Publicado o Regulamento do novo Regime Jurídico da Cibersegurança
Estimado cliente,
Foi publicado em Diário da República o Regulamento n.º 756/2026, aprovado pelo Centro Nacional de Cibersegurança (CNCS), que estabelece as normas de execução do novo Regime Jurídico da Cibersegurança, enquadrando a aplicação em Portugal dos requisitos decorrentes da diretiva europeia NIS2.
O regulamento define um conjunto de obrigações para entidades essenciais, importantes e entidades públicas relevantes, reforçando a gestão de riscos de cibersegurança, os mecanismos de reporte de incidentes e a adoção de medidas destinadas a aumentar a resiliência das infraestruturas digitais nacionais.
Entre as principais novidades destaca-se a criação de uma plataforma eletrónica centralizada, gerida pelo CNCS, que permitirá o registo das entidades abrangidas, a comunicação de incidentes de cibersegurança, a submissão de relatórios anuais e a articulação com outras autoridades competentes.
O regulamento reforça ainda a importância da cibersegurança nas organizações, estabelecendo requisitos para a designação de responsáveis de cibersegurança e de pontos de contacto permanentes, bem como a implementação de processos estruturados de gestão de riscos e inventário de ativos.
Com a entrada em vigor imediata após a sua publicação, o novo regulamento representa um passo importante no reforço da maturidade digital e da capacidade de resposta das organizações perante um cenário de ameaças cada vez mais complexo.
O que muda na prática?
- Maior exigência dos clientes: As entidades abrangidas pela NIS2 e pelo novo Regime Jurídico da Cibersegurança terão de demonstrar que gerem adequadamente os riscos dos seus ativos digitais. Isso inclui sistemas de videovigilância, controlo de acessos, deteção de intrusão e outros equipamentos ligados à rede. Na prática, os clientes passarão a exigir equipamentos com atualizações de segurança regulares; gestão de vulnerabilidades; autenticação forte e controlo de acessos; registo de eventos (logs); segmentação de redes e documentação de cibersegurança dos sistemas instalados.
- Inventário obrigatório de ativos: O regulamento introduz requisitos relacionados com o inventário e comunicação de ativos digitais relevantes. Uma câmara IP, um gravador NVR, um controlador de acessos ou um servidor VMS passam a ser vistos não apenas como equipamentos de segurança física, mas também como ativos de cibersegurança. Isso significa que os clientes irão valorizar parceiros capazes de entregar: mapas de rede; listas de equipamentos instalados; endereços IP documentados; versões de firmware e procedimentos de manutenção.
- Segurança desde a instalação: Muitas instalações ainda utilizam palavras-passe predefinidas, serviços remotos expostos à Internet ou equipamentos sem atualizações. Estas práticas tornar-se-ão cada vez menos aceitáveis em organizações sujeitas ao regulamento. As boas práticas passarão por: alteração imediata das credenciais de fábrica; utilização de MFA quando disponível; acesso remoto através de VPN; atualizações periódicas de firmware e segmentação dos sistemas de segurança da restante rede corporativa.
- O integrador passa a ser um parceiro de cibersegurança: Os departamentos de TI e de cibersegurança dos clientes terão maior influência nas decisões de aquisição e instalação. A escolha de um sistema deixará de depender apenas das funcionalidades de segurança física e passará também pela sua robustez face a ameaças externas.
Para consultar o texto integral da legislação, aceda aqui:
A Equipa IVV Automação,
