Todos os referenciais sérios de cibersegurança começam pelo mesmo documento: uma política de segurança da informação (PSI) escrita e aprovada pela gestão. A NIS2 enumera-a em primeiro lugar entre as medidas de gestão de riscos do artigo 21.º, e a ISO/IEC 27001 torna-a um requisito da cláusula 5.2. O Security Policy Express conduz uma PME europeia por um assistente em linha guiado e gera uma primeira versão estruturada, em nome da própria empresa: um rascunho de trabalho para os seus consultores analisarem, e não aconselhamento jurídico.
A resposta de um minuto, para um gerente que não é especialista em informática.
Uma política de segurança da informação (frequentemente abreviada PSI, ou PSSI em francês) é o documento em que a gestão declara, por escrito, como a empresa protege a sua informação e os seus sistemas informáticos, quem é responsável por quê, e que regras todos devem seguir. É curta na parte de cima (uma declaração de política assinada pela gestão) e mais detalhada por baixo (regras específicas por tema e procedimentos operacionais). Não é um manual técnico: é uma decisão de gestão, posta no papel, a que o resto do seu trabalho de segurança pode remeter.
A ISO/IEC 27001 atribui a política à "gestão de topo", e a NIS2, no artigo 20.º, pede aos órgãos de gestão das entidades abrangidas que aprovem as medidas de gestão de riscos de cibersegurança e supervisionem a sua aplicação. O seu prestador informático pode ajudar a redigi-la; só a gestão a pode fazer sua.
Fontes: Diretiva (UE) 2022/2555, art. 20.º · ISO/IEC 27001:2022, cláusula 5As boas práticas distinguem três níveis. A política enuncia princípios e responsabilidades. As políticas específicas por tema (controlo de acessos, cópias de segurança, criptografia, fornecedores...) traduzem-nas por domínio. Os procedimentos descrevem quem faz o quê, passo a passo, quando algo acontece. O controlo 5.1 do Anexo A da ISO/IEC 27001 menciona explicitamente tanto a política como as políticas específicas por tema.
Fonte: ISO/IEC 27001:2022, Anexo A, controlo 5.1Nenhum texto europeu impõe um modelo único. A NIS2, no artigo 21.º, n.º 1, pede medidas "adequadas e proporcionadas", tendo em conta a exposição da entidade aos riscos, a sua dimensão, e a probabilidade e a gravidade dos incidentes. Um fabricante com 40 trabalhadores e um hospital não escreverão a mesma política, e não devem fazê-lo.
Fonte: Diretiva (UE) 2022/2555, art. 21.º, n.º 1Uma política escrita uma vez e arquivada não protege nada. Os referenciais esperam que seja comunicada ao pessoal, reconhecida e revista em intervalos planeados e após alterações significativas. Por isso, a sua política deve incluir desde o primeiro dia o seu próprio ciclo de revisão, responsável e histórico de versões.
Fonte: ISO/IEC 27001:2022, cláusula 5.2 e controlo 5.1A maioria das pequenas e médias empresas já aplica algumas regras de segurança. O que normalmente falta é a versão escrita, aprovada e coerente que um regulador, um auditor, uma seguradora ou um grande cliente possa efetivamente ler.
A NIS2 alarga as regras europeias de cibersegurança a muitas empresas de média dimensão em setores como a indústria, a alimentação, a gestão de resíduos, os transportes ou os serviços digitais. Para as entidades abrangidas, as "políticas de análise de riscos e de segurança dos sistemas de informação" são a primeira medida enumerada no artigo 21.º, n.º 2.
A NIS2, no artigo 21.º, n.º 2, alínea d), exige que as entidades abrangidas tratem a segurança da cadeia de abastecimento, incluindo os aspetos de segurança das suas relações com fornecedores diretos. Mesmo que esteja fora do âmbito, os seus maiores clientes podem pedir-lhe que apresente uma política de segurança escrita nos questionários a fornecedores.
