas de informação são monitorizados para detetar potenciais incidentes.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "8.1,9.1, 9.2",
      "ISO/IEC 27002:2022": "5.7, 5.22, 8.8, 8.12, 8.15, 8.16, 8.17, 8.21",
      "NIST CSF 2.0": "DE.CM-01",
      "NIST SP 800-53 Rev.5": "SC-7",
      "CIS CSC v8.1": "1, 8, 10, 13",
      "CyFun 2025": "DE.CM-01"
    }
  },
  {
    "local_id": "DE.MC-2",
    "function": "detetar",
    "category": "DE.MC",
    "category_title_pt": "Monitorização Contínua de Segurança",
    "title_pt": "O ambiente físico é monitorizado para possibilitar a deteção de potenciais incidentes de segurança.",
    "required_level": "substancial",
    "references": {
      "ISO/IEC 27001:2022": "8.1, 9.1",
      "ISO/IEC 27002:2022": "5.7, 5.22, 7.1, 7.2, 7.4, 7.5, 7.10, 7.11, 8.3, 8.4, 8.15, 8.26, 8.31, 8.32",
      "NIST CSF 2.0": "DE.CM-02",
      "CyFun 2025": "DE.CM-02"
    }
  },
  {
    "local_id": "DE.MC-3",
    "function": "detetar",
    "category": "DE.MC",
    "category_title_pt": "Monitorização Contínua de Segurança",
    "title_pt": "A atividade do pessoal da entidade é monitorizada para se detetar potenciais incidentes.",
    "required_level": null,
    "references": {
      "ISO/IEC 27001:2022": "8.1, 9.1, Anexo A (27002)",
      "ISO/IEC 27002:2022": "5.7, 8.1, 8.7, 8.12, 8.15, 8.16, 8.19, 8.20, 8.23",
      "NIST CSF 2.0": "DE.CM-03",
      "NIST SP 800-53 Rev.5": "SC-7",
      "CIS CSC v8.1": "3, 8, 13, 15",
      "CyFun 2025": "DE.CM-03"
    }
  },
  {
    "local_id": "DE.MC-4",
    "function": "detetar",
    "category": "DE.MC",
    "category_title_pt": "Monitorização Contínua de Segurança",
    "title_pt": "A entidade identifica e implementa mecanismos para deteção de código malicioso.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "8, 9.1",
      "ISO/IEC 27002:2022": "8.7, 8.12, 8.16",
      "NIST SP 800-53 Rev.5": "SC-7",
      "CIS CSC v8.1": "8, 10, 13"
    }
  },
  {
    "local_id": "DE.MC-5",
    "function": "detetar",
    "category": "DE.MC",
    "category_title_pt": "Monitorização Contínua de Segurança",
    "title_pt": "A utilização de aplicações não autorizadas em dispositivos móveis é detetada.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "8,1, 9.1",
      "ISO/IEC 27002:2022": "5.7, 5.21, 8.1, 8.16, 8.19",
      "CIS CSC v8.1": "8, 10"
    }
  },
  {
    "local_id": "DE.MC-6",
    "function": "detetar",
    "category": "DE.MC",
    "category_title_pt": "Monitorização Contínua de Segurança",
    "title_pt": "As atividades dos prestadores de serviços externos são monitorizadas para deteção de incidentes.",
    "required_level": "substancial",
    "references": {
      "ISO/IEC 27001:2022": "8,1, 9.1",
      "ISO/IEC 27002:2022": "5.7, 5.22, 8.12, 8.15, 8.16, 8.30",
      "NIST CSF 2.0": "DE.CM-06",
      "CyFun 2025": "DE.CM-06"
    }
  },
  {
    "local_id": "DE.MC-7",
    "function": "detetar",
    "category": "DE.MC",
    "category_title_pt": "Monitorização Contínua de Segurança",
    "title_pt": "O hardware, software, os ambientes em produção e os seus dados são monitorizados para detetar eventos potencialmente adversos.",
    "required_level": "substancial",
    "references": {
      "ISO/IEC 27001:2022": "8.1",
      "ISO/IEC 27002:2022": "8.7, 8.19, 8.24, 8.26, 8.27, 8.32",
      "NIST CSF 2.0": "DE.CM-09",
      "NIST SP 800-53 Rev.5": "PL-8",
