LegalizeResolução do Conselho de Ministros n.º 102/2026 — Plano Nacional de Nuvem Soberana e respetivo Plano de Ação
Aprova o Plano Nacional de Nuvem Soberana e o respetivo Plano de Ação.
A transformação e reforma tecnológica do Estado constituem prioridades centrais do Programa do XXV Governo Constitucional, que visa posicionar Portugal entre os países digitalmente mais avançados da Europa, impulsionando uma Administração Pública mais eficiente, resiliente e preparada para os desafios da era digital.
A crescente relevância das infraestruturas digitais e dos dados para o funcionamento da economia, incluindo das instituições públicas, bem como o aumento dos riscos associados a fenómenos meteorológicos extremos, ao cibercrime e à guerra eletrónica, reforçam a necessidade de assegurar a soberania e a resiliência digital enquanto prioridade estratégica, a nível nacional e europeu.
Definindo soberania como o controlo do acesso aos dados e a garantia permanente de funcionamento de sistemas e infraestruturas críticas, esta é uma condição essencial para assegurar a continuidade dos serviços públicos, a segurança da informação e a autonomia de decisão do Estado. Assim sendo, cabe ao Estado criar condições para reforçar o papel de Portugal na oferta de serviços de computação em nuvem e de inteligência artificial soberanos.
Neste contexto, o Plano de Ação da Estratégia Digital Nacional para 2026-2027, aprovado pela Resolução do Conselho de Ministros n.º 214/2025, de 29 de dezembro, define medidas orientadas para o reforço das infraestruturas digitais do Estado, incluindo a criação de um plano de centralização e migração para soluções em nuvem (projeto 1.3), a definição de um modelo de classificação soberana dos dados da Administração Pública (projeto 8.2) e a elaboração de um plano para o desenvolvimento de uma nuvem soberana (projeto 13.1).
O Governo adota, por isso, uma visão integrada para o reforço das infraestruturas digitais do Estado, orientada para a construção de uma base tecnológica soberana, moderna, segura e resiliente que suporte a eficiência operacional da Administração Pública e a melhoria da qualidade dos serviços prestados aos cidadãos e às empresas.
Neste contexto, o Plano Nacional de Nuvem Soberana define a visão estratégica e linhas de ação para a adoção coordenada, transversal e segura de serviços de computação em nuvem na Administração Pública, em articulação com o Quadro de Soberania em Nuvem (Cloud Sovereignty Framework) da Comissão Europeia, e em alinhamento com o enquadramento legislativo nacional aplicável, nomeadamente o Decreto-Lei n.º 125/2025, de 4 de dezembro, que transpõe a Diretiva (UE) 2022/2555, relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União, e a Estratégia Nacional de Segurança do Ciberespaço, aprovada pela Resolução do Conselho de Ministros n.º 92/2019, de 5 de junho, e, bem assim, com o Quadro Nacional de Referência para a Cibersegurança.
O Plano Nacional de Nuvem Soberana pode também ser aplicável aos órgãos de soberania, com as necessárias adaptações e no respeito pela sua autonomia e atenta a natureza dos dados e sistemas que utilizam. Adicionalmente, e considerando a dimensão extraterritorial da Administração Pública, com adaptações concretas para a aplicação desta estratégia aos dados que têm origem em países terceiros.
Com este plano, o Governo posiciona Portugal na vanguarda da soberania digital europeia, em conformidade com as prioridades do Programa do XXV Governo Constitucional, e reforça a capacidade do Estado para proteger a sua informação estratégica, assegurar a continuidade dos serviços públicos e dispor de uma infraestrutura digital adequada aos desafios da transformação tecnológica, contribuindo simultaneamente para o desenvolvimento de uma economia digital mais dinâmica, inovadora e competitiva.
Assim:
Nos termos da alínea g) do artigo 199.º da Constituição, o Conselho de Ministros resolve:
1 - Aprovar o Plano Nacional de Nuvem Soberana (PNNS), constante do anexo à presente resolução e da qual faz parte integrante.
