Setor Público Local · Portugal
Proteger serviços públicos exige ligar governação, tecnologia e continuidade.
Municípios, freguesias, empresas municipais e serviços municipalizados partilham dependências, mas não têm o mesmo enquadramento. Começamos pela realidade da entidade e transformamos requisitos em trabalho executável e evidências verificáveis.
Começar pela entidade
Quatro contextos que exigem leituras próprias.
A articulação territorial é importante, mas não elimina a necessidade de identificar responsabilidades, ativos, serviços e evidências de cada entidade.
Municípios
Governação, serviços ao cidadão, sistemas críticos, fornecedores, resposta a incidentes e continuidade municipal.
Freguesias e uniões de freguesias
Medidas proporcionais, sistemas partilhados, email e acessos, backups, capacitação e continuidade do atendimento.
Empresas municipais
Atividade e setor, governação própria, sistemas operacionais, terceiros e evidências produzidas pela entidade.
Serviços municipalizados e água
Serviços essenciais, IT e OT, SCADA, acessos remotos, fornecedores de manutenção, configurações e recuperação.
Rigor antes da resposta
Nem automatismos, nem conformidade de papel.
Sem qualificações presumidas
O setor ou a natureza pública, isoladamente, não substituem a confirmação do âmbito, dos critérios especiais e do procedimento aplicável.
Proporcionalidade com contexto
Dimensão, serviços, criticidade, dependências e capacidade operacional condicionam prioridades e meios.
Evidência ligada à execução
Um documento não prova, por si só, que uma medida foi implementada, testada, mantida e revista.
Qualificação e regime aplicável
Essencial, importante e pública relevante não significam a mesma coisa.
A categoria aplicável depende do enquadramento previsto no RJCS, dos dados concretos da entidade e do procedimento oficial. A natureza pública ou a designação institucional, por si só, não permitem antecipar o resultado.
Entidade essencial
Categoria atribuída nos termos do artigo 6.º, considerando os critérios e mecanismos de qualificação aplicáveis à entidade, à atividade e aos serviços prestados.
Entidade importante
Categoria igualmente determinada pelo artigo 6.º e pelo procedimento aplicável, sem resultar apenas da dimensão, do setor ou da designação pública da organização.
Entidade pública relevante
Abrange entidades públicas que não sejam qualificadas como essenciais ou importantes ao abrigo do artigo 6.º, sendo depois enquadradas nos grupos previstos no artigo 7.º.
Esta leitura ajuda a distinguir regimes; não substitui a autoidentificação, a qualificação oficial nem a confirmação dos critérios aplicáveis à entidade concreta.
Responsabilidade de gestão
Apoio especializado não transfere a responsabilidade da entidade.
Para entidades essenciais e importantes, o artigo 25.º atribui deveres concretos aos órgãos de gestão, direção e administração. A aplicação destas regras deve respeitar a categoria e a estrutura real da entidade, sem as generalizar automaticamente às entidades públicas relevantes.
Deveres que exigem decisão e acompanhamento
- 01Aprovar as medidas de gestão dos riscos de cibersegurança.
- 02Supervisionar a aplicação das medidas aprovadas.
- 03Assegurar o cumprimento das obrigações relativas à supervisão e execução.
- 04Realizar formação regular para compreender e acompanhar os riscos e as medidas adotadas.
Órgãos de gestão
Decidem, aprovam, supervisionam e asseguram os meios e a integração da cibersegurança na governação da entidade.
Responsável de Cibersegurança (RCS)
Apoia a governação e coordena a gestão dos riscos e a execução das funções legalmente previstas, sem substituir a responsabilidade dos órgãos competentes.
Ponto de Contacto Permanente (PCP)
Assegura a disponibilidade e a articulação operacional permanente nos termos aplicáveis, coordenando-se com o RCS quando as funções não coincidam.
Nas entidades públicas relevantes aplicam-se as medidas determinadas pelo CNCS para o respetivo grupo. Não deve ser presumida, sem confirmação, a transposição integral do regime de governação das entidades essenciais e importantes.
Percurso integrado
Cumprir, provar e continuar a funcionar.
O trabalho não termina no diagnóstico. Cada movimento prepara o seguinte e deixa decisões e evidências que podem ser revistas.
- 01
Enquadrar
Reunir dados da entidade, serviços, setor, dimensão, dependências e representação.
- 02
Governar
Definir decisores, Responsável de Cibersegurança (RCS), Ponto de Contacto Permanente (PCP), equipas e fornecedores.