      "CIS CSC v8.1": "2, 7",
      "CyFun 2025": "DE.CM-09"
    }
  },
  {
    "local_id": "DE.AE-1",
    "function": "detetar",
    "category": "DE.AE",
    "category_title_pt": "Anomalias e Eventos",
    "title_pt": "Os eventos detetados são analisados.",
    "required_level": "substancial",
    "references": {
      "ISO/IEC 27001:2022": "8.1, 9.1, 10.2",
      "ISO/IEC 27002:2022": "5.7, 5.24, 5.25, 8.15",
      "NIST CSF 2.0": "DE.AE-02",
      "NIST SP 800-53 Rev.5": "SI-4(2)",
      "CIS CSC v8.1": "1, 8, 13, 15",
      "CyFun 2025": "DE.AE-02"
    }
  },
  {
    "local_id": "DE.AE-2",
    "function": "detetar",
    "category": "DE.AE",
    "category_title_pt": "Anomalias e Eventos",
    "title_pt": "Os eventos são recolhidos e correlacionados a partir de várias fontes e sensores.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "8.1, 9.1, 10.2",
      "ISO/IEC 27002:2022": "5.7, 5.24, 5.25, 5.28, 8.12, 8.15, 8.16, 8.17",
      "NIST CSF 2.0": "DE.AE-03",
      "NIST SP 800-53 Rev.5": "AU-12(2)",
      "CIS CSC v8.1": "1, 3, 8, 10, 13, 15",
      "CyFun 2025": "DE.AE-03"
    }
  },
  {
    "local_id": "DE.AE-3",
    "function": "detetar",
    "category": "DE.AE",
    "category_title_pt": "Anomalias e Eventos",
    "title_pt": "O impacto estimado e o âmbito dos eventos adversos detetados são compreendidos e identificados.",
    "required_level": "elevado",
    "references": {
      "ISO/IEC 27001:2022": "8.1, 9.1, 10.2",
      "ISO/IEC 27002:2022": "5.7, 5.25, 8.12",
      "NIST CSF 2.0": "DE.AE-04",
      "CIS CSC v8.1": "8, 13",
      "CyFun 2025": "DE.AE-04"
    }
  },
  {
    "local_id": "DE.AE-4",
    "function": "detetar",
    "category": "DE.AE",
    "category_title_pt": "Anomalias e Eventos",
    "title_pt": "As informações sobre deteções de eventos são comunicadas.",
    "required_level": "substancial",
    "references": {
      "ISO/IEC 27001:2022": "7.4",
      "ISO/IEC 27002:2022": "6.8",
      "NIST CSF 2.0": "DE.AE-06",
      "CyFun 2025": "DE.AE-06"
    }
  },
  {
    "local_id": "DE.AE-5",
    "function": "detetar",
    "category": "DE.AE",
    "category_title_pt": "Anomalias e Eventos",
    "title_pt": "As informações sobre ciberameaças e outras informações contextuais são integradas na análise de eventos.",
    "required_level": null,
    "references": {
      "NIST CSF 2.0": "DE.AE-07"
    }
  },
  {
    "local_id": "DE.AE-6",
    "function": "detetar",
    "category": "DE.AE",
    "category_title_pt": "Anomalias e Eventos",
    "title_pt": "Os critérios para a declaração de incidentes são definidos",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "8.1, 9.1, 10.2",
      "ISO/IEC 27002:2022": "5.25, 8.5, 8.12, 8.14, 8.16, 8.17",
      "NIST CSF 2.0": "DE.AE-08",
      "CIS CSC v8.1": "8, 13",
      "CyFun 2025": "DE.AE-08 Pretende-se, com o objetivo Responder, desenvolver e implementar práticas de resposta a um incidente de cibersegurança.Estas práticas devem capacitar a entidade para a contenção dos impactos de um potencial incidente, e para mitigar o impacto do incidente, isto é, reduzir e eventualmente reverter os seus potenciais efeitos adversos, através do planeamento da resposta a incidentes, da comunicação com as partes interessadas relevantes, da análise e mitigação de incidentes e da melhoria por intermédio das lições aprendidas."