Escrever uma política obriga a responder a muitas perguntas ao mesmo tempo: quais são os nossos ativos críticos, quem decide, o que fazemos em caso de ataque de ransomware, durante quanto tempo guardamos as cópias de segurança? Sem uma estrutura, o exercício tende a ser adiado, trimestre após trimestre.
Os modelos descarregados descrevem muitas vezes uma organização com um responsável de segurança, um centro de operações de segurança e um orçamento dedicado. Um documento que não corresponde à realidade é pior do que nenhum: não será aplicado, e um auditor notará a diferença entre o papel e a prática.
O mesmo documento responde a vários textos ao mesmo tempo. Eis o que diz realmente cada um. Cada referência liga à fonte oficial; as transposições nacionais podem acrescentar pormenores.
As entidades essenciais e importantes devem adotar "medidas técnicas, operacionais e organizacionais adequadas e proporcionadas" para gerir os riscos de cibersegurança, com base numa abordagem de todos os riscos. A lista do artigo 21.º, n.º 2, começa com "a) Políticas de análise de riscos e de segurança dos sistemas de informação". O artigo 20.º acrescenta que os órgãos de gestão aprovam estas medidas, supervisionam a sua aplicação e seguem a formação.
A cláusula 5.2 exige que a gestão de topo estabeleça uma política de segurança da informação adequada à finalidade da organização, que proporcione um quadro para os objetivos de segurança e inclua compromissos de cumprimento dos requisitos aplicáveis e de melhoria contínua. Deve ser documentada, comunicada internamente e disponibilizada às partes interessadas, conforme apropriado. O controlo 5.1 do Anexo A estende isto às políticas específicas por tema, aprovadas, publicadas, reconhecidas e revistas.
O artigo 24.º, n.º 2, estabelece que, quando proporcionado às atividades de tratamento, as medidas do responsável pelo tratamento incluem "a aplicação de políticas adequadas em matéria de proteção de dados". O artigo 32.º exige medidas técnicas e organizacionais adequadas para garantir um nível de segurança adequado ao risco. Uma política de segurança é o lugar natural para documentar essas medidas.
Para certas entidades digitais (por exemplo, prestadores de computação em nuvem, de centros de dados e de serviços geridos), a Comissão adotou requisitos técnicos e metodológicos pormenorizados. O seu anexo abre com uma "política sobre a segurança dos sistemas de rede e de informação" e descreve como é aprovada, documentada e revista. Mesmo que a sua empresa não seja um destes tipos de entidade, o anexo é uma referência pública útil para estruturar uma política.
Para as entidades financeiras, o DORA exige que desenvolvam e documentem uma política de segurança da informação que defina regras para proteger a disponibilidade, a autenticidade, a integridade e a confidencialidade dos dados, dos ativos de informação e dos ativos TIC. Se for um fornecedor de TIC de um banco ou de uma seguradora, espere que o seu cliente pergunte como é que a sua própria política se compara.
As agências nacionais de cibersegurança publicam orientações gratuitas nas quais uma política pode assentar. Em França, o guia de higiene informática da ANSSI enumera 42 medidas essenciais para os responsáveis pela segurança do sistema de informação de uma organização. A ENISA, a Agência da União Europeia para a Cibersegurança, publica orientações de apoio à aplicação da NIS2 em toda a União.
O artigo 21.º, n.º 2, da NIS2 enumera dez medidas mínimas. A alínea a) é a própria política, mas uma política bem construída é também o sítio onde as outras nove encontram o seu responsável, a sua regra e o seu procedimento. É assim que estruturamos o documento gerado.
A declaração de política, o âmbito, as funções e o método que utiliza para identificar e classificar os riscos. É a espinha dorsal do documento.
Um procedimento de gestão de incidentes: deteção, qualificação, escalamento, contenção, notificação e lições aprendidas.
Gestão das cópias de segurança, recuperação de desastres e gestão de crises, tal como a diretiva o formula: quem decide, o que volta a arrancar primeiro, com que frequência se testam as cópias de segurança.
