Problema a que responde
As medidas de cibersegurança devem basear-se numa abordagem sistémica, proporcional ao grau de exposição e à dimensão da entidade. Sem análise de riscos estruturada, as medidas não se justificam perante a direção nem perante a autoridade.
Destinatários
- Entidades essenciais e importantes;
- Responsáveis de cibersegurança e de gestão de risco;
- Entidades com vários serviços essenciais.
Entregáveis
- Metodologia de análise de riscos de cibersegurança;
- Inventário de ativos que garantem a continuidade dos serviços;
- Matriz de riscos e plano de tratamento;
- Registo e aceitação formal do risco residual.
Metodologia
- 01
Ativos
Inventário dos ativos críticos.
- 02
Análise
Ameaças, vulnerabilidades e impactos.
- 03
Tratamento
Medidas proporcionais ao risco.
- 04
Risco residual
Aceitação e acompanhamento.
Fundamento normativo
- Artigo 26.º do regime aprovado pelo Decreto-Lei n.º 125/2025, sobre o sistema de gestão de riscos;
- Artigo 29.º do mesmo regime, sobre a gestão do risco residual;
- Alínea e) do n.º 2 do artigo 31.º do mesmo regime.
Resultados esperados
- Medidas fundamentadas no risco;
- Decisões de aceitação documentadas;
- Base para a aprovação pelos órgãos de gestão.
Nota
A periodicidade e os elementos técnicos e documentais da análise de riscos são definidos por regulamento da autoridade de cibersegurança competente, pelo que a metodologia é ajustada quando essa regulamentação for publicada.