Glossário NIS2 e cibersegurança

Atualizado a 13 de outubro de 2026 · Equipa Ciberconforme

Os termos que aparecem na NIS2 em Portugal, no Regulamento n.º 756/2026 do CNCS e nos projetos de conformidade, explicados em linguagem simples. Para o quadro geral, veja o guia da NIS2 em Portugal.

A

Acreditação

Reconhecimento formal de que um organismo de certificação é competente. Em Portugal é dada pelo IPAC.

Ameaça

O que pode causar dano: um atacante, um erro humano, uma falha de energia.

Análise de impacto no negócio (BIA)

Estudo do efeito da paragem de cada processo. Serve para definir o RTO e o RPO.

Análise de lacunas (gap analysis)

Comparação entre o que a entidade já faz e o que lhe é exigido. É o primeiro trabalho de quase todos os projetos NIS2.

Análise de risco

Identificar ativos, ameaças e vulnerabilidades e estimar a probabilidade e o impacto de cada risco.

Anexo III

Anexo do Regulamento n.º 756/2026 com as medidas mínimas de cibersegurança por nível de conformidade.

Ativo

Tudo o que tem valor e deve ser protegido: equipamentos, sistemas, dados, pessoas, fornecedores.

Ativo exposto

Ativo acessível diretamente pela Internet, como um site, um servidor de email, uma VPN ou um IP público. Deve constar da lista comunicada ao CNCS.

Auditoria

Verificação de que os controlos existem e funcionam. Pode ser interna ou externa.

Autenticação multifator (MFA)

Entrar com mais do que uma prova de identidade, por exemplo palavra-passe e código no telemóvel.

Autoidentificação

Formulário que a entidade preenche na MyCiber com os dados para o CNCS a qualificar.

B

Backup (cópia de segurança)

Cópia dos dados para recuperar depois de uma falha ou ataque. Deve ser testada e guardada à parte.

C

Cadeia de abastecimento

Os fornecedores e prestadores de que a entidade depende. A NIS2 obriga a avaliar a sua segurança e a incluir requisitos nos contratos.

CERT.PT

Equipa nacional de resposta a incidentes, integrada no CNCS.

Certificação

Declaração de um organismo independente, após auditoria, de que se cumpre uma norma.

Ciber-higiene

Boas práticas básicas: atualizações, palavras-passe fortes, MFA, cópias de segurança e formação.

CISO e vCISO

Diretor de segurança da informação. O vCISO (ou CISO como serviço) é um CISO externo, a tempo parcial.

CNCS

Centro Nacional de Cibersegurança. Autoridade nacional que qualifica as entidades, fiscaliza e aplica coimas.

CNPD

Comissão Nacional de Proteção de Dados, autoridade do RGPD.

Conformidade (compliance)

Estar de acordo com leis, normas e políticas internas.

Continuidade do negócio (BCP)

Plano para manter as atividades críticas a funcionar durante uma crise.

Controlo

Medida concreta que reduz um risco. Pode ser técnica, organizacional ou física.

Criptografia

Transformar dados para que só quem tem a chave os consiga ler.

CSIRT

Equipa de resposta a incidentes de segurança informática.

D

Decreto-Lei n.º 125/2025

Lei que transpõe a NIS2 para Portugal e aprova o Regime Jurídico da Cibersegurança. Publicado a 4 de dezembro de 2025, em vigor desde 3 de abril de 2026.

Diretiva

Ato europeu que cada país tem de passar para lei nacional (transposição).

DORA

Regulamento europeu de resiliência digital do setor financeiro, em vigor desde janeiro de 2025.

DRP

Plano de recuperação de desastres: como repor os sistemas depois de uma catástrofe.

E

EC QNRCS

Esquema de certificação de conformidade com o QNRCS. Pode valer como presunção de cumprimento das medidas.

ENISA

Agência da União Europeia para a Cibersegurança.

Entidade essencial

Em regra, grande entidade de um setor do Anexo I. Tem supervisão preventiva e entrega relatório anual. Coima máxima: 10 M€ ou 2% do volume de negócios mundial.

Entidade importante

Média ou grande entidade dos anexos I ou II que não é essencial. Coima máxima: 7 M€ ou 1,4% do volume de negócios mundial.

Entidade pública relevante

Entidade da administração pública abrangida, com medidas próprias (Anexo IV).

Evidência

Prova de que um controlo existe: documento, registo, relatório, captura de ecrã.

F

Firewall

Filtro que decide que tráfego de rede entra e sai.

G

Gestão de vulnerabilidades

Processo de encontrar, priorizar e corrigir falhas de segurança.

GRC

Governação, risco e conformidade. Também o nome do tipo de software que organiza este trabalho.