    }
  },
  {
    "local_id": "RS.GI-1",
    "function": "responder",
    "category": "RS.GI",
    "category_title_pt": "Gestão de Incidentes",
    "title_pt": "O Plano de Resposta a Incidentes é executado, em coordenação com as partes interessadas, durante ou após a ocorrência de um incidente.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "8.1, 8.3, 10.2",
      "ISO/IEC 27002:2022": "5.26, 8.8, 8.13, 8.32",
      "NIST CSF 2.0": "RS.MA-01",
      "NIST SP 800-53 Rev.5": "CP-2, 2 (2)",
      "CIS CSC v8.1": "17",
      "CyFun 2025": "RS.MA-01"
    }
  },
  {
    "local_id": "RS.GI-2",
    "function": "responder",
    "category": "RS.GI",
    "category_title_pt": "Gestão de Incidentes",
    "title_pt": "As notificações dos sistemas de deteção são triadas e validadas.",
    "required_level": "substancial",
    "references": {
      "ISO/IEC 27001:2022": "9.1",
      "ISO/IEC 27002:2022": "Anexo A 5.26, 8.8, 8.16",
      "NIST CSF 2.0": "RS.MA-02",
      "CIS CSC v8.1": "17",
      "CyFun 2025": "RS.MA-02"
    }
  },
  {
    "local_id": "RS.GI-3",
    "function": "responder",
    "category": "RS.GI",
    "category_title_pt": "Gestão de Incidentes",
    "title_pt": "Os incidentes são categorizados de acordo com o Plano de Resposta a Incidentes definido.",
    "required_level": "substancial",
    "references": {
      "ISO/IEC 27001:2022": "8.3",
      "ISO/IEC 27002:2022": "5.25",
      "NIST CSF 2.0": "RS.MA-03",
      "CIS CSC v8.1": "17",
      "CyFun 2025": "RS.MA-03"
    }
  },
  {
    "local_id": "RS.GI-4",
    "function": "responder",
    "category": "RS.GI",
    "category_title_pt": "Gestão de Incidentes",
    "title_pt": "Os incidentes são escalados ou elevados conforme necessário.",
    "required_level": null,
    "references": {
      "ISO/IEC 27001:2022": "7.3, 7.4, 8.1, 8.3",
      "ISO/IEC 27002:2022": "5.6, 5.26",
      "NIST CSF 2.0": "RS.MA-04",
      "NIST SP 800-53 Rev.5": "IR-6",
      "CIS CSC v8.1": "17"
    }
  },
  {
    "local_id": "RS.GI-5",
    "function": "responder",
    "category": "RS.GI",
    "category_title_pt": "Gestão de Incidentes",
    "title_pt": "São aplicados os critérios para iniciar a recuperação de incidentes.",
    "required_level": "substancial",
    "references": {
      "NIST CSF 2.0": "RS.MA-05",
      "CyFun 2025": "RS.MA-05"
    }
  },
  {
    "local_id": "RS.AI-1",
    "function": "responder",
    "category": "RS.AI",
    "category_title_pt": "Análise de Incidentes",
    "title_pt": "É realizada uma análise forense para determinar o que ocorreu durante um incidente e a sua causa raiz.",
    "required_level": "elevado",
    "references": {
      "ISO/IEC 27001:2022": "9.1, 9.2, 10.2",
      "ISO/IEC 27002:2022": "5.26, 5.28",
      "NIST CSF 2.0": "RS.AN-03",
      "CyFun 2025": "RS.AN-03"
    }
  },
  {
    "local_id": "RS.AI-2",
    "function": "responder",
    "category": "RS.AI",
    "category_title_pt": "Análise de Incidentes",
    "title_pt": "As ações realizadas durante uma investigação são registadas e a integridade e proveniência dos registos são preservadas.",
    "required_level": "elevado",
    "references": {
      "NIST CSF 2.0": "RS.AN-06",
      "CyFun 2025": "RS.AN-06"
    }
  },
  {
    "local_id": "RS.AI-3",
    "function": "responder",
    "category": "RS.AI",
    "category_title_pt": "Análise de Incidentes",