Regras para escolher, contratar e acompanhar fornecedores de TI e prestadores de serviços, incluindo as cláusulas de segurança que espera deles.
Como são escolhidos e configurados os novos sistemas, como são aplicadas as atualizações e como são tratadas e divulgadas as vulnerabilidades.
Políticas e procedimentos para verificar que as medidas funcionam: indicadores, revisões internas, exercícios e revisão pela gestão.
As regras do dia a dia (palavras-passe, atualizações, sensibilização para o phishing) e um plano de formação, incluindo para a gestão, tal como exige o artigo 20.º, n.º 2, para os órgãos de gestão.
Quando os dados devem ser cifrados (portáteis, cópias de segurança, transferências), que protocolos são aceitáveis e quem gere as chaves.
Entradas, mobilidades e saídas; quem tem que acesso e quem o aprova; um inventário dos ativos com os respetivos responsáveis.
Onde é exigida a autenticação multifator ou contínua, e como são protegidas as comunicações de voz, vídeo, texto e de emergência.
As referências à ISO/IEC 27001 são correspondências indicativas elaboradas por nós para o ajudar a navegar, e não um mapeamento oficial publicado pela ISO ou pela Comissão Europeia. Fonte das dez medidas: Diretiva (UE) 2022/2555, art. 21.º, n.º 2.
O documento gerado segue uma estrutura que um auditor, uma seguradora ou um cliente reconhecerá. Cada capítulo é preenchido a partir das respostas dadas no assistente, para que descreva a sua empresa, e não uma empresa fictícia.
O compromisso da gestão, em alguns parágrafos, assinado e datado.
Quem decide, quem implementa, quem verifica, incluindo quando a informática é externalizada.
Uma forma simples e repetível de identificar, classificar e tratar os riscos.
Saber o que protege antes de decidir como.
Quem pode aceder a quê, e como se prova.
A base técnica, escrita em linguagem simples.
Onde a cifragem é exigida e como é gerida.
A segurança nas suas relações com prestadores informáticos e serviços em nuvem.
A componente humana, desde a contratação até à saída.
Instalações, salas de servidores e equipamentos fora do escritório.
Os princípios, detalhados nos procedimentos abaixo.
Como a política se mantém viva e verdadeira.
Uma política diz o que deve acontecer; um procedimento diz quem o faz, por que ordem e com que registo. Estes quatro são os que os clientes e os auditores mais pedem para ver, e os que mais contam no dia em que algo corre mal.
Desde o primeiro alerta até ao relatório final: como o pessoal comunica um evento suspeito, quem o qualifica, quem isola os sistemas afetados, quem contacta o seu prestador informático, a sua seguradora e as autoridades, e como são preservadas as provas.
Como uma conta é pedida, aprovada, criada, alterada e removida. O procedimento abrange entradas, mudanças de função e saídas, contas de administrador, contas partilhadas e de serviço, e a revisão periódica em que uma chefia confirma que cada pessoa ainda precisa dos acessos que tem.
Como é descrita, avaliada quanto ao risco, aprovada, testada, executada e, se necessário, revertida uma alteração a um sistema de produção (uma nova aplicação, uma regra de firewall, uma atualização importante). Numa pequena empresa pode ser leve: um formulário curto e um registo bastam, desde que existam e sejam utilizados.
O que é copiado, com que frequência, onde, durante quanto tempo e, sobretudo, como se testa o restauro. O procedimento liga as cópias de segurança aos objetivos de recuperação por atividade crítica e descreve a organização de crise: quem decide, quem comunica, que sistemas arrancam primeiro.
A política é escrita para a gestão e para a informática. A política de utilização aceitável (PUA) é escrita para todos os outros: o conjunto curto e legível de regras que cada trabalhador, temporário ou prestador aceita antes de usar a informática da empresa.
