A80 Freguesias
A80 Cooperativas
ACPD
NIS2
NIS2 · Cibersegurança · Administração Local

Requisitos operacionais de cibersegurança para as Freguesias

O nível de exigência não é igual para todas as Freguesias. A dimensão e a qualificação da entidade determinam quais as medidas específicas que passam a ser obrigatórias.

Primeiro: perceber o enquadramento

Três realidades diferentes — e obrigações proporcionais

O Decreto-Lei n.º 125/2025 distingue as entidades da administração autónoma de acordo com a sua dimensão. A qualificação é formalizada no âmbito do procedimento previsto no MyCiber.

01

Menos de 75 trabalhadores

Não é automaticamente Grupo A ou B

A Freguesia encontra-se abrangida pelo regime e deve proceder à identificação prevista no artigo 8.º.

As medidas mínimas específicas do Anexo IV não se tornam automaticamente obrigatórias apenas por força deste critério dimensional.

02

75 a 249 trabalhadores

Entidade pública relevante · Grupo B

Após a correspondente qualificação, aplica-se o conjunto de medidas mínimas definido para o Grupo B.

O Anexo IV estabelece medidas concretas de organização, tecnologia, continuidade e formação.

03

Mais de 250 trabalhadores

Entidade pública relevante · Grupo A

O Grupo A está sujeito a um nível reforçado de cibersegurança.

As medidas do Grupo A são adicionais: a entidade deve cumprir também todas as medidas previstas para o Grupo B.

Importante: “Menos de 75 trabalhadores” não significa estar fora do Regime Jurídico da Cibersegurança. Significa apenas que a Freguesia não se torna entidade pública relevante Grupo A ou B exclusivamente pelo critério dimensional.
Comparação prática

O que deve estar assegurado?

A tabela seguinte traduz o regime jurídico para uma leitura operacional. Nas entidades dos Grupos A e B, os requisitos indicados como obrigatórios resultam das medidas mínimas previstas no Anexo IV do Regulamento n.º 756/2026.

Área / requisito < 75 trabalhadores 75–249 · Grupo B 250+ · Grupo A
Identificação no MyCiber OBRIGATÓRIO Procedimento de identificação previsto no artigo 8.º. OBRIGATÓRIO Identificação e procedimento de qualificação. OBRIGATÓRIO Identificação e procedimento de qualificação.
Medidas mínimas do Anexo IV NÃO AUTOMÁTICO Não decorrem apenas do facto de a Freguesia ter menos de 75 trabalhadores. OBRIGATÓRIO Medidas mínimas do Grupo B. OBRIGATÓRIO Medidas Grupo B + medidas adicionais Grupo A.
Ponto de contacto para incidentes RECOMENDADO Boa prática de organização interna. OBRIGATÓRIO Deve existir pessoa identificada e disponível para solicitações externas. OBRIGATÓRIO Mantém-se a obrigação do Grupo B.
Inventário de ativos RECOMENDADO Inventário de sistemas, aplicações e ativos críticos. OBRIGATÓRIO Inventário de ativos críticos e respetivas dependências. REFORÇADO Inventário de todos os ativos e dependências.
Gestão de acessos e permissões RECOMENDADO Controlo formal de criação, alteração e revogação de acessos. OBRIGATÓRIO Pedidos e aprovações documentados. REFORÇADO Política formal, menor privilégio e necessidade de conhecer.
Equipamentos RECOMENDADO Registo de equipamentos atribuídos aos trabalhadores. OBRIGATÓRIO Atribuição e recolha de equipamentos documentadas. REFORÇADO Inclui segregação entre dispositivos pessoais e corporativos.
Fornecedores TIC RECOMENDADO Identificar prestadores com acesso a sistemas. OBRIGATÓRIO Inventário e contactos de fornecedores com acesso aos sistemas. REFORÇADO Política formal de segurança de fornecedores e avaliação de risco da cadeia de abastecimento.
Antivírus / proteção de postos RECOMENDADO OBRIGATÓRIO Antivírus em postos de trabalho e servidores. REFORÇADO Controlo de acesso e proteção adicional dos postos.
Acesso remoto RECOMENDADO VPN/VDI e MFA como boa prática. OBRIGATÓRIO Acesso remoto seguro e segundo fator de autenticação. OBRIGATÓRIO Mantém-se a medida Grupo B e são acrescentados controlos reforçados.
Contas de administrador segregadas RECOMENDADO OBRIGATÓRIO Separação entre contas normais e contas administrativas. REFORÇADO Gestão reforçada de acessos privilegiados.
Atualizações de segurança RECOMENDADO OBRIGATÓRIO Atualização atempada de sistemas operativos e software. REFORÇADO Inclui também atualizações de hardware e práticas de hardening.
Email e websites RECOMENDADO OBRIGATÓRIO Melhores práticas de segurança de email, protocolos seguros e certificados nos websites. REFORÇADO Inclui mecanismos reforçados de autenticação e validação e cabeçalhos de segurança.
Cópias de segurança FORTEMENTE RECOMENDADO OBRIGATÓRIO Backups efetuados e utilizáveis em recuperação. REFORÇADO Armazenamento das cópias segregado do ambiente protegido.
Logs / registos técnicos RECOMENDADO OBRIGATÓRIO Ativação dos registos por defeito em sistemas, aplicações e dispositivos. REFORÇADO Salvaguarda efetiva dos logs.
Segurança física e perimetral RECOMENDADO OBRIGATÓRIO Proteção lógica da infraestrutura e proteção física de componentes críticos. OBRIGATÓRIO Aplicação cumulativa das medidas Grupo B.
Política de palavras-passe RECOMENDADO OBRIGATÓRIO Robustez e complexidade adequadas. REFORÇADO Política formal e solução de gestão de palavras-passe privilegiadas.
MFA em aplicações críticas FORTEMENTE RECOMENDADO PARCIAL MFA obrigatório no acesso remoto. OBRIGATÓRIO MFA também nas aplicações críticas.
Formação e sensibilização RECOMENDADO OBRIGATÓRIO Ações de sensibilização e/ou formação em cibersegurança. REFORÇADO Plano formal de formação e exercícios periódicos de phishing.
Política formal de cibersegurança RECOMENDADO NÃO ESPECÍFICO Não surge como medida autónoma do Grupo B. OBRIGATÓRIO Política aprovada e implementada.
Classificação da informação RECOMENDADO NÃO ESPECÍFICO OBRIGATÓRIO Processo documentado de classificação segundo níveis de sensibilidade.
Gestão TIC na entrada/saída de pessoal RECOMENDADO BOA PRÁTICA OBRIGATÓRIO Procedimentos TIC sincronizados com Recursos Humanos.
OBRIGATÓRIO exigência legal aplicável à categoria
REFORÇADO medida adicional do Grupo A
RECOMENDADO boa prática, não apresentada como obrigação específica dessa categoria
Na prática

