Checklist NIS2: as 10 medidas mínimas de segurança que a lei exige

Quando uma empresa percebe que está abrangida pela NIS2, a pergunta seguinte é sempre a mesma: afinal, o que temos mesmo de implementar? A boa notícia é que a lei não deixa isto ao acaso. O Decreto-Lei n.º 125/2025, que transpõe a NIS2 para Portugal, define um conjunto de medidas mínimas de gestão de risco que servem de base para qualquer plano de conformidade.

Este artigo reúne essas medidas numa checklist prática. Não substitui uma análise à sua realidade concreta, mas dá-lhe um ponto de partida claro para saber onde está e o que falta.

As 10 medidas mínimas da NIS2

A NIS2 estabelece um núcleo de medidas que as entidades essenciais e importantes devem adotar, de forma proporcional ao seu risco. São estas:

• ▰Análise de riscos e política de segurança da informação: uma avaliação estruturada dos riscos e uma política aprovada pela gestão que a sustente.
• ▰Gestão de incidentes: processos de prevenção, deteção, resposta e recuperação, com o reporte às autoridades dentro dos prazos legais.
• ▰Continuidade do negócio: gestão de cópias de segurança, planos de recuperação e gestão de crise para manter ou repor os serviços essenciais.
• ▰Segurança da cadeia de abastecimento: avaliação e controlo do risco associado a fornecedores e prestadores de serviços, sobretudo os críticos.
• ▰Segurança no desenvolvimento e manutenção de sistemas: incluir a segurança na aquisição e no desenvolvimento, e gerir e corrigir vulnerabilidades.
• ▰Avaliação da eficácia das medidas: políticas e procedimentos para medir se os controlos implementados estão de facto a funcionar.
• ▰Ciber-higiene e formação: práticas básicas de segurança e formação regular, incluindo dos órgãos de gestão.
• ▰Criptografia e cifragem: políticas de utilização de criptografia para proteger dados sensíveis, em repouso e em trânsito.
• ▰Segurança de pessoal, controlo de acessos e gestão de ativos: acessos atribuídos por necessidade, gestão do ciclo de vida das contas e inventário dos ativos.
• ▰Autenticação multifator e comunicações seguras: uso de MFA ou autenticação contínua e canais de comunicação seguros, incluindo para situações de emergência.

Estas dez áreas são o mínimo comum. A profundidade com que cada uma é aplicada deve ser proporcional à dimensão da empresa e à criticidade dos seus serviços.

Como usar esta checklist

A forma mais útil de trabalhar esta lista não é responder "sim" ou "não" a cada ponto, mas classificar o estado de cada medida em três níveis: inexistente, parcial ou implementada e testada. A diferença entre "temos backups" e "testámos a recuperação dos backups este ano" é exatamente o que a supervisão vai querer ver.

Para cada medida ainda por cumprir, registe três coisas: o que falta, quem é o responsável e até quando. Uma checklist só gera valor quando se transforma num plano com datas — caso contrário, é apenas uma lista de boas intenções.

Comece pelas medidas que reduzem mais risco a curto prazo e que costumam ter lacunas: a autenticação multifator, os backups testados, a gestão de acessos e o processo de resposta a incidentes. São também as que mais rapidamente demonstram progresso.

Da checklist à prova

Cumprir as medidas é metade do trabalho; conseguir demonstrá-lo é a outra metade. A NIS2 assenta numa lógica de responsabilidade: perante a autoridade, a empresa tem de conseguir provar que as medidas existem, que são adequadas e que funcionam.

Por isso, para cada ponto desta checklist, vale a pena guardar a evidência correspondente — a política aprovada, o registo do teste de recuperação, a lista de participantes na formação, o relatório de cobertura de MFA. É este dossiê de evidências que separa uma empresa que "acha que está conforme" de uma que o consegue demonstrar quando for preciso.

Convém também lembrar que a conformidade não é um estado que se atinge e se arquiva. As dez medidas exigem revisão periódica, porque o risco muda, os sistemas mudam e os fornecedores mudam. A checklist é uma fotografia; a conformidade é um filme.

O passo seguinte

Se percorreu esta lista e sentiu que faltam peças — ou que não sabe ao certo o que "adequado e proporcional" significa para a sua empresa —, o mais eficiente é capacitar quem vai decidir e executar. É esse o objetivo da formação NIS2 para Empresas da CyberScan: um curso executivo online, em português, que explica cada uma destas medidas, as obrigações dos órgãos de gestão e a notificação de incidentes, e as organiza num plano de ação de 90 dias, com quizzes e certificado de conclusão.

Uma checklist mostra-lhe o destino. A formação dá à sua equipa o mapa para lá chegar — e a confiança para demonstrar, a qualquer momento, que a empresa leva a sério a sua cibersegurança.

Este conteúdo é informativo e não constitui parecer jurídico. Confirme sempre as medidas aplicáveis e o seu alcance na edição vigente da legislação e da regulamentação, de acordo com o enquadramento da sua organização.