Utilização de contas e palavras-passe, correio eletrónico e mensagens, acesso à internet, utilização pessoal tolerada ou não, dispositivos móveis e trabalho à distância, suportes amovíveis, serviços em nuvem e ferramentas de IA generativa, confidencialidade, comunicação de incidentes, e o que a empresa pode monitorizar e porquê.
O controlo 5.10 da ISO/IEC 27001 pede que as regras de utilização aceitável da informação e de outros ativos associados sejam identificadas, documentadas e implementadas. Manter estas regras num anexo separado facilita a leitura, a assinatura, a atualização e a junção aos documentos de contratação.
Quando a PUA menciona o registo ou a monitorização da atividade do pessoal, aplica-se o direito da proteção de dados: os trabalhadores devem ser informados (RGPD art. 13.º), e os Estados-Membros podem adotar regras mais específicas para o contexto laboral (RGPD art. 88.º). As autoridades de proteção de dados, como a CNIL, publicam orientações sobre o que é aceitável.
Tornar a PUA vinculativa para os trabalhadores pode exigir formalidades nacionais. Em França, por exemplo (a confirmar com o seu consultor face ao Código do Trabalho), regras deste tipo são habitualmente anexadas ao regulamento interno (règlement intérieur), que segue um procedimento fixado pelo Código do Trabalho, incluindo a consulta dos representantes do pessoal. Verifique as regras do seu país com o seu consultor.
Fontes: ISO/IEC 27001:2022, A.5.10 · Regulamento (UE) 2016/679, arts. 13.º e 88.º · CNIL · Légifrance, Código do Trabalho francês, arts. L1321-4 e L1321-5.
Uma política descreve uma empresa que muda: novo pessoal, novo software, novos fornecedores, novas ameaças. Os referenciais que citamos esperam, em geral, que seja mantida atualizada. O documento gerado inclui o seu próprio calendário de revisão, responsável e tabela de versões.
A primeira versão é aprovada pela gestão, datada e versionada. Nos termos do artigo 20.º, n.º 1, da NIS2, os órgãos de gestão das entidades abrangidas aprovam as medidas de gestão de riscos de cibersegurança; nos termos da cláusula 5.2 da ISO/IEC 27001, a gestão de topo estabelece a política.
A política é publicada internamente; a política de utilização aceitável é reconhecida por cada utilizador. O controlo 5.1 da ISO/IEC 27001 espera que as políticas sejam comunicadas e reconhecidas pelo pessoal relevante e pelas partes interessadas.
O controlo 5.1 da ISO/IEC 27001 pede revisão em intervalos planeados e se ocorrerem alterações significativas. Uma revisão anual é um padrão sensato para uma PME; o Regulamento de Execução (UE) 2024/2690 também enquadra a revisão da política para os tipos de entidades digitais que abrange.
Um incidente grave, uma fusão, um novo local, uma migração para a nuvem ou uma nova regulamentação são razões para reabrir o documento sem esperar pela data de aniversário. As lições aprendidas com os incidentes alimentam a versão seguinte.
Tabela de versões, registo de aprovação, lista de alterações, reconhecimentos. No dia em que um auditor, uma seguradora ou um cliente perguntar, este histórico é o que mostra que a política é aplicada e não apenas escrita. A cláusula 7.5 da ISO/IEC 27001 rege esta informação documentada.
O Security Policy Express foi concebido como uma ferramenta de autosserviço. Mantém o controlo do conteúdo; a ferramenta fornece a estrutura, as perguntas e as referências.
Um teste curto pergunta sobre o seu setor, dimensão, atividades e clientes, e indica se é provável que a NIS2 se aplique, que outros textos podem ser relevantes e que partes da política mais importam na sua situação. Remete para as ferramentas oficiais da sua autoridade nacional para uma resposta definitiva.
Responde, com as suas próprias palavras, a uma série de perguntas guiadas capítulo a capítulo: a sua organização, as suas atividades críticas, o seu prestador informático, as suas cópias de segurança, como trata as saídas de pessoal, o que faria em caso de ransomware. Cada pergunta explica porque é feita e a que artigo ou controlo se refere. Pode parar e retomar a qualquer momento.