2 - Determinar que:
O financiamento da implementação da Nuvem Soberana, incluindo o processo de migração inicial, é garantido pelo orçamento do Estado através da Agência para a Reforma Tecnológica do Estado, I. P. (ARTE, I. P.), e da IP Telecom, S. A., podendo ser objeto de reforço via dotação centralizada das finanças;
O financiamento operacional com a Nuvem Soberana é preferencialmente suportado por receitas próprias da IP Telecom, S. A., resultantes das receitas pagas pelas entidades públicas e privadas que venham a utilizar a Nuvem Soberana;
As poupanças geradas nas entidades públicas pela utilização da Nuvem Soberana são partilhadas da seguinte forma: 30 % para a ARTE, I. P., 20 % para a IP Telecom, S. A., e 50 % para a respetiva entidade pública.
3 - Estabelecer que o acompanhamento e monitorização das medidas e ações estabelecidas na presente resolução são asseguradas pela Rede de Simplificação e Tecnologias do Estado, nos termos do Decreto-Lei n.º 85/2026, de 13 de abril.
4 - Mandatar a ARTE, I. P., e o Centro Nacional de Cibersegurança (CNCS) para, no prazo de 90 dias a contar da entrada em vigor da presente resolução, determinarem a metodologia de qualificação e os requisitos de soberania previstos na presente resolução, suportados por referencial técnico, e comunicarem-nos aos membros do Governo responsáveis pelas áreas da digitalização e da cibersegurança.
5 - Determinar que as entidades da Administração Pública procedem à qualificação dos seus processos com base no referencial técnico referido no número anterior, até 30 de junho de 2027, em articulação com a ARTE, I. P., e com o CNCS.
6 - Fixar que todas as orientações, guias, requisitos, referenciais técnicos e relatórios previstos na presente resolução são disponibilizados através do portal digital.gov.pt.
7 - Estabelecer que a presente resolução entra em vigor no dia seguinte ao da sua publicação.
Presidência do Conselho de Ministros, 14 de maio de 2026. - O Primeiro-Ministro, Luís Montenegro.
Anexo — Plano Nacional de Nuvem Soberana
| Modelo e metodologia para a qualificação dos processos de negócio |
|---|
| O modelo de qualificação de processos permite aplicar níveis graduais de controlo em função da soberania dos processos de negócio, dos dados e dos sistemas de informação que os suportam. Neste contexto, os processos da Administração Pública devem ser qualificados em função do impacto que o comprometimento dos respetivos dados e sistemas tem para o funcionamento do Estado e para a prestação de serviços públicos.Com base em referenciais internacionais e nas melhores práticas nacionais, o Centro Nacional de Cibersegurança (CNCS) e a Agência para a Reforma Tecnológica do Estado, I. P. (ARTE, I. P.), identificaram quatro níveis de qualificação de processos de negócio, aos quais corresponderão diferentes requisitos de soberania e controlo:• Neutro - são processos que não estão sujeitos a requisitos, enquadrando-se no nível 0; |
| • Corrente - são processos que, não estando sujeitos a requisitos especiais de soberania, podem estar sujeitos a outros requisitos de soberania e segurança decorrentes da demais legislação aplicável, enquadrando-se no nível 1;• Crítico - são processos que requerem o cumprimento de requisitos acrescidos, tanto de soberania como de segurança, podendo enquadrar-se no nível 2, correspondente à soberania de dados e operacional;• Estratégico - são processos de natureza estratégica que exigem o cumprimento dos mais elevados requisitos de segurança e soberania, enquadrando-se no nível 3.a, associado à soberania de software, ou no nível 3.b, que corresponde à soberania de software de âmbito nacional.Este modelo de qualificação de processos permitirá assegurar que os processos das entidades da Administração Pública, bem como os respetivos dados e sistemas que os suportam, são qualificados em função do impacto que o seu comprometimento tem na soberania nacional.Para apoiar a aplicação deste modelo, o CNCS e a ARTE, I. P., procederão: i) à definição de um procedimento de pontuação de processos de negócio; e ii) à qualificação preliminar dos processos de negócio do 2.