- 03
Implementar
Converter lacunas em medidas documentais e técnicas, responsáveis, prazos e critérios de aceitação.
- 04
Operar
Integrar monitorização, suporte, gestão de incidentes, comunicações e continuidade.
- 05
Demonstrar e melhorar
Manter evidências, testar controlos, medir resultados e atualizar risco e roadmap.
Da decisão à execução
Capacidade documental, técnica e operacional.
A implementação deve refletir a arquitetura e os serviços reais da entidade, e não um catálogo universal de medidas.
Microsoft 365 e identidade
- Contas e privilégios
- MFA e acesso condicional
- Configuração e monitorização
- Ciclo de vida de utilizadores
Infraestrutura e redes
- Inventário e arquitetura
- Segmentação e acessos remotos
- Servidores, endpoints e atualizações
- Backups e recuperação
Operação e incidentes
- Monitorização de baixo ruído
- Triagem e escalação
- Notificação e coordenação
- Exercícios e melhoria
Serviços e terceiros
- Dependências críticas
- Requisitos de contratação TIC
- Acessos de fornecedores
- Continuidade dos serviços públicos
Evidência verificável
Demonstrar exige mais do que guardar ficheiros.
Uma evidência útil permite compreender o que foi executado, por quem, quando, sobre que ativo ou serviço e com que validação.
- 01Origem, data, contexto e responsável identificados
- 02Ligação entre requisito, risco, medida e execução
- 03Validação e integridade adequadas ao tipo de prova
- 04Atualização e conservação definidas
- 05Lacunas, exceções e risco residual documentados
Do enquadramento à ação
Continue pelo percurso adequado ao estado da entidade.
Cada ligação responde a uma necessidade diferente: aprofundar o regime, preparar o MyCiber, obter instrumentos práticos, conhecer capacidades de implementação ou iniciar acompanhamento.
Diagnóstico MyCiber
Organize o ponto de partida, as lacunas e as prioridades antes de atuar na plataforma oficial.
Preparar o MyCiber →ConhecimentoCentro de Conhecimento
Aprofunde o RJCS, o Regulamento n.º 756/2026, a MyCiber, as funções, obrigações e evidências.
Explorar conhecimento →RecursosBiblioteca de Recursos
Consulte guias, checklists, modelos e instrumentos versionados para apoiar a execução.
Abrir recursos →ImplementaçãoSoluções
Relacione governação, implementação técnica, operação, continuidade, formação, SOC e CSIRT.
Conhecer capacidades →AcompanhamentoProcesso acompanhado
Conheça as etapas, a proteção dos dados, a revisão humana e os limites do acompanhamento RJCS.
Conhecer o processo →Perguntas frequentes
Respostas sem atalhos.
Todas as autarquias locais estão automaticamente abrangidas pelo RJCS?
Não deve ser presumido um resultado apenas com base na designação da entidade. É necessário confirmar a tipologia, os serviços, os critérios aplicáveis e o procedimento de autoidentificação e qualificação.
Município, empresa municipal e serviço municipalizado podem usar a mesma análise?
Podem partilhar contexto e dependências, mas a personalidade, a atividade, a governação, os ativos e as evidências devem ser avaliados para cada entidade e serviço.
A documentação é suficiente para demonstrar conformidade?
Não. A documentação deve corresponder a medidas executadas e mantidas, com registos, configurações, testes, decisões e outras evidências adequadas.
Qual é a diferença entre entidade essencial, importante e pública relevante?
Entidades essenciais e importantes são qualificadas nos termos do artigo 6.º do RJCS. Uma entidade pública relevante é uma entidade pública que não foi qualificada como essencial ou importante e que fica enquadrada num dos grupos previstos no artigo 7.º, com medidas determinadas pelo CNCS nos termos do artigo 33.º.
As responsabilidades de gestão são iguais nas três categorias?
Não devem ser generalizadas. O artigo 25.º estabelece deveres concretos para os órgãos de gestão, direção e administração das entidades essenciais e importantes. Às entidades públicas relevantes aplicam-se as medidas determinadas pelo CNCS para o respetivo grupo, devendo o regime concreto ser confirmado.
A Cyberprotech substitui a decisão da autoridade competente?
Não. A Cyberprotech organiza informação, identifica incertezas e apoia a preparação e implementação. A qualificação oficial pertence à autoridade competente.
Fontes primárias
Confirme sempre na fonte oficial.
Conteúdo informativo revisto em 27 de agosto de 2026. Não constitui qualificação oficial, parecer jurídico ou substituição das competências da entidade e da autoridade competente.