Perguntas frequentes Página 24 de 24

Perguntas frequentes — página 24

• O que é revisto antes de definir um projeto IT para multinacionais em Espanha e Portugal?

  Revemos locais, utilizadores, inventário, aplicações, dependências, fornecedores, acessos, incidentes e janelas de mudança. Para multinacionais em Espanha e Portugal, também documentamos coordenação com IT global, execução local e reporting consistente. O âmbito e os objetivos são confirmados com essas evidências.
• Como é reduzido o risco durante uma alteração?

  Cada alteração identifica pré-condições, responsável, janela, estado anterior, testes de aceitação e reversão. Quando o impacto o justifica, a validação começa num local, sistema ou grupo representativo.
• Como é coordenado o trabalho com outros fornecedores?

  A matriz de responsabilidades indica quem aprova, executa, valida e recebe cada tarefa. Dependências de operador, fabricante ou software são registadas antes de definir datas, e o fecho inclui resultados e pendentes.
• O que é revisto antes de definir um projeto IT para educação e formação?

  Revemos alunos, pessoal, salas, plataforma de aprendizagem, dispositivos, WiFi e aplicações académicas, além de locais, responsáveis, dependências, acessos e janelas. O âmbito é confirmado com essas evidências e prioridades acordadas.
• O que é revisto antes de definir um projeto IT para saúde e clínicas?

  Revemos HIS, RIS-PACS, laboratório, postos clínicos, identidade e dispositivos médicos ligados, além de locais, responsáveis, dependências, acessos e janelas. O âmbito é confirmado com essas evidências e prioridades acordadas.
• Que coimas existem e a direção responde?

  Nas infrações muito graves, até 10 milhões de euros ou 2 % do volume de negócios mundial para as entidades essenciais, e 7 milhões ou 1,4 % para as importantes. Os titulares dos órgãos de direção podem responder por dolo ou culpa grave. Durante 12 meses após a entrada em vigor pode pedir-se a dispensa de coimas, mas esta não é automática (art. 65.º).
• Se a minha empresa não está abrangida, tenho de fazer alguma coisa?

  Não tem os deveres do regime, mas um cliente abrangido tem de gerir a segurança dos seus fornecedores e pode pedir-lhe cláusulas e evidências. Um dossiê com políticas, autenticação multifator, cópias testadas e registo de incidentes ajuda; uma certificação como a ISO 27001 também, mas não é obrigatória.
• O que é a MyCiber e tenho de me registar?

  É a plataforma do CNCS para autoidentificação, comunicações e notificação de incidentes. Quem pode estar abrangido preenche o formulário e o CNCS decide a qualificação. O prazo é de 30 dias para entidades novas e de 60 dias após a disponibilização da plataforma para as já ativas; o coordenador do CNCS referiu 60 dias úteis.
• Quanto custa certificar-se?

  Depende do âmbito, da categoria ou do risco, da maturidade de partida, do esforço interno e do organismo de certificação. Não indicamos valores: calculam-se caso a caso depois de definido o âmbito.
• A ISO 27001 vale em vez do ENS num concurso público?

  Não como substituto automático. Se o caderno de encargos exige a declaração ou certificação de conformidade com o ENS, é essa que é exigida. A ISO 27001 pode dar maturidade e reaproveitar trabalho, mas o que é aceite define-o o caderno de encargos.
• Posso começar a preparar-me sem conhecer a lei espanhola?

  Sim. As medidas do art. 21.º (políticas, incidentes, cópias, cadeia de abastecimento, MFA, formação) são boas práticas independentemente da data da lei, e o plano de 90 dias deste guia assenta nelas.
• O ENS é obrigatório para uma empresa privada?

  Só se prestar serviços ou fornecer soluções a entidades do setor público espanhol, e aplica-se aos sistemas envolvidos (art. 2.º, n.º 3, do Real Decreto 311/2022). O caderno de encargos ou o contrato indicará a declaração ou certificação exigida.
• A minha PME tem de cumprir a NIS2?

  Em regra, só se o seu setor constar dos anexos I ou II e a empresa for, no mínimo, média, com estabelecimento em Portugal. Com menos de 50 pessoas e até 10 milhões de euros de volume de negócios ou de balanço, é em regra pequena e fica de fora, salvo as exceções do art. 3.º, como as comunicações eletrónicas públicas.
• A NIS2 está em vigor em Espanha?

  A diretiva está em vigor na UE, mas Espanha não publicou a lei que a transpõe e o prazo terminou a 17-10-2024. A 15-10-2026 o texto continua como anteprojeto e as Cortes estão dissolvidas desde 6-10-2026. Entretanto aplica-se o regime anterior (RDL 12/2018).
• Uma PME pode ter o ENS e a ISO 27001 ao mesmo tempo?

  Sim. São referenciais distintos mas compatíveis e sobrepõem-se em grande parte do trabalho (política, riscos, aplicabilidade, incidentes, continuidade). Convém definir bem os âmbitos para não certificar mais do que o necessário.
• Quem responde se a empresa não cumprir?

  A diretiva prevê que os órgãos de direção aprovem as medidas, as supervisionem e possam ser responsabilizados pelo incumprimento (art. 20.º), com coimas máximas de, pelo menos, 10 milhões de euros ou 2 % do volume de negócios mundial anual, consoante o que for mais elevado, para as entidades essenciais, e 7 milhões ou 1,4 %, consoante o que for mais elevado, para as importantes. Os montantes finais dependerão da lei nacional.
• Qual a diferença entre declaração e certificação de conformidade com o ENS?

  Os sistemas de categoria BÁSICA só requerem autoavaliação para declarar a conformidade, embora possam submeter-se a uma auditoria de certificação; os de categoria MÉDIA ou ALTA precisam de auditoria para certificar a conformidade (art. 38.º).
• Com que frequência se audita o ENS?

