NIS2 em Portugal: a administração tem de aprovar, supervisionar e saber explicar
O Decreto-Lei n.º 125/2025 colocou a governação de cibersegurança na agenda formal dos órgãos de gestão. Delegar a preparação ao responsável de cibersegurança não transfere a decisão.
- Natureza
- Leitura operacional do regime português de cibersegurança
- Base
- Decreto-Lei n.º 125/2025 e Diretiva (UE) 2022/2555
- Âmbito
- Entidades potencialmente essenciais, importantes e públicas relevantes em Portugal
- Não é parecer
- Validar classificação, prazos e atos concretos com jurídico e CNCS
Em resumo
O regime português exige que os órgãos de gestão, direção ou administração aprovem as medidas de gestão do risco, supervisionem a sua implementação, assegurem cumprimento e promovam formação contínua. O responsável de cibersegurança propõe medidas e informa diretamente os órgãos, mas a aprovação permanece na gestão. Uma ata útil precisa de ligar risco, medida, prioridade, recursos, risco residual, owner, prazo e método de supervisão.
- Confirme primeiro se a entidade é essencial, importante ou pública relevante; preserve o racional e a fonte da classificação.
- Transforme a política de cibersegurança numa decisão formal com risco residual e recursos, não numa receção passiva de documento.
- Defina um calendário de supervisão com métricas que mostrem eficácia, exceções e incidentes.
- Registe formação da gestão com conteúdo proporcional ao papel e teste de compreensão, não apenas presença.
A lei separa preparação técnica de responsabilidade de governação
O artigo 25.º do regime português atribui aos órgãos máximos a aprovação formal, supervisão, cumprimento e formação. O artigo 31.º exige um responsável de cibersegurança que proponha medidas e reporte de forma direta. Esse responsável cria capacidade; não se torna substituto do órgão que decide.
O artigo 27.º cobre incidentes, continuidade, cadeia de abastecimento, aquisição e manutenção, avaliação de eficácia, formação, criptografia, recursos humanos, acesso e ativos. Uma aprovação genérica que não mostra como estas frentes foram avaliadas é difícil de supervisionar depois.
Ciclo de uma decisão NIS2
- CLASSIFICARÂmbito documentado
Setor, dimensão, serviço, categoria e autoridade competente ficam ligados à entidade.
- PROPORRisco e medidas
O responsável apresenta lacunas, prioridades, custo e risco residual.
- APROVARDecisão formal
A gestão aceita, altera ou rejeita com racional e recursos.
- SUPERVISIONAREficácia contínua
Métricas, incidentes, exceções e testes reabrem decisões.
A ata deve permitir reconstruir o juízo da administração
Para cada risco material, mostre serviço afetado, cenário, medidas existentes, lacuna, opção, custo, prazo, risco residual e recomendação. A administração deve saber que decisão está a tomar e que informação falta.
Supervisão não é receber uma percentagem verde. Inclua ativos sem owner, medidas atrasadas, exceções expiradas, incidentes significativos, testes de recuperação, fornecedores críticos e discrepâncias entre desenho e runtime. A ENISA fornece exemplos de evidência, mas não substitui o texto nacional nem a análise da entidade.
Pacote mínimo para aprovação
| Elemento | Pergunta da gestão | Prova | Seguimento |
|---|---|---|---|
| Âmbito | Estamos abrangidos? | Classificação e fonte | Rever mudança |
| Risco | Que serviço e impacto? | Cenário e avaliação | Aceitar/tratar |
| Medida | Reduz quanto? | Teste de eficácia | Métrica e owner |
| Recursos | É executável? | Orçamento e capacidade | Prazo |
| Residual | O que permanece? | Decisão assinada | Data de revisão |
Converta a próxima reunião num gate de risco, não numa apresentação de segurança
Envie o pacote com antecedência, limite a reunião a decisões e grave perguntas sem resposta como ações. Associe cada aprovação a um dashboard operacional e a um calendário de revalidação.
Formação da gestão deve usar cenários da própria entidade: indisponibilidade do serviço, fornecedor comprometido, obrigação de notificação e decisão de continuidade. Preserve conteúdo, participantes, avaliação e melhoria acordada.
- Não usar uma política assinada como única prova de aprovação das medidas.
- Não esconder risco residual atrás de scores agregados.
- Não deixar o responsável de cibersegurança aprovar aquilo que deve propor.
- Não aceitar formação sem relação com as decisões do órgão.
Fontes consultadas
Consultadas na data de atualização indicada.
Abre numa nova janela.Participar
Partilhe a análise. Acrescente contexto.
Divulgue a matéria no seu canal ou deixe uma observação ligada ao tema.
Comentários
A carregar a conversa.