- 1 -As entidades essenciais, importantes e públicas relevantes aplicam, pelo menos, as medidas de cibersegurança mínimas, aprovadas no presente regulamento e constante dos Anexos III e IV, nos termos dos n.os 5 e 6 do artigo 26.º, artigo 27.º e artigo 33.º do Regime Jurídico da Cibersegurança.
- 2 -As entidades essenciais e importantes sujeitas aos níveis de conformidade substancial e elevado asseguram, ainda, a aplicação das medidas de cibersegurança mínimas dos níveis de conformidade respetivamente inferiores.
- 3 -As entidades públicas relevantes sujeitas às medidas de cibersegurança previstas para o Grupo A, nos termos definidos no Anexo IV do presente Regulamento, asseguram, igualmente, a aplicação das medidas de cibersegurança mínimas definidas para o Grupo B do mesmo anexo.
- 4 -Sem prejuízo do número anterior, o CNCS pode exigir às entidades essenciais, importantes e públicas relevantes, a obtenção de certificação, nacional, europeia ou internacional, que ateste o cumprimento das medidas de cibersegurança aplicáveis, nos termos do n.º 1 do artigo 34.º do Regime Jurídico da Cibersegurança.
- 5 -Sem prejuízo dos números anteriores e nos termos do n.º 3 do artigo 20.º do Regime Jurídico da Cibersegurança, as autoridades nacionais setoriais ou especiais de cibersegurança podem emitir disposições regulamentares, precedidas de parecer do CNCS, para a adoção de medidas de cibersegurança do setor. A autoridade de cibersegurança competente pode ainda recomendar, sem caráter vinculativo, a adoção de medidas mínimas de cibersegurança às entidades que se encontram fora do âmbito de aplicação do Regime Jurídico da Cibersegurança.
Artigo 30.º — Medidas de Cibersegurança Mínimas
Vigente desde: 10/03/2026