  Pelo menos de dois em dois anos, e de forma extraordinária se houver alterações substanciais nos sistemas (art. 31.º). Na ISO 27001, o ciclo de revisões é fixado pelo organismo de certificação.
• Em quanto tempo tenho de notificar um incidente?

  Notificação inicial até 24 horas após concluir que existe um incidente significativo, atualização até 72 horas quando necessário, notificação do fim do impacto até 24 horas depois e relatório final até 30 dias úteis a seguir (arts. 42.º a 44.º). Se houver violação de dados pessoais, o RGPD pode exigir notificação à CNPD em 72 horas.
• Uma microempresa ou pequena empresa tem de cumprir a NIS2?

  Em regra não, porque a diretiva se dirige a entidades médias e grandes dos setores dos anexos I e II. Pequena significa menos de 50 pessoas e até 10 milhões de euros de volume de negócios ou de balanço: o número de colaboradores, por si só, não decide. Há exceções por tipo de serviço (por exemplo, DNS ou comunicações eletrónicas públicas), e podem chegar-lhe requisitos por contrato como fornecedor de uma entidade abrangida.
• Que prazos de notificação de incidentes impõe a NIS2?

  Alerta rápido em 24 horas, notificação do incidente em 72 horas e relatório final o mais tardar um mês depois dessa notificação (art. 23.º, n.º 4). Havendo dados pessoais, o RGPD acrescenta a sua própria notificação à autoridade de controlo.
• A NIS2 já está em vigor em Portugal?

  Sim. O Decreto-Lei n.º 125/2025 está em vigor desde 3 de abril de 2026 e o Regulamento n.º 756/2026 do CNCS, desde 23 de junho de 2026. Algumas obrigações, como as medidas específicas de cibersegurança, a cadeia de abastecimento e o relatório anual, só produzem efeitos 24 meses após a publicação da regulamentação (art. 10.º, n.º 2, do decreto-lei).
• O ENS ou a ISO 27001 servem para cumprir a NIS2?

  Ajudam, mas não são equivalentes: uma certificação atesta um sistema de gestão num âmbito concreto, enquanto a NIS2 exige também notificação de incidentes e responsabilização da direção. Qualquer equivalência dependerá da lei espanhola. Comparamo-las no guia de ENS e ISO 27001.
• Quanto custa a manutenção informática de uma empresa?

  Depende do número de postos e servidores, do horário de suporte, de se incluir visitas presenciais e da modalidade escolhida: tarifa fixa ou bolsa de horas. Na Impulso Tecnológico entregamos uma proposta fechada depois de um estudo prévio que define esse âmbito; não publicamos preços genéricos porque cada ambiente é diferente.
• O que cobre uma tarifa fixa de manutenção informática?

  Uma mensalidade fixa por um âmbito acordado: os equipamentos, servidores e utilizadores incluídos, o suporte remoto, as revisões preventivas, a gestão de antivírus e cópias de segurança e, se o plano o previr, as visitas presenciais. O que fica de fora, como projetos, hardware ou trabalhos fora de horas, deve constar por escrito no contrato.
• O que compensa mais: tarifa fixa ou bolsa de horas?

  A tarifa fixa costuma compensar quando há vários utilizadores, servidores ou incidentes frequentes, porque o custo é previsível e inclui prevenção. A bolsa de horas adequa-se a escritórios pequenos com um parque estável e poucos incidentes, embora as horas também se gastem em urgências e a despesa anual seja mais difícil de prever.
• O que cobre um serviço gerido de rede e o que fica de fora?

  Cobre a operação diária da rede acordada: monitorização de switches, routers, firewalls e Wi-Fi, gestão de alertas e incidentes, cópias das configurações, atualizações de firmware planeadas e alterações de rotina, como novas VLAN ou regras de acesso. O habitual é que o hardware novo, as ampliações de cablagem e os redesenhos sejam orçamentados à parte. Essa fronteira deve ficar escrita no contrato, juntamente com o inventário coberto e os tempos de resposta.
• Como escolher uma solução de gestão de rede para a minha empresa?

  Parta do inventário e do número de instalações. Depois confirme que a solução é compatível com os fabricantes que já tem, que centraliza configurações e alertas numa única consola e que permite delegar permissões com rastreabilidade. A pergunta decisiva é quem a vai operar: uma ferramenta cujos alertas ninguém trata não melhora a rede, por isso muitas PME optam por um serviço gerido que inclui a ferramenta e a equipa que a opera.
• O que inclui a manutenção de servidores para empresas em Fuenlabrada?

  Inclui a monitorização dos serviços críticos, do espaço em disco e dos registos de eventos; a aplicação planeada de patches e atualizações; a verificação das cópias de segurança com testes de restauro; a revisão do hardware, como discos, RAID, fontes de alimentação e UPS; e a resposta a incidentes, remotamente ou no local quando a avaria o exige. Os servidores abrangidos, o horário e os tempos de resposta ficam definidos no contrato.
• Como começam a prestar serviço a uma empresa de Fuenlabrada?

  Com um estudo prévio do ambiente: inventário de equipamentos e servidores, estado da rede, da segurança e das cópias, e riscos prioritários. Com esse âmbito definido, entregamos uma proposta fechada de manutenção; depois de aceite, documentam-se os acessos e programa-se o plano preventivo.
• Podem assumir servidores que até agora eram geridos por outro fornecedor?

  Sim. A transição começa por reunir acessos, licenças e documentação, confirmar que as cópias de segurança funcionam e rever o estado de cada servidor antes de assumir a sua manutenção. Se faltar documentação, reconstruímo-la durante essa revisão inicial para que o serviço não dependa da memória do fornecedor anterior.