O que significa isto para a gestão diária da Freguesia?

Contas e acessos

Saber quem tem acesso a quê, remover acessos quando deixam de ser necessários e separar contas administrativas.

Equipamentos e sistemas

Conhecer computadores, servidores, aplicações, websites, dispositivos móveis e dependências tecnológicas.

Backups

Não basta fazer cópias: é necessário garantir que podem efetivamente ser utilizadas para recuperar a atividade.

Fornecedores

Saber que prestadores têm acesso a sistemas, quais são os seus contactos e quais os riscos associados.

Incidentes

Definir previamente quem deve ser contactado e como reagir quando um sistema, email ou serviço é comprometido.

Pessoas

Formação e sensibilização reduzem o risco associado a phishing, palavras-passe, fraude e erro humano.

Medidas mínimas

Grupo B estabelece a base. Grupo A acrescenta um nível reforçado.

O Regulamento n.º 756/2026 determina expressamente que uma entidade pública relevante do Grupo A deve cumprir também todas as medidas mínimas previstas para o Grupo B.

Grupo B

O Anexo IV estabelece uma base operacional concreta, incluindo:

  • Ponto de contacto para incidentes
  • Inventário de ativos críticos
  • Gestão de acessos e permissões
  • Gestão de equipamentos
  • Inventário de fornecedores
  • Proteção de postos de trabalho
  • Acesso remoto seguro com MFA
  • Contas administrativas segregadas
  • Atualizações de segurança
  • Proteção de email e websites
  • Backups recuperáveis
  • Ativação de logs
  • Proteção física e lógica
  • Robustez de palavras-passe
  • Formação e sensibilização
  • Consulta regular de informação sobre ameaças

Grupo A

Além de todas as medidas do Grupo B, acrescenta, entre outras:

  • Política formal de Cibersegurança
  • Inventário completo de ativos
  • Política formal de acessos
  • Segregação de dispositivos pessoais e corporativos
  • Política de utilização aceitável
  • Política de palavras-passe
  • Classificação da informação
  • Gestão TIC articulada com Recursos Humanos
  • Identificação de funções críticas
  • Política formal de segurança de fornecedores
  • Perfis de trabalho em dispositivos móveis
  • Gestão de palavras-passe privilegiadas
  • Princípio do menor privilégio
  • MFA em aplicações críticas
  • Backups segregados
  • Salvaguarda de logs
  • Hardening de configurações
  • Exercícios periódicos de phishing
  • Plano formal de formação

Quer saber exatamente o que é aplicável à sua Freguesia?

A Artigo 80 pode avaliar o enquadramento da Freguesia, identificar as medidas aplicáveis e apoiar a implementação de um plano de cibersegurança proporcional e documentado.

Solicitar avaliação Voltar à página NIS2

Referências

Decreto-Lei n.º 125/2025, de 4 de dezembro — Regime Jurídico da Cibersegurança.
Regulamento n.º 756/2026, de 22 de junho — Regulamento do Regime Jurídico da Cibersegurança, incluindo o Anexo IV relativo às medidas mínimas para entidades públicas relevantes.

Esta página tem natureza informativa e não substitui a qualificação formal da entidade nem a avaliação do respetivo enquadramento concreto.

Aviso Legal: O conteúdo do site, incluindo os artigos do(s) autor(es), não constitui aconselhamento jurídico. Deve procurar aconselhamento jurídico específico antes de tomar ou abster-se de tomar qualquer ação em relação aos assuntos descritos.

Facebook Youtube Instagram
Autarquias
Titulares dos Dados
Associação

Copyright © 2026 Artigo 80 – Associação Portuguesa para a defesa do titular de dados pessoais | Todos os direitos reservados.