- 1 -A matriz de risco, aprovada no presente regulamento e constante do Anexo II, é o quadro referencial que estabelece os valores de risco para o conjunto de cenários de risco que recaem sobre um setor e subsetor de atividade, considerando os ativos comuns, as principais ameaças e vulnerabilidades, nos termos do disposto na alínea m) do artigo 2.º, nos n.os 4 e 5 do artigo 26.º, no n.º 1 do artigo 27.º e no n.º 3 do artigo 53.º do Regime Jurídico da Cibersegurança.
- 2 -Os valores de risco referidos no número anterior, são determinados com base no nível de risco associado ao setor ou subsetor a que as entidades pertencem tendo em conta a sua dimensão e com a importância do setor ou subsetor, podendo ser atribuído um de três níveis de conformidade:
- a)Básico;
- b)Substancial;
- c)Elevado.
- 3 -Os critérios para a produção da matriz de risco são construídos e atualizados atendendo aos princípios da prossecução do interesse público, da legalidade, da eficiência, da eficácia e da proporcionalidade, devendo minimizar, sempre que possível, o seu impacto nas atividades públicas, sociais e empresariais das entidades.
- 4 -Considerando o setor de atividade, a dimensão da entidade e a matriz de risco definida são determinados os níveis de conformidade e as medidas de cibersegurança mínimas e específicas a adotar que constam do anexo iii.
- 5 -O CNCS pode disponibilizar na plataforma eletrónica um quadro de apoio à leitura para a utilização da matriz de risco.
Artigo 28.º — Matriz de Risco
Vigente desde: 10/03/2026