NIS2, DL 125/2025 e resiliência operacional para entidades públicas
Esta área foi pensada para autarquias, juntas, serviços municipalizados, entidades intermunicipais, equipamentos públicos e outras estruturas de proximidade que precisam de aplicar o novo Regime Jurídico da Cibersegurança de forma prática. O foco principal está na transposição da NIS2 em Portugal, através do DL 125/2025: qualificação da entidade, responsabilidade dos órgãos de gestão, medidas técnicas, operacionais e organizativas, gestão da cadeia de fornecedores, prontidão para incidentes, continuidade e evidências. O RGPD mantém-se transversal quando existe tratamento de dados pessoais; DORA só entra no desenho quando há interfaces reais com entidades financeiras ou dependências TIC nesse ecossistema.
Qualificação, governação e responsabilidade da gestão:
Ajudamos a clarificar o enquadramento da entidade, a organizar a identificação quando aplicável e a transformar as responsabilidades dos órgãos de gestão em decisão, supervisão e aprovação efetiva de medidas. O objetivo é sair do plano abstrato e criar governação executável, com papéis, prioridades e accountability.
Inventário, ativos críticos, contas e acessos:
Mapeamos ativos, sistemas, contas, privilégios, software e dependências para reduzir pontos cegos. Esta base é essencial para aplicar o Regime Jurídico da Cibersegurança com critério, controlar exposição, limitar acessos excessivos e sustentar decisões de continuidade e proteção de informação.
Medidas técnicas, continuidade e recuperação:
Configuramos postos, rede, backups, segmentação, proteção de endpoints e mecanismos de recuperação com foco em disponibilidade e resiliência. O objetivo não é apenas cumprir uma obrigação formal: é garantir que a entidade mantém operação, atendimento e acesso a serviços essenciais mesmo perante falha ou incidente.
Fornecedores TIC e cadeia de abastecimento digital:
Ajudamos a rever fornecedores, serviços cloud, contratos, acessos remotos e tecnologias instaladas por terceiros. A NIS2 e o DL 125/2025 reforçam a necessidade de controlar dependências externas, reduzir risco na cadeia de fornecimento e saber quem acede a quê, quando e em que condições.
Incidentes, notificação e evidências de execução:
Preparamos a entidade para detetar eventos, escalar incidentes, organizar registos e produzir evidências úteis para decisão, fiscalização e comunicação com autoridades competentes. Em paralelo, articulamos o tratamento de incidentes de cibersegurança com obrigações RGPD quando exista impacto sobre dados pessoais.
Perfis de entidade
- Autarquias e juntas
- Serviços municipalizados
- Equipamentos públicos
- Estruturas intermunicipais
- Gabinetes técnicos e operacionais
Foco regulatório
- NIS2 e DL 125/2025
- Regime Jurídico da Cibersegurança
- RGPD e Lei 58/2019
- DORA apenas quando aplicável
Prioridades típicas
- Qualificação e identificação da entidade
- Papel da gestão e aprovação de medidas
- Inventário e ativos críticos
- Fornecedores TIC e cadeia de abastecimento
- Continuidade, backups e recuperação
- Incidentes, notificação e evidências
Suporte
- Diagnóstico inicial
- Acompanhamento técnico
- Revisões periódicas
Processo de implementacao
- Qualificacao e enquadramento regulamentar:
- Objetivo: Perceber o contexto da entidade, a exposicao atual e o enquadramento entre privacidade, ciberseguranca e continuidade.
- Método: Levantamento inicial com direcao, equipa tecnica e responsaveis operacionais, incluindo ativos, servicos, terceiros e dados tratados.
- Resultado: Visao clara sobre ambito, obrigacoes, prioridades e pontos criticos.
- Analise de maturidade e gap assessment:
- Objetivo: Avaliar o estado real dos controlos e identificar lacunas face ao contexto da entidade.
- Método: Revisao de acessos, ativos, backups, rede, fornecedores, evidencias, procedimentos e capacidade de resposta.
- Resultado: Mapa de gaps priorizado por risco, impacto e urgencia operacional.
- Plano de medidas e priorizacao executavel:
- Objetivo: Definir o que deve ser feito primeiro, por quem e com que nivel de esforco.
- Método: Traduzimos requisitos e boas praticas em medidas tecnicas e organizativas proporcionais ao contexto e aos recursos disponiveis.
- Resultado: Plano claro, defensavel e orientado para execucao.
- Implementacao tecnica e organizativa:
- Objetivo: Aplicar as medidas acordadas sem comprometer o funcionamento do servico.
- Método: Configuracao de acessos, endurecimento de postos, organizacao de backups, revisao de rede, segmentacao e ajustamentos em tecnologias expostas.
- Resultado: Ambiente mais controlado, mais previsivel e menos vulneravel.
- Validacao, testes e evidencias:
- Objetivo: Confirmar que as medidas implementadas funcionam e ficam documentadas.
- Método: Testes praticos, validacao operacional, revisao de configuracoes, verificacao de recuperacao e organizacao de evidencias de execucao.
- Resultado: Maior confianca operacional e melhor base para auditoria ou supervisao.
- Acompanhamento e melhoria continua:
- Objetivo: Manter o nivel de controlo ao longo do tempo e ajustar o modelo a novas exigencias.
- Método: Suporte tecnico, revisoes periodicas, afinacoes, apoio a incidentes e acompanhamento de prioridades regulatórias.
- Resultado: Continuidade operacional reforcada e evolucao sustentada da maturidade.
Resultados esperados
- Maior clareza sobre o enquadramento da entidade, o papel da gestão e as prioridades reais de execução.
- Base mais robusta para NIS2, DL 125/2025 e Regime Jurídico da Cibersegurança, sem perder de vista RGPD e proteção de dados.
- Melhor controlo sobre ativos, contas, acessos, fornecedores TIC, backups e tecnologias expostas.
- Capacidade reforçada para continuidade, recuperação, tratamento de incidentes e organização de evidências.
- Modelo mais defensável perante dirigentes, auditorias, fiscalização e exigências de prestação de contas.
No setor público, NIS2 não se cumpre com uma política isolada. Cumpre-se com governação, inventário, controlo de fornecedores, medidas proporcionais, capacidade de resposta e evidências de execução que resistem ao tempo e à fiscalização.
— João Pacheco, Cyberprotech
Preparar a entidade para o novo Regime Jurídico da Cibersegurança
Ajudamos estruturas públicas a transformar NIS2, DL 125/2025, RGPD e requisitos operacionais em controlo técnico, continuidade e capacidade de resposta.
Pedir diagnóstico NIS2