Porque devo preparar a minha equipa para NIS2 / DORA / Cyber Resilience Act?

Porque a preparação reduz a incerteza, melhora a consistência das decisões e ajuda a demonstrar evidência perante auditorias, autoridades, clientes ou parceiros. Também permite distribuir responsabilidades antes de ocorrer um incidente ou de surgir um pedido urgente de informação.

A formação é suficiente?

Depende do objectivo. Para desenvolver competências e criar uma linguagem comum, a formação é um ponto de partida. Quando a organização precisa de implementar, rever ou verificar controlos, pode ser necessário complementar a capacitação com advisory ou auditoria interna.

Que curso devo escolher?

Escolha em função do referencial, do papel e do nível de responsabilidade. O NIS 2 Compliance Lead Manager destina-se a quem precisa de liderar uma framework de conformidade NIS 2, desde o âmbito e a governação até às medidas, ao reporte, à supervisão e à evidência. O DORA Compliance Lead Manager destina-se a quem precisa de operacionalizar governação, risco TIC, incidentes, testes de resiliência, terceiros e evidência no contexto DORA. O Cyber Resilience Act Foundation destina-se a quem precisa de compreender o âmbito e os requisitos de segurança aplicáveis a produtos com elementos digitais ao longo do ciclo de vida. Para sensibilização, fundamentos ou governação executiva, devem ser considerados os restantes percursos disponíveis na área de Conformidade Digital e Resiliência Operacional.

A ISO 27001 garante conformidade automática com o DORA?

Não. A ISO/IEC 27001 não substitui o DORA nem elimina a necessidade de analisar os requisitos legais aplicáveis. No entanto, um Sistema de Gestão de Segurança da Informação bem implementado pode apoiar a gestão de risco TIC, a documentação, a evidência de controlos, a resposta a incidentes e a governação exigidas em contextos regulados.

Que empresas devem considerar formação em ISO 27001 no contexto do DORA?

Devem considerar formação as entidades financeiras abrangidas pelo DORA, os seus fornecedores TIC e empresas que prestam serviços cloud, software, outsourcing, suporte tecnológico, consultoria, auditoria, gestão de dados ou outros serviços críticos. Também é relevante para organizações que pretendem melhorar a sua postura de Segurança da Informação e responder a exigências de clientes empresariais.

A ISO 27001 é apenas para equipas de IT?

Não. Embora envolva controlos técnicos, a ISO 27001 é uma norma de gestão. Envolve direção, compliance, qualidade, RH, compras, jurídico, operações, segurança física, comunicação e todas as áreas que tratam informação relevante. A segurança depende tanto de tecnologia como de processos, responsabilidades e comportamento humano.

Qual é a diferença entre implementar e certificar a ISO 27001?

Implementar significa criar e operar um Sistema de Gestão de Segurança da Informação alinhado com os requisitos da norma. Certificar significa submeter esse sistema a auditoria por uma entidade certificadora independente. Uma organização pode começar por se alinhar com a norma e evoluir depois para a certificação, consoante os seus objetivos, riscos e exigências de mercado.

Articles tagged with: DORA

NIS2 / DORA / Cyber Resilience Act: o que muda e como preparar a organização

Date: Julho 20, 2026 Author: Editor

Guia Prático NIS 2_DORA_Cyber Resilience Act

NIS2 / DORA / Cyber Resilience Act: o que muda e como preparar a organização

Âmbito, governação, risco, incidentes, terceiros, produtos digitais e evidência: uma estrutura prática para preparar a organização sem confundir regimes distintos.

⏱️ Leitura estimada: 7–8 minutos

NIS2, DORA e Cyber Resilience Act estão a transformar a forma como as organizações gerem risco, incidentes, terceiros, produtos com elementos digitais e evidência. Embora partilhem algumas preocupações, aplicam-se a contextos diferentes e exigem respostas distintas.

Em Portugal, o Decreto-Lei n.º 125/2025 aprovou o novo Regime Jurídico da Cibersegurança, transpondo a NIS2, e entrou em vigor em 3 de abril de 2026. O Regulamento n.º 756/2026, em vigor desde 23 de junho, concretizou matérias como o funcionamento da plataforma electrónica, o Quadro Nacional de Referência para a Cibersegurança, a matriz de risco, as medidas mínimas e os critérios de verificação.

O DORA é directamente aplicável desde 17 de janeiro de 2025. No Cyber Resilience Act, as obrigações de reporte começam a aplicar-se em 11 de setembro de 2026, enquanto a aplicação geral do regulamento está prevista para 11 de dezembro de 2027.

ISO 27001 e DORA: como alinhar segurança da informação, risco TIC e resiliência operacional

Date: Julho 9, 2026 Author: Editor

ISO 27001 e DORA risco TIC e resiliência

ISO 27001 e DORA: como alinhar segurança da informação, risco TIC e resiliência operacional

A ISO/IEC 27001 não substitui o DORA, mas pode ser uma base sólida para organizar Segurança da Informação, gestão de risco TIC, continuidade, evidência documental e controlo de fornecedores.