    "title_pt": "Os dados e metadados do incidente são recolhidos, e a sua integridade e proveniência são preservadas.",
    "required_level": "elevado",
    "references": {
      "NIST CSF 2.0": "RS.AN-07",
      "CyFun 2025": "RS.AN-07"
    }
  },
  {
    "local_id": "RS.AI-4",
    "function": "responder",
    "category": "RS.AI",
    "category_title_pt": "Análise de Incidentes",
    "title_pt": "O impacto do incidente é estimado e validado.",
    "required_level": "elevado",
    "references": {
      "ISO/IEC 27001:2022": "4.1, 9.1",
      "ISO/IEC 27002:2022": "5.7, 5.25, 5.27, 5.29, 5.30",
      "NIST CSF 2.0": "RS.AN-08",
      "CyFun 2025": "RS.AN-08"
    }
  },
  {
    "local_id": "RS.NC-1",
    "function": "responder",
    "category": "RS.NC",
    "category_title_pt": "Notificação e Comunicação de Incidentes",
    "title_pt": "As partes interessadas internas e externas são notificadas dos incidentes.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "5.3, 7.4, 10.1",
      "ISO/IEC 27002:2022": "5.5, 5.24, 5.36, 5.37, 6.3, 6.7, 6.8",
      "NIST CSF 2.0": "RS.CO-02",
      "NIST SP 800-53 Rev.5": "IR-6",
      "CIS CSC v8.1": "17",
      "CyFun 2025": "RS.CO-02"
    }
  },
  {
    "local_id": "RS.NC-2",
    "function": "responder",
    "category": "RS.NC",
    "category_title_pt": "Notificação e Comunicação de Incidentes",
    "title_pt": "Existe partilha voluntária de informação com partes interessadas externas.",
    "required_level": null,
    "references": {
      "ISO/IEC 27001:2022": "7.3, 7.4",
      "ISO/IEC 27002:2022": "5.5, 5.6, 5.26",
      "NIST CSF 2.0": "RS.CO-03",
      "CIS CSC v8.1": "17"
    }
  },
  {
    "local_id": "RS.MI-1",
    "function": "responder",
    "category": "RS.MI",
    "category_title_pt": "Mitigação",
    "title_pt": "Os incidentes são contidos.",
    "required_level": "substancial",
    "references": {
      "ISO/IEC 27001:2022": "6.1.3, 7.5.2, 8.3, 10.2",
      "ISO/IEC 27002:2022": "Anexo A 5.26, 5.37, 8.7, 8.16",
      "NIST CSF 2.0": "RS.M1-01",
      "NIST SP 800-53 Rev.5": "IR-4",
      "CIS CSC v8.1": "17",
      "CyFun 2025": "RS.M1-01"
    }
  },
  {
    "local_id": "RS.MI-2",
    "function": "responder",
    "category": "RS.MI",
    "category_title_pt": "Mitigação",
    "title_pt": "Os incidentes são resolvidos.",
    "required_level": "elevado",
    "references": {
      "ISO/IEC 27001:2022": "6.1.3, 7.5.2, 8.3, 10.2",
      "ISO/IEC 27002:2022": "5.26, 8.7, 8.8",
      "NIST CSF 2.0": "RS.MI-02",
      "NIST SP 800-53 Rev.5": "IR-4",
      "CIS CSC v8.1": "17 No âmbito do objetivo Recuperar, pretende-se desenvolver e implementar práticas e manter planos de resiliência para restaurar qualquer capacidade e/ou serviço que tenha sido comprometido na sequência de um evento de cibersegurança.Estas práticas promovem a recuperação adequada das operações da entidade, para reduzir os impactos do incidente ocorrido.Entre outras, promove-se a execução de planos de continuidade de negócio, de recuperação, da execução de exercícios de simulação de situações de crise e de atualizações dos planos com vista à melhoria dos mesmos.Os controlos pertencentes a este objetivo visam assegurar a resiliência da entidade nas suas dimensões: Pessoas, Processos e Tecnologia.Os controlos tencionam que, no caso de existência de um incidente, a entidade consiga utilizar os controlos para suporte à recuperação em tempo útil da sua atividade."
