Que atividades ficam comprometidas?

Relacione fornecedores críticos com processos, serviços e dados. Verifique se as alternativas disponíveis dependem da mesma infraestrutura ou dos mesmos acessos. Uma alternativa que partilha a origem da falha pode não resolver a interrupção.

Quem decide e quais são as prioridades?

Clarifique quem ativa os planos, coordena a recuperação e comunica com clientes e parceiros. Compare os tempos de recuperação previstos com o tempo de interrupção que as atividades prioritárias conseguem tolerar.

Que evidência demonstra que a resposta funciona?

Procure resultados de exercícios, testes de recuperação e ações de melhoria concluídas. O planeamento, os cenários realistas e a aprendizagem com incidentes são componentes centrais da preparação para a recuperação, como salienta o NIST.

Porque devo preparar a minha equipa para NIS2 / DORA / Cyber Resilience Act?

Porque a preparação reduz a incerteza, melhora a consistência das decisões e ajuda a demonstrar evidência perante auditorias, autoridades, clientes ou parceiros. Também permite distribuir responsabilidades antes de ocorrer um incidente ou de surgir um pedido urgente de informação.

A formação é suficiente?

Depende do objectivo. Para desenvolver competências e criar uma linguagem comum, a formação é um ponto de partida. Quando a organização precisa de implementar, rever ou verificar controlos, pode ser necessário complementar a capacitação com advisory ou auditoria interna.

Que curso devo escolher?

Escolha em função do referencial, do papel e do nível de responsabilidade. O NIS 2 Compliance Lead Manager destina-se a quem precisa de liderar uma framework de conformidade NIS 2, desde o âmbito e a governação até às medidas, ao reporte, à supervisão e à evidência. O DORA Compliance Lead Manager destina-se a quem precisa de operacionalizar governação, risco TIC, incidentes, testes de resiliência, terceiros e evidência no contexto DORA. O Cyber Resilience Act Foundation destina-se a quem precisa de compreender o âmbito e os requisitos de segurança aplicáveis a produtos com elementos digitais ao longo do ciclo de vida. Para sensibilização, fundamentos ou governação executiva, devem ser considerados os restantes percursos disponíveis na área de Conformidade Digital e Resiliência Operacional.

Qual é a diferença entre um Plano de Continuidade de Negócio e um Plano de Recuperação de Desastre?

O Plano de Continuidade de Negócio orienta a continuidade e a retoma das actividades, produtos e serviços prioritários. O Plano de Recuperação de Desastre concentra-se na recuperação da infra-estrutura, dos dados e dos serviços tecnológicos. São componentes complementares; a necessidade de um DRP autónomo e a forma de articulação entre documentos dependem do âmbito e da dependência tecnológica da organização.

Qual é a diferença entre BIA e risco?

A BIA analisa os impactos de uma interrupção ao longo do tempo, identifica actividades prioritárias e apoia a definição do MTPD, do RTO, do MBCO e, quando aplicável, do RPO. A avaliação de risco identifica os cenários que podem provocar a interrupção, analisa a probabilidade e as consequências e orienta as medidas de tratamento. Em termos simples, a BIA pergunta que impacto terá a interrupção e até quando é tolerável; a avaliação de risco pergunta o que pode provocar a interrupção e como reduzir a exposição.

Qual é a diferença entre o ISO 22301 Lead Implementer e o Lead Auditor?

O Lead Implementer prepara profissionais para apoiar o desenho, a implementação, a operação e a melhoria de um SGCN. O Lead Auditor desenvolve competências para planear e conduzir auditorias de primeira, segunda ou terceira parte, de acordo com a função e a competência do profissional. A conclusão da formação não confere, por si só, autoridade para emitir uma certificação de terceira parte.

A ISO 27001 garante conformidade automática com o DORA?

Não. A ISO/IEC 27001 não substitui o DORA nem elimina a necessidade de analisar os requisitos legais aplicáveis. No entanto, um Sistema de Gestão de Segurança da Informação bem implementado pode apoiar a gestão de risco TIC, a documentação, a evidência de controlos, a resposta a incidentes e a governação exigidas em contextos regulados.

Que empresas devem considerar formação em ISO 27001 no contexto do DORA?

Devem considerar formação as entidades financeiras abrangidas pelo DORA, os seus fornecedores TIC e empresas que prestam serviços cloud, software, outsourcing, suporte tecnológico, consultoria, auditoria, gestão de dados ou outros serviços críticos. Também é relevante para organizações que pretendem melhorar a sua postura de Segurança da Informação e responder a exigências de clientes empresariais.

A ISO 27001 é apenas para equipas de IT?

Não. Embora envolva controlos técnicos, a ISO 27001 é uma norma de gestão. Envolve direção, compliance, qualidade, RH, compras, jurídico, operações, segurança física, comunicação e todas as áreas que tratam informação relevante. A segurança depende tanto de tecnologia como de processos, responsabilidades e comportamento humano.

Qual é a diferença entre implementar e certificar a ISO 27001?

Implementar significa criar e operar um Sistema de Gestão de Segurança da Informação alinhado com os requisitos da norma. Certificar significa submeter esse sistema a auditoria por uma entidade certificadora independente. Uma organização pode começar por se alinhar com a norma e evoluir depois para a certificação, consoante os seus objetivos, riscos e exigências de mercado.

O que é o Regulamento 756/2026?

É o regulamento que concretiza a execução do Regime Jurídico da Cibersegurança em Portugal, definindo regras práticas para entidades abrangidas, medidas mínimas, comunicações, notificações, risco residual e níveis de conformidade.

Qual a relação entre o Regulamento 756/2026 e a NIS2?

O Regulamento 756/2026 operacionaliza obrigações do Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025, que transpôs a Diretiva NIS2 para Portugal.

Quem deve implementar o Regulamento 756/2026 na empresa?

A implementação envolve CISO, responsável de cibersegurança, CIO, TI, SOC, GRC, compliance, risco, continuidade, auditoria, jurídico, compras, RH, donos de processo e órgãos de gestão.