A ferramenta gera a política, os quatro procedimentos e o anexo de utilização aceitável em nome da sua empresa, a partir das suas respostas. Quando falta uma resposta, o documento di-lo explicitamente em vez de preencher a lacuna com texto genérico. O resultado é um rascunho de trabalho, a rever e validar pelos seus próprios consultores (advogado, prestador informático, encarregado da proteção de dados) antes da aprovação pela gestão.
Se quiser ajuda para questionar as suas respostas, adaptar o documento a um contexto específico ou preparar uma auditoria, pode pedir apoio a um consultor parceiro. Este passo é opcional: o percurso de autosserviço está completo sem ele.
Importante: o documento gerado é uma base de trabalho. Não constitui aconselhamento jurídico, e por si só não torna a sua empresa conforme com a NIS2, a ISO/IEC 27001, o RGPD ou qualquer lei nacional. A conformidade depende do que efetivamente implementa, e continua a ser da sua responsabilidade.
Três blocos de construção, gerados em conjunto a partir do mesmo assistente. A disponibilidade e as condições serão anunciadas no lançamento.
O documento central, assinado pela gestão.
O que torna a política operacional.
Para se orientar nos textos.
Duas situações não devem ser confundidas: uma obrigação legal para as empresas abrangidas pela NIS2 (ou pelo DORA), e uma boa prática fortemente recomendada para todos os outros.
A NIS2 aplica-se, em geral, a entidades públicas ou privadas de um tipo enumerado nos seus Anexos I ou II que sejam médias empresas ou ultrapassem os limites das médias empresas, tal como definidos na Recomendação 2003/361/CE da Comissão (art. 2.º, n.º 1). Alguns tipos de entidades são abrangidos independentemente da dimensão (art. 2.º, n.º 2). As entidades são depois classificadas como "essenciais" ou "importantes" (art. 3.º), o que afeta a supervisão e as sanções, mas ambas devem aplicar o artigo 21.º.
Anexo I (setores de elevada criticidade): energia, transportes, banca, infraestruturas dos mercados financeiros, saúde, água potável, águas residuais, infraestruturas digitais, gestão de serviços TIC (de empresa para empresa), administração pública e espaço. Anexo II (outros setores críticos): serviços postais e de correio expresso, gestão de resíduos, químicos, alimentação, indústria transformadora (incluindo dispositivos médicos, eletrónica, equipamento elétrico, máquinas e veículos), prestadores digitais e investigação.
A NIS2 é uma diretiva: os Estados-Membros tinham de a transpor até 17 de outubro de 2024 e de aplicar as medidas a partir de 18 de outubro de 2024 (art. 41.º). O estado da transposição e os pormenores variam de país para país, e a lei nacional pode especificar o conteúdo das medidas. Verifique sempre a lei e as ferramentas oficiais de elegibilidade do seu país.
Fora destes âmbitos, nenhum direito europeu geral obriga uma PME a adotar um documento chamado "política de segurança da informação". Mas o RGPD aplica-se a quase todas as empresas, os clientes perguntam cada vez mais aos fornecedores sobre segurança, e uma política escrita é o primeiro passo de qualquer referencial reconhecido. É uma escolha de prudência, não uma sanção legal.
Fontes: Diretiva (UE) 2022/2555, arts. 2.º, 3.º, 41.º e Anexos I e II · Recomendação 2003/361/CE da Comissão · Comissão Europeia, página da Diretiva NIS2 · França: ANSSI, página NIS 2 (MesServicesCyber).
Cada afirmação regulamentar ou normativa acima remete para uma destas fontes. As ligações apontam para o editor oficial.
Esta página é disponibilizada a título informativo. Não constitui aconselhamento jurídico. Os textos são citados na versão publicada no EUR-Lex; as transposições nacionais e as orientações das autoridades podem acrescentar requisitos.
A ferramenta de autosserviço está em preparação. Entretanto, para qualquer dúvida: contact@syaga.eu.