º nível do Catálogo de Processos de Negócio da Administração Pública, disponibilizado através da Plataforma de Classificação e Avaliação da Informação Pública (CLAV). O procedimento de pontuação de processos de negócio permitirá efetuar a pontuação dos processos do 2.º nível da CLAV com base em três dimensões:1.1 - Pessoas e vida humana: Sem Impacto, Impacto Moderado ou Impacto Significativo;1.2 - Estabilidade do Estado: Sem Impacto, Impacto Moderado ou Impacto Significativo;1.3 - Exposição de Dados: Sem Impacto, Impacto Moderado ou Impacto Significativo. |
| A tabela de qualificação preliminar resultante deste exercício terá como objetivo acelerar e apoiar a qualificação a efetuar pelas entidades da Administração Pública. Sem prejuízo, as entidades da Administração Pública poderão efetuar a sua própria pontuação dos respetivos processos de negócio, com base no procedimento de pontuação de processos de negócio disponibilizado pelo CNCS e pela ARTE, I. P.Em suma, a metodologia a adotar será:1) As entidades utilizarão a tabela de pré-qualificação a disponibilizar pelo CNCS e pela ARTE, I. P., para qualificarem os seus processos de negócio, identificando para cada processo qual o nível de soberania correspondente;2) Na eventualidade de não concordarem com a pré-qualificação apresentada pelo CNCS e pela ARTE, I. P., as autoridades da Administração Pública poderão executar o procedimento de pontuação de processos de negócio, a disponibilizar pelo CNCS e pela ARTE, I. P.;3) O resultado do processo de qualificação determinará o nível de soberania aplicável aos processos de negócios; e4) Para cada nível de soberania, o CNCS e a ARTE, I. P., definirão um conjunto de requisitos de soberania e segurança a aplicar aos dados e sistemas que suportam os processos de negócio qualificados. |
| A experiência internacional demonstra que a grande maioria dos dados da Administração Pública tende a situar-se nos níveis com menores requisitos de soberania, enquanto uma pequena percentagem exige requisitos maiores de soberania e controlo. |
| As percentagens indicadas na imagem acima têm carácter ilustrativo e não vinculativo, destinando-se apenas a evidenciar a lógica subjacente ao modelo de qualificação. Com efeito, a distribuição efetiva dos dados e sistemas pelos diferentes níveis de soberania poderá ser distinta. |
| Modelo e metodologia para a qualificação dos processos de negócio |
|---|
| O modelo de qualificação de processos permite aplicar níveis graduais de controlo em função da soberania dos processos de negócio, dos dados e dos sistemas de informação que os suportam. Neste contexto, os processos da Administração Pública devem ser qualificados em função do impacto que o comprometimento dos respetivos dados e sistemas tem para o funcionamento do Estado e para a prestação de serviços públicos.Com base em referenciais internacionais e nas melhores práticas nacionais, o Centro Nacional de Cibersegurança (CNCS) e a Agência para a Reforma Tecnológica do Estado, I. P. (ARTE, I. P.), identificaram quatro níveis de qualificação de processos de negócio, aos quais corresponderão diferentes requisitos de soberania e controlo:• Neutro - são processos que não estão sujeitos a requisitos, enquadrando-se no nível 0; |
