O questionário de segurança do seu cliente, respondido em 48 horas. Com provas.

As 12 perguntas NIS2 que os clientes mais fazem a fornecedores

Síntese de análise documental sobre o DL 125/2025 e a cadeia de abastecimento. Não é lista oficial.

1. Têm um responsável designado pela segurança da informação?
   Evidência que costuma bastar: Nome/função num organograma ou nota interna de nomeação; não precisa de ser cargo a tempo inteiro.
   Não invente maturidade: Se é o sócio-gerente que acumula, diga isso.
2. Têm uma política de segurança da informação aprovada?
   Evidência que costuma bastar: Documento curto (2–5 páginas), datado e aprovado pela gerência.
   Não invente maturidade: Não envie um modelo genérico que ninguém leu ou aplica.
3. Como gerem acessos e privilégios aos sistemas que usam com os nossos dados?
   Evidência que costuma bastar: Lista de contas com acesso, processo de entrada/saída de colaboradores, revisão periódica.
   Não invente maturidade: Se a revisão é informal, descreva a frequência real.
4. Usam autenticação multifator (MFA)?
   Evidência que costuma bastar: Captura de ecrã das definições do e-mail/cloud com MFA ativo; percentagem de contas cobertas.
   Não invente maturidade: Indique exceções conhecidas em vez de afirmar «100%».
5. Fazem cópias de segurança e já testaram a reposição?
   Evidência que costuma bastar: Descrição da frequência, local (incl. cópia fora de linha) e data do último teste de reposição.
   Não invente maturidade: Backup nunca testado é backup não comprovado — diga-o.
6. Como mantêm sistemas e software atualizados?
   Evidência que costuma bastar: Política de atualizações, relatório da ferramenta de gestão ou registo de patches recentes.
   Não invente maturidade: Admita sistemas antigos e o plano para eles.
7. Têm proteção contra malware nos postos e servidores?
   Evidência que costuma bastar: Nome da solução, cobertura de equipamentos, consola com estado atual.
   Não invente maturidade: Não confunda antivírus gratuito com monitorização gerida.
8. Têm um processo de resposta a incidentes?
   Evidência que costuma bastar: Procedimento de 1–2 páginas com contactos, passos e critérios de escalonamento.
   Não invente maturidade: Se nunca foi ensaiado, diga quando planeiam ensaiá-lo.
9. Em quanto tempo nos notificam de um incidente que nos afete?
   Evidência que costuma bastar: Compromisso escrito de prazo (ex.: 24 h) e ponto de contacto.
   Não invente maturidade: Prometa apenas o prazo que consegue efetivamente cumprir.
10. Que subcontratados ou serviços cloud tratam os nossos dados?
    Evidência que costuma bastar: Lista de subfornecedores críticos, localização dos dados, certificações deles quando existam.
    Não invente maturidade: Não omita ferramentas SaaS «pequenas» que tocam nos dados.
11. Os colaboradores recebem formação em segurança?
    Evidência que costuma bastar: Registo de sessões ou ações de sensibilização (datas, participantes), simulações de phishing se houver.
    Não invente maturidade: Uma sessão única há anos não é programa de formação.
12. Têm alguma certificação ou avaliação independente (ex.: ISO 27001)?
    Evidência que costuma bastar: Certificado válido com âmbito, ou relatório de avaliação externa; caso não haja, autoavaliação honesta.
    Não invente maturidade: Não diga «em curso» se não há projeto iniciado.

Entrar na lista de espera

Não é aconselhamento jurídico nem garantia de conformidade NIS2. Síntese da equipa de validação, sem contactos.