Ciber-resiliência pública: €243 milhões exigem uma carteira de resultados, não uma lista de compras

O sinal e os factos que mudam a decisão

O PTRR atribui €225 milhões ao reforço da cibersegurança e resiliência digital do Estado e €18 milhões à elaboração e implementação da estratégia nacional de segurança no ciberespaço. O texto liga tecnologia, cloud soberana, redundância, operações, NIS2, materialidade e resposta a crises.

A medida de €225 milhões inclui monitorização, SOC, vulnerabilidades, capacidades técnicas, cloud soberana, disaster recovery, backup e redundância física. A reforma de €18 milhões inclui análise de adequação, inconformidades, criticidade, materialidade, notificação NIS2, mitigação e plano de crises.

Os montantes são custos estimados das medidas; não constituem prova de contratos adjudicados, despesa executada ou efeito alcançado. Somar projetos, SOC, cloud e formação não prova continuidade. Sem baseline, dependências, critérios de aceitação e métricas comparáveis, a carteira pode gastar integralmente e ainda deixar serviços essenciais sem recuperação testada ou sem responsável pelo risco residual.

Decisão, limites e condição de bloqueio

Gira os €243 milhões como uma carteira única de capacidades com donos e resultados: serviços cobertos, tempo de deteção, isolamento, recuperação, vulnerabilidades, redundância geográfica, testes e fecho de lacunas legais. Cada contratação deve declarar que resultado move e como será aceite.

Somar projetos, SOC, cloud e formação não prova continuidade. Sem baseline, dependências, critérios de aceitação e métricas comparáveis, a carteira pode gastar integralmente e ainda deixar serviços essenciais sem recuperação testada ou sem responsável pelo risco residual.

Execução e prova de conclusão

A execução deve começar por criar uma árvore de resultados que ligue cada euro a serviço, cenário de falha, capacidade, métrica, baseline, meta e responsável. Depois, condicionar pagamentos relevantes a testes observáveis de deteção, contenção, recuperação, failover e eliminação de pontos únicos. O fecho exige publicar trimestralmente cobertura, resultados de testes, desvios, riscos residuais e decisões, sem expor informação operacional sensível.

A carteira fecha uma vaga apenas quando a capacidade funciona num exercício, o serviço recupera dentro do objetivo, dependências e dados são conhecidos, falhas geram correção e o benefício permanece atribuível ao investimento aprovado.

• criar uma árvore de resultados que ligue cada euro a serviço, cenário de falha, capacidade, métrica, baseline, meta e responsável.
• condicionar pagamentos relevantes a testes observáveis de deteção, contenção, recuperação, failover e eliminação de pontos únicos.
• publicar trimestralmente cobertura, resultados de testes, desvios, riscos residuais e decisões, sem expor informação operacional sensível.
• A carteira fecha uma vaga apenas quando a capacidade funciona num exercício, o serviço recupera dentro do objetivo, dependências e dados são conhecidos, falhas geram correção e o benefício permanece atribuível ao investimento aprovado.