I

Incidente

Acontecimento que compromete a disponibilidade, integridade, autenticidade ou confidencialidade de dados ou serviços.

Incidente com impacto significativo

Incidente que causa ou pode causar perturbação grave ou prejuízo. Tem de ser notificado ao CNCS pela MyCiber: notificação inicial, notificação de fim do impacto e relatório final ou intercalar.

Inventário de ativos

Lista organizada dos ativos, com responsável e criticidade.

ISO/IEC 27001

Norma internacional de gestão da segurança da informação. Voluntária e certificável; cobre grande parte da NIS2, mas não tudo.

L

Log (registo de eventos)

Registo automático do que acontece num sistema. Essencial para investigar incidentes.

M

Matriz de Risco

Anexo II do Regulamento n.º 756/2026, com valores de risco por setor e subsetor. Define o nível de conformidade de cada entidade.

Medidas mínimas

Medidas de cibersegurança obrigatórias por nível de conformidade (Anexo III). Quem está num nível superior cumpre também as dos inferiores.

Menor privilégio

Cada pessoa ou sistema só tem o acesso de que precisa.

MSP e MSSP

Empresas que gerem a informática (MSP) ou a segurança (MSSP) de outras. Também estão abrangidas pela NIS2.

MyCiber

Plataforma eletrónica do CNCS, canal obrigatório para registo, notificação de incidentes, relatório anual e lista de ativos.

N

NIS2

Diretiva (UE) 2022/2555 sobre cibersegurança, que substitui a primeira diretiva NIS (2016). Em Portugal foi transposta pelo Decreto-Lei n.º 125/2025.

NIST CSF 2.0

Referencial norte-americano com seis funções: Governar, Identificar, Proteger, Detetar, Responder e Recuperar. O QNRCS segue a mesma estrutura.

Nível de conformidade

Básico, substancial ou elevado. Atribuído pelo CNCS com base na Matriz de Risco; define as medidas a aplicar.

P

Pentest (teste de intrusão)

Ataque simulado e autorizado para encontrar falhas.

Phishing

Email ou mensagem falsa para roubar credenciais ou instalar software malicioso.

Plano de ação

Lista de tarefas para fechar lacunas e reduzir riscos, com responsáveis e prazos.

Ponto de Contacto Permanente

Contacto disponível a qualquer hora para o CNCS.

Q

QNRCS

Quadro Nacional de Referência para a Cibersegurança. Catálogo nacional de normas e boas práticas, aprovado como Anexo I do Regulamento n.º 756/2026 e alinhado com o NIST CSF 2.0, a ISO/IEC 27001 e os CIS Controls.

Qualificação

Decisão do CNCS que classifica a entidade e lhe atribui nível de conformidade e medidas.

R

Ransomware

Software malicioso que cifra os dados e pede resgate.

Regulamento n.º 756/2026

Regulamento do CNCS, publicado a 22 de junho de 2026, que põe o Regime Jurídico da Cibersegurança em prática: plataforma, notificações, QNRCS, Matriz de Risco e medidas mínimas.

Relatório anual

Relatório que as entidades essenciais enviam ao CNCS pela MyCiber.

Responsável de Cibersegurança

Pessoa designada pela entidade abrangida e comunicada ao CNCS.

RGPD

Regulamento Geral sobre a Proteção de Dados. Um incidente pode ter de ser notificado ao CNCS e, em paralelo, à CNPD.

Risco residual

O risco que sobra depois de aplicar as medidas.

RJC (Regime Jurídico da Cibersegurança)

Regime aprovado pelo Decreto-Lei n.º 125/2025 que aplica a NIS2 em Portugal.

RPO e RTO

RPO: quantos dados a entidade aceita perder, medido em tempo. RTO: em quanto tempo um serviço tem de voltar a funcionar.

S

Segurança da informação

Proteger a confidencialidade, a integridade e a disponibilidade da informação.

SIEM e SOC

SIEM: sistema que junta e analisa registos para detetar ataques. SOC: centro que vigia os sistemas, muitas vezes 24 horas por dia.

Superfície de ataque

Tudo o que um atacante pode tentar explorar, sobretudo o que está exposto à Internet.

Supervisão ex ante e ex post

Fiscalização preventiva, a qualquer momento (entidades essenciais), ou depois de um problema (entidades importantes).

T

Transposição

Passar uma diretiva europeia para lei nacional.

Tratamento do risco

Decidir o que fazer a um risco: reduzir, transferir, evitar ou aceitar.

V

VPN

Ligação cifrada para aceder à rede da empresa a partir de fora. É um ativo exposto à Internet.

Vulnerabilidade

Fraqueza que uma ameaça pode explorar.

Z

Zero Trust

Princípio de não confiar em ninguém por defeito, nem dentro da rede, e verificar sempre.