| • Corrente - são processos que, não estando sujeitos a requisitos especiais de soberania, podem estar sujeitos a outros requisitos de soberania e segurança decorrentes da demais legislação aplicável, enquadrando-se no nível 1;• Crítico - são processos que requerem o cumprimento de requisitos acrescidos, tanto de soberania como de segurança, podendo enquadrar-se no nível 2, correspondente à soberania de dados e operacional;• Estratégico - são processos de natureza estratégica que exigem o cumprimento dos mais elevados requisitos de segurança e soberania, enquadrando-se no nível 3.a, associado à soberania de software, ou no nível 3.b, que corresponde à soberania de software de âmbito nacional.Este modelo de qualificação de processos permitirá assegurar que os processos das entidades da Administração Pública, bem como os respetivos dados e sistemas que os suportam, são qualificados em função do impacto que o seu comprometimento tem na soberania nacional.Para apoiar a aplicação deste modelo, o CNCS e a ARTE, I. P., procederão: i) à definição de um procedimento de pontuação de processos de negócio; e ii) à qualificação preliminar dos processos de negócio do 2.º nível do Catálogo de Processos de Negócio da Administração Pública, disponibilizado através da Plataforma de Classificação e Avaliação da Informação Pública (CLAV). O procedimento de pontuação de processos de negócio permitirá efetuar a pontuação dos processos do 2.º nível da CLAV com base em três dimensões:1.1 - Pessoas e vida humana: Sem Impacto, Impacto Moderado ou Impacto Significativo;1.2 - Estabilidade do Estado: Sem Impacto, Impacto Moderado ou Impacto Significativo;1.3 - Exposição de Dados: Sem Impacto, Impacto Moderado ou Impacto Significativo. |
| A tabela de qualificação preliminar resultante deste exercício terá como objetivo acelerar e apoiar a qualificação a efetuar pelas entidades da Administração Pública. Sem prejuízo, as entidades da Administração Pública poderão efetuar a sua própria pontuação dos respetivos processos de negócio, com base no procedimento de pontuação de processos de negócio disponibilizado pelo CNCS e pela ARTE, I. P.Em suma, a metodologia a adotar será:1) As entidades utilizarão a tabela de pré-qualificação a disponibilizar pelo CNCS e pela ARTE, I. P., para qualificarem os seus processos de negócio, identificando para cada processo qual o nível de soberania correspondente;2) Na eventualidade de não concordarem com a pré-qualificação apresentada pelo CNCS e pela ARTE, I. P., as autoridades da Administração Pública poderão executar o procedimento de pontuação de processos de negócio, a disponibilizar pelo CNCS e pela ARTE, I. P.;3) O resultado do processo de qualificação determinará o nível de soberania aplicável aos processos de negócios; e4) Para cada nível de soberania, o CNCS e a ARTE, I. P., definirão um conjunto de requisitos de soberania e segurança a aplicar aos dados e sistemas que suportam os processos de negócio qualificados. |
| A experiência internacional demonstra que a grande maioria dos dados da Administração Pública tende a situar-se nos níveis com menores requisitos de soberania, enquanto uma pequena percentagem exige requisitos maiores de soberania e controlo. |
| As percentagens indicadas na imagem acima têm carácter ilustrativo e não vinculativo, destinando-se apenas a evidenciar a lógica subjacente ao modelo de qualificação. Com efeito, a distribuição efetiva dos dados e sistemas pelos diferentes níveis de soberania poderá ser distinta. |
A consulta deste documento não substitui a leitura do Diário da República correspondente. Não nos responsabilizamos por eventuais incorreções resultantes da transcrição do original para este formato.
Este texto é publicado ao abrigo das condições de reutilização do próprio DRE, não ao abrigo de uma licença Legalize nem de domínio público.
DRE
Acesso universal e gratuito ao Diário da República, nos termos do artigo 3.º do Decreto-Lei n.º 83/2016, de 16 de dezembro, que abrange a impressão, o arquivo, a pesquisa e o livre acesso ao conteúdo dos atos publicados, em formatos eletrónicos de acesso aberto; e do regime de dados abertos da Lei n.º 68/2021, de 26 de agosto. A edição eletrónica é a que faz fé (eli:legal_value = official).