⏱️ Leitura estimada: 5 minutos

A Segurança da Informação deixou de ser apenas uma responsabilidade técnica. Hoje, é também uma prioridade de gestão, conformidade, continuidade de negócio e confiança digital.

Com o DORA, as entidades financeiras e muitos dos seus prestadores de serviços passam a enfrentar requisitos mais exigentes sobre risco TIC, incidentes, testes de resiliência operacional digital e gestão de terceiros. Neste contexto, a ISO/IEC 27001 ganha relevância porque oferece uma estrutura reconhecida para organizar políticas, responsabilidades, controlos, evidências e melhoria contínua.

Para empresas e profissionais, compreender a ligação entre ISO 27001 e DORA pode ser uma vantagem estratégica.

Segurança em Período de Férias

Date: Agosto 4, 2025 Author: Editor

Segurança & Continuidade • Artigo

Cuidados essenciais para profissionais e equipas que não podem dar férias aos riscos

⏱️ Leitura estimada: 7 minutos

Preparação prática para proteger a segurança da informação, a continuidade do negócio e a resiliência organizacional durante o período de férias.

Agosto chegou. Para muitos, é tempo de descanso. Para os riscos é oportunidade. Quando entramos em modo verão, relaxamos, as equipas rodam e os processos abrandam. Mas os riscos mantêm-se atentos. É precisamente nesses períodos de menor vigilância que muitos dos incidentes mais graves têm origem.Partilhamos os principais cuidados a ter antes, durante e após o período de férias, com foco na segurança da informação, continuidade do negócio e resiliência organizacional.

Antes das férias: preparar, proteger, delegar

1. Reveja e limite contas e acessos

Elimine acessos temporários ou não utilizados
Verifique permissões atribuídas a prestadores externos
Restrinja acessos privilegiados e garanta rastreabilidade
Aplique regras claras para órgãos de gestão, se necessário
Registe tudo acções de desativação e reativação futuras

Acesso mínimo. Tempo limitado. Tudo rastreável.

2. Defina substitutos e procedimentos claros

Quem substitui quem?
Que decisões podem ser tomadas?
O que fazer em caso de incidente?

Continuidade não é só presença é preparação e resposta.

3. Reforce a vigilância contra fraudes e phishing

Pagamentos urgentes em nome do CEO ausente
Pedidos falsos de mudança de IBAN
Mensagens urgentes com penalizações
Prémios ou sorteios falsos
Links fraudulentos sobre entregas
Cuidado com deepfakes: voz ou vídeo falsos com pedidos de acessos, transferências ou extorsão

Redobre a atenção. Aplique ciber-higiene. Reporte sempre.

4. Reveja os planos de continuidade e resposta a incidentes

Planos atualizados e testados com equipa reduzida?
Quem ativa o plano em agosto?
Fornecedores continuam prontos nesse período?

Um plano que não funciona em férias… não é plano.

Durante as férias: manter o essencial a funcionar

5. Cuidado com redes e Wi-Fi públicas

Desligue redes e equipamentos não necessários
Evite Wi-Fi públicas para aceder a sistemas
Se inevitável, use VPN da organização

A conveniência de hoje pode ser o incidente de amanhã.

6. Proteja e automatize sem desligar totalmente

Automatize backups (de preferência imutáveis)
Ative alertas e notificações para incidentes
Garanta visibilidade mínima mesmo em férias

Automação inteligente protege mesmo quando desliga.

7. Evite expor a sua ausência nas redes

Evite frases como “fora até setembro”
Evite fotos e vídeos com localização em tempo real
Prefira grupos fechados para partilhas pessoais

Maior pegada digital = mais oportunidade para ataques de engenharia social.

Depois das férias: validação e reativação

8. Revalide acessos e alterações feitas

Alguma conta temporária ainda ativa?
Configurações alteradas sem reversão?
Algum incidente não detetado?
Reveja logs e relatórios de segurança

Pós-férias = check-up obrigatório.

9. Atualize e valide sistemas

Aplique atualizações de segurança pendentes
Verifique backups e relatórios
Confirme integridade dos logs, incluindo o antivírus e a firewall

Comece com confiança. Sem dúvidas técnicas.

Formação recomendada?

A Behaviour ajuda equipas a antecipar riscos, responder a incidentes e reforçar a continuidade, antes, durante e depois das férias.

Cursos recomendados:

Preparar é proteger. Mesmo quando todos estão a desligar. A segurança não tira férias. Mas com o planeamento certo, você pode.

Ver calendário de formações

Tem uma dúvida de formação relacionada com este tema?

Se procura perceber em que curso, área ou percurso Behaviour este conteúdo pode ser trabalhado, consulte a página Formação por Necessidades.

Ver Formação por Necessidades

Autor: Behaviour
Publicado em: 4 agostode 2025
Não é autorizada a cópia ou reprodução deste artigo.