    }
  },
  {
    "local_id": "RC.PR-1",
    "function": "recuperar",
    "category": "RC.PR",
    "category_title_pt": "Plano de Recuperação",
    "title_pt": "A entidade segue um plano de recuperação durante ou após um incidente.",
    "required_level": "basico",
    "references": {
      "ISO/IEC 27001:2022": "8.3, 10.2",
      "ISO/IEC 27002:2022": "5.19, 5.24, 5.26, 5.29, 8.13",
      "NIST CSF 2.0": "RC.PR-01",
      "NIST SP 800-53 Rev.5": "CP-2",
      "CIS CSC v8.1": "11",
      "CyFun 2025": "RC.RP-01"
    }
  },
  {
    "local_id": "RC.PR-2",
    "function": "recuperar",
    "category": "RC.PR",
    "category_title_pt": "Plano de Recuperação",
    "title_pt": "As ações de recuperação são definidas, priorizadas e executadas.",
    "required_level": null,
    "references": {
      "NIST CSF 2.0": "RC.RP-02",
      "CyFun 2025": "RC.PR-02"
    }
  },
  {
    "local_id": "RC.PR-3",
    "function": "recuperar",
    "category": "RC.PR",
    "category_title_pt": "Plano de Recuperação",
    "title_pt": "A integridade das cópias de segurança e de outros ativos de restauro é verificada antes da sua utilização.",
    "required_level": "basico",
    "references": {
      "NIST CSF 2.0": "RC.PR-03"
    }
  },
  {
    "local_id": "RC.PR-4",
    "function": "recuperar",
    "category": "RC.PR",
    "category_title_pt": "Plano de Recuperação",
    "title_pt": "A entidade considera os seus serviços críticos e a gestão dos riscos de cibersegurança para estabelecer normas operacionais pós-incidente.",
    "required_level": null,
    "references": {
      "NIST CSF 2.0": "RC.RP-04"
    }
  },
  {
    "local_id": "RC.PR-5",
    "function": "recuperar",
    "category": "RC.PR",
    "category_title_pt": "Plano de Recuperação",
    "title_pt": "A integridade dos ativos restaurados é verificada, os sistemas e serviços são restaurados e o estado de normal funcionamento é confirmado.",
    "required_level": "substancial",
    "references": {
      "NIST CSF 2.0": "RC.RP-05",
      "CyFun 2025": "RC.PR-05"
    }
  },
  {
    "local_id": "RC.PR-6",
    "function": "recuperar",
    "category": "RC.PR",
    "category_title_pt": "Plano de Recuperação",
    "title_pt": "O fim da recuperação do incidente é documentado e declarado com base em critérios predefinidos.",
    "required_level": "substancial",
    "references": {
      "NIST CSF 2.0": "RC.RP-06",
      "CyFun 2025": "RC.PR-06"
    }
  },
  {
    "local_id": "RC.CO-1",
    "function": "recuperar",
    "category": "RC.CO",
    "category_title_pt": "Comunicações",
    "title_pt": "As atividades de recuperação são comunicadas às partes interessadas, bem como aos órgãos de gestão, direção e administração.",
    "required_level": "substancial",
    "references": {
      "ISO/IEC 27001:2022": "5.1, 7.4, 10.1",
      "ISO/IEC 27002:2022": "5.6",
      "NIST CSF 2.0": "RC.CO-03",
      "NIST SP 800-53 Rev.5": "CP-2",
      "CyFun 2025": "RC.CO-03"
    }
  },
  {
    "local_id": "RC.CO-2",
    "function": "recuperar",
    "category": "RC.CO",
    "category_title_pt": "Comunicações",
    "title_pt": "As atualizações sobre a recuperação de incidentes são partilhadas utilizando métodos aprovados pela entidade.",
    "required_level": "substancial",
    "references": {
      "ISO/IEC 27001:2022": "4.2, 5.1, 5.3, 7.4",
      "ISO/IEC 27002:2022": "5.5, 5.6",
      "NIST CSF 2.0": "RC.CO-4",
      "NIST SP 800-53 Rev.5": "CP-2",
      "CyFun 2025": "RC.CO-04"
    }
  }
]