Edição de 15/09: um prazo KEV não é automaticamente um dever português

O catálogo responde a uma pergunta específica

A decisão útil para uma equipa portuguesa não é «que prazo americano copiamos?», mas «onde temos este produto e que ação justificamos agora?». Esta edição dirige-se a responsáveis de vulnerabilidades, operações e donos de serviço. Não anuncia uma entrada no catálogo em 15 de setembro nem enumera CVEs; recupera uma pergunta de priorização com fontes consultadas em outubro.

A CISA descreve três critérios para inclusão KEV: identificador CVE atribuído, prova fiável de exploração em ambiente real e ação de remediação clara. Uma entrada é um sinal sobre a vulnerabilidade; não demonstra que um equipamento da sua organização tenha sido comprometido.

A versão da diretiva também conta

O texto atual da BOD 26-04, emitida em 10 de junho de 2026, revoga e substitui a BOD 22-01. A CISA identifica os sistemas e agências FCEB como o âmbito federal desta diretiva. Não deve apresentar a diretiva antiga como vigente nem converter a sua obrigação federal numa obrigação geral de todas as PME portuguesas.

A própria CISA recomenda a outras organizações utilizar o KEV na priorização. A nossa interpretação delimitada é que recomendação e vinculação são coisas diferentes. Um contrato ou outra regra aplicável pode criar deveres adicionais; este artigo não os avalia. A equipa deve guardar essa questão separadamente, com o seu fundamento, em vez de misturar tudo numa coluna «prazo CISA».

Cruzar o sinal com uma instância

O NCSC britânico recomenda conhecer sistemas, software e responsáveis por cada serviço, mantendo descoberta e configuração como processos contínuos. É orientação técnica estrangeira, não lei portuguesa. A adaptação Velqory propõe começar pela instância concreta: identificação do ativo, versão, componente afetado, caminho de acesso e serviço suportado.

Uma marca encontrada num inventário antigo não basta para decidir presença ou ausência. Peça confirmação ao mantenedor e registe a data. Inclua serviços contratados: «é do fornecedor» deve originar um pedido de evidência, não retirar o ativo da fila. Se a exposição estiver desconhecida, mantenha uma tarefa de esclarecimento prioritária com decisor identificado.

Três prazos, três fundamentos

Esta matriz é original e não reproduz os intervalos da diretiva. O dono de serviço deve escolher um prazo interno considerando exposição e consequência, e a equipa de segurança deve conservar o motivo. A pergunta de aceitação é se outra pessoa consegue reconstruir a decisão sem depender de uma conversa.

O ativo «interno» tem outro percurso

Cenário hipotético: operações considera um equipamento interno, mas o prestador mantém um acesso remoto. A equipa escolhe esperar pelo prazo do catálogo sem examinar esse percurso. O exercício proposto é desenhar os acessos autorizados e confirmar quem controla cada um; não executar exploração.

Se a única prova for «não aparece no scanner externo», a exposição permanece por esclarecer. O dono de serviço deve decidir uma ação provisória e quem obtém confirmação. Não declarar que uma segmentação proposta foi eficaz antes de a testar no âmbito autorizado, nem afirmar que há incidente apenas por existir correspondência KEV.

Uma decisão que sobrevive à próxima reunião

A saída proposta tem quatro estados: não presente com prova, presente com ação atribuída, mitigado temporariamente com revisão, ou desconhecido com investigação. Evite o estado «informado» como sinónimo de resolvido. Guarde o aviso do fornecedor utilizado, a mudança pedida e a próxima verificação.

O valor editorial está em fazer a distinção sem abrandar a resposta: a ausência de vinculação federal não torna a vulnerabilidade irrelevante. A recomendação Velqory é justificar um prazo próprio, possivelmente mais exigente quando o contexto o pede, e preservar separadamente a análise de obrigações portuguesas e contratuais.