Os documentos que a lei exige, já escritos.

Política institucional completa: âmbito, papéis e responsabilidades, classificação da informação, controlo de acessos, uso aceitável e revisão periódica.

art. 48, n.º 1, a) e art. 50, n.º 3 da lei 13/2026

Metodologia com critérios de avaliação, matriz de risco, registo de riscos e plano de tratamento, pronta a adaptar à dimensão da organização.

art. 48, n.º 1, b) da lei 13/2026

Minutas de nomeação formal do responsável pela segurança de informação e do auditor interno, com mandato, competências e reporte.

art. 48, n.º 1, i) e art. 50, n.º 2 da lei 13/2026

Plano anual de formação e sensibilização em segurança cibernética: público-alvo, temas, calendário e registo de evidências.

art. 48, n.º 1, h) da lei 13/2026

Folha de cálculo com os requisitos da lei agrupados, estado por item, responsável, prazo e painel de progresso automático por grupo.

art. 48 e obrigações da lei 13/2026

Matriz de risco 5x5, registo de riscos com nível calculado e formatação por cor, opções de tratamento e resumo por nível e estado.

art. 48, n.º 1, b) da lei 13/2026

Inventário de sistemas, dados, serviços e equipamentos com dono, criticidade CIA, dependências e fornecedor, e resumo automático por tipo e criticidade.

art. 44 da lei 13/2026

Para cada risco: opção de tratamento, controlo do Anexo A, acção, responsável, prazo, custo e risco residual, com painel de progresso.

art. 48, n.º 1, b) da lei 13/2026

Registo de não conformidades com origem, severidade, acção correctiva, responsável, prazo e evidência de fecho, com painel por severidade.

arts. 48 e 74 da lei 13/2026

Checklist de auditoria aos dez requisitos do artigo 48, com critério, conformidade, evidência, lacuna e recomendação, e resumo de conformidade.

arts. 48 e 74 da lei 13/2026

Plano de melhoria contínua com as actividades de segurança ao longo do ano (formação, testes, revisões, auditorias e reporte à gestão).

art. 48 da lei 13/2026

Define o contexto, as partes interessadas, as unidades, sistemas e redes abrangidos pelo sistema de gestão, e as exclusões justificadas.

art. 44 da lei 13/2026

Business case para obter o patrocínio da gestão: enquadramento legal, obrigações, prazo, exposição a multas, orçamento e minuta de deliberação.

arts. 48, 75 e 76 da lei 13/2026

Princípios de mínimo privilégio e segregação de funções, ciclo de vida das contas, MFA, acessos privilegiados e registo de utilizadores dos serviços.

art. 48 e arts. 19 a 33 da lei 13/2026

Regras de utilização de equipamentos, e-mail, Internet e dispositivos móveis, utilização proibida, monitorização e termo de aceitação do colaborador.

art. 48 da lei 13/2026

Os quatro níveis (Público, Interno, Confidencial, Restrito) com critérios e regras de manuseamento, rotulagem, transmissão e destruição.

art. 48 da lei 13/2026

Cláusulas de confidencialidade para colaboradores e terceiros: âmbito, obrigações, prazo, devolução de informação e consequências.

art. 48 da lei 13/2026

Declaração assinada de conhecimento e aceitação da política de segurança, uso aceitável e sigilo, e das consequências do incumprimento.

art. 48, n.º 1, h) da lei 13/2026

Cruza as actividades de segurança com os papéis da organização, definindo quem é responsável, quem aprova, quem é consultado e quem é informado.

arts. 48 e 50 da lei 13/2026

Passos de segurança na admissão e na saída de colaboradores: contas, equipamento, acessos, formação, NDA e recuperação de dados.

art. 48 da lei 13/2026

Constituição da equipa de resposta a incidentes: mandato, composição, serviços, escalonamento, contactos e articulação com o CSIRT sectorial e nacional.

arts. 17, 21, 23, 25, 27, 29, 33, 36 e 50 da lei 13/2026

Plano operacional com classificação de incidentes, fluxos de resposta, papéis, comunicação de crise e lições aprendidas.

art. 48, n.º 1, c) e d) da lei 13/2026

Procedimento passo a passo para notificar o CSIRT sectorial e nacional: critérios de impacto significativo, conteúdo da notificação, prazos e modelo de relatório mensal.

arts. 57 a 65 da lei 13/2026

Plano de continuidade de negócio e recuperação de desastres: análise de impacto, RTO e RPO, estratégia de backups e testes de reposição.

art. 48, n.º 1, e) da lei 13/2026

Livro de registo de incidentes e modelo do relatório mensal de resposta e resolução: causas, tempo de resolução, medidas aplicadas e impacto.

arts. 58 a 64 da lei 13/2026

Livro de incidentes com severidade, impacto significativo, notificação e tempo de resolução, mais modelo de relatório mensal e painel de indicadores.

arts. 58 a 64 da lei 13/2026

Cenário de ransomware com injectos cronológicos, questões de discussão por fase, grelha de avaliação e modelo de relatório pós-exercício.

arts. 57 a 65 da lei 13/2026

Formulário estruturado pronto a preencher e enviar ao CSIRT sectorial e nacional, com os campos das notificações inicial, intermédia e final.

arts. 57 a 65 da lei 13/2026

Regra 3-2-1, frequência e retenção por tipo de dados, cifra dos backups, testes de reposição e objectivos de RTO e RPO.

art. 48, n.º 1, e) da lei 13/2026

Porta-voz e cadeia de aprovação, matriz de públicos, modelos de mensagem por cenário e articulação com o plano de resposta a incidentes.

arts. 57 a 65 da lei 13/2026

Regras de conservação de dados de tráfego e localização por um ano, segurança dos dados retidos e fluxo interno de resposta a ordens judiciais e administrativas.

arts. 37 a 42 da lei 13/2026 e arts. 18 a 22 da lei 14/2026

Política pública de recepção de reportes de vulnerabilidades: canal de contacto, âmbito autorizado, prazos de correcção e compromissos para com investigadores.

art. 66 da lei 13/2026

Questionário de segurança para fornecedores de TIC, com perguntas por domínio, pontuação automática e nível de risco do fornecedor.

arts. 17 e 60 da lei 13/2026

Cláusulas prontas para contratos com fornecedores: obrigações de segurança, notificação de incidentes, direito de auditoria, dados e subcontratação.

arts. 17 e 60 da lei 13/2026

Metodologia e modelo para avaliar o impacto de um tratamento de dados pessoais: necessidade, riscos para os titulares, medidas de mitigação e decisão.

protecção de dados e art. 48 da lei 13/2026

Identificação, priorização por CVSS, janelas de correcção por severidade, gestão de patches e articulação com a divulgação responsável.

art. 48 e art. 66 da lei 13/2026

Registo das actividades de tratamento: finalidade, categorias de dados e titulares, base de licitude, prazos de conservação e medidas de segurança.

protecção de dados e art. 48 da lei 13/2026

Carta e ficha de identificação para o registo da entidade na Autoridade Nacional de Segurança Cibernética, com os elementos previsíveis à luz da lei, a completar com a regulamentação.

arts. 17, 19, 21, 23, 25, 27, 29, 31 e 33 da lei 13/2026

Cruza as nove categorias de entidades com as respectivas obrigações: registo na ANSC, CSIRT, registo de utilizadores, entrega de dados, requisitos e notificação.

arts. 16 a 33 da lei 13/2026