QNRCS — Quadro Nacional de Referência para a Cibersegurança

O Quadro Nacional de Referência para a Cibersegurança (QNRCS) foi originalmente lançado em 2018 como instrumento de referência do CNCS para o sector público português. Com a entrada em vigor do Regime Jurídico da Cibersegurança (DL n.º 125/2025, em vigor a 3 de abril de 2026), o QNRCS passou a ter base legal expressa: o art. 14.º do RJC designa-o como o quadro nacional que as entidades essenciais e importantes devem ter em conta na implementação das medidas técnicas e organizacionais do art. 27.º.

A 2.ª versão do QNRCS deriva estruturalmente do NIST Cybersecurity Framework 2.0, mas com identidade nacional: os identificadores são portugueses (GR para Gerir, não o GV do NIST) e cada controlo publica o enunciado, a descrição e as referências cruzadas oficiais (NIST CSF 2.0, CyFun 2025, ISO/IEC 27001/27002, CIS v8.1, SP 800-53). O objetivo Gerir absorve a extensão nacional que a v1 antecipava.

O QNRCS não é uma norma de certificação: é um quadro de referência. A conformidade oficial é aferida pelo Anexo III do Regulamento n.º 756/2026: medidas mínimas obrigatórias por nível de conformidade (básico, substancial, elevado), cumulativas por força do art. 30.º n.º 2, cada uma com o seu Critério de Verificação. O nível de cada entidade resulta da matriz de risco do Anexo II (valores produzidos pelo CNCS). Para empresas portuguesas multi-jurisdicionais, as referências cruzadas oficiais articulam o QNRCS com auditorias ISO ou SOC 2 já em curso.

A Reglyze carrega o Anexo I do Regulamento n.º 756/2026 na íntegra e verbatim: os 107 controlos, com o enunciado e a descrição oficiais em português e as referências cruzadas publicadas (NIST CSF 2.0, CyFun 2025, ISO/IEC 27001/27002, CIS v8.1, SP 800-53). A avaliação pontua controlo a controlo, com agregação por categoria e por objetivo.

O veredicto segue a semântica oficial: a entidade declara o seu nível de conformidade (básico, substancial ou elevado, conforme a matriz de risco do CNCS consultável no MyCiber) e a Reglyze mostra quantas das medidas obrigatórias do nível têm evidência. CONFORME exige a totalidade das medidas do nível (art. 30.º do Regulamento); a percentagem serve apenas como indicador de progresso.

O dashboard QNRCS surge automaticamente para organizações portuguesas. O scoring é feito por controlo, organizado pelos 6 objetivos oficiais (GR / ID / PR / DE / RS / RC). As avaliações iniciadas antes de 22 de junho de 2026 permanecem legíveis no referencial provisório anterior, claramente identificado.