ENQUADRAMENTO

Com a publicação do Decreto-Lei n.º 125/2025, de 4 de dezembro, Portugal transpôs a Diretiva (UE) 2022/2555 (NIS2), aprovando o novo Regime Jurídico da Cibersegurança (RJC). Este regime foi densificado pelo Regulamento n.º 756/2026 do Centro Nacional de Cibersegurança (CNCS), que aprova, entre outros instrumentos, o Quadro Nacional de Referência para a Cibersegurança (QNRCS), a Matriz de Risco e as medidas de cibersegurança mínimas por nível de conformidade (Básico, Substancial e Elevado).
A cibersegurança deixa de ser um tema exclusivamente técnico e passa a constituir um pilar de governação, de gestão do risco e de continuidade do negócio, com responsabilização direta dos órgãos de gestão, direção e administração. Esta formação foi concebida para preparar simultaneamente decisores (CEOs e administradores) e profissionais de TI para compreender o regime e conduzir a sua implementação nas respetivas organizações.
 

OBJETIVOS DO CURSO

OG1 — Compreender o enquadramento europeu e nacional da NIS2 e do novo Regime Jurídico da Cibersegurança.

• OE1.1 — Situar a Diretiva (UE) 2022/2555 (NIS2) no quadro legislativo europeu da cibersegurança (NIS1, DORA, CER, Cyber Resilience Act, EU Cybersecurity Act).
• OE1.2 — Identificar os diplomas nacionais aplicáveis: Decreto-Lei n.º 125/2025, Regulamento n.º 756/2026 e o QNRCS, e a respetiva articulação.
• OE1.3 — Explicar os sete pilares do novo regime: âmbito alargado, instrumentos estruturantes, quadro institucional, gestão de riscos, tratamento de incidentes, supervisão e regime sancionatório.
• OE1.4 — Reconhecer o papel do CNCS enquanto Autoridade Nacional de Cibersegurança e das autoridades setoriais de supervisão.

OG2 — Determinar a aplicabilidade do regime à sua organização e cumprir as obrigações de qualificação e registo.

• OE2.1 — Distinguir entidades essenciais, entidades importantes e entidades públicas relevantes (Grupos A e B), e os regimes que lhes correspondem.
• OE2.2 — Aplicar os critérios de setor (Anexos I e II), dimensão empresarial e âmbito territorial a casos concretos de empresas.
• OE2.3 — Descrever o procedimento de autoidentificação e registo na plataforma eletrónica do CNCS e os prazos aplicáveis (60 dias para entidades em atividade; 30 dias para novas entidades; 6 meses para adaptação em caso de requalificação).
• OE2.4 — Antecipar as consequências da qualificação: nível de supervisão, medidas mínimas exigíveis e regime sancionatório aplicável.

OG3 — Conhecer as obrigações de governação e as medidas de gestão de riscos de cibersegurança.

• OE3.1 — Identificar as responsabilidades dos órgãos de gestão, direção e administração: aprovação e supervisão das medidas, formação obrigatória e responsabilidade pessoal.
• OE3.2 — Caracterizar as funções do Responsável de Cibersegurança e do Ponto de Contacto Permanente (disponibilidade 24/7) e os prazos de comunicação ao CNCS (20 dias úteis).
• OE3.3 — Relacionar o QNRCS (objetivos Gerir, Identificar, Proteger, Detetar, Responder e Recuperar) com as medidas mínimas por nível de conformidade — Básico, Substancial e Elevado — definidas pela Matriz de Risco.
• OE3.4 — Explicar as obrigações de análise e gestão de riscos, segurança da cadeia de abastecimento e elaboração do relatório anual assinado pelo Responsável de Cibersegurança.

OG4 — Dominar o regime de notificação de incidentes, a supervisão e o regime sancionatório.

• OE4.1 — Classificar um incidente como significativo com base nos critérios legais (utilizadores afetados, duração, gravidade e impacto económico e social).
• OE4.2 — Aplicar os prazos de notificação: notificação inicial até 24 horas após o conhecimento do incidente significativo, atualização da notificação inicial até 72 horas (com a avaliação inicial da gravidade e do impacto), notificação de fim de impacto até 24 horas após a cessação e relatório final em 30 dias úteis após a notificação do fim de impacto.
• OE4.3 — Distinguir a supervisão ex ante (entidades essenciais) da supervisão ex post (entidades importantes) e as medidas de execução ao dispor das autoridades.
• OE4.4 — Avaliar a exposição da organização ao regime sancionatório (coimas até 10 M€ ou 2% do volume de negócios mundial), às sanções acessórias e à responsabilização pessoal dos gestores.

OG5 — Planear a implementação da NIS2 na sua organização.

• OE5.1 — Realizar um diagnóstico inicial (gap analysis) face às medidas mínimas do Regulamento n.º 756/2026 e ao QNRCS.
• OE5.2 — Construir um roadmap de implementação com prioridades, responsáveis, recursos e prazos, incluindo estimativas de esforço e de custos.
• OE5.3 — Aplicar a metodologia a um caso prático: conformidade de uma empresa do setor da energia com 100 trabalhadores.
• OE5.4 — Identificar sinergias com referenciais existentes (ISO/IEC 27001, NIST CSF 2.0) para reduzir o esforço de implementação.

CONTEÚDOS PROGRAMÁTICOS

Módulo 1 — Enquadramento europeu e nacional
Módulo 2 — Âmbito de aplicação, qualificação e registo
Módulo 3 — Governação e medidas de gestão de riscos
Módulo 4 — Incidentes, supervisão e sanções
Módulo 5 — Caso prático: implementação numa empresa de energia (100 trabalhadores)

NOTA CURRICULAR DO FORMADOR

Especialista de Informática. Principais áreas de atuação: Cibersegurança, Administração de rede e de sistemas, Virtualização e Multimédia.
Mestrado em Sistemas de Informação, 2002 pela Universidade do Minho.
Licenciatura em Informática, 1995 pela Universidade do Minho.
 

DATAS E LOCAIS