Cibersegurança NIS2 para PMEs industriais portuguesas: guia de conformidade

Sexta-feira, 17h30, fábrica de malhas no Vale do Ave. O diretor industrial atende uma chamada do cliente alemão: "o vosso servidor de fichas técnicas não responde há duas horas". Não é falha de rede. É ransomware. As ordens de produção da semana seguinte estão cifradas, o ERP não arranca, e o último backup é de quarta porque o NAS encheu na quinta e ninguém viu o alerta no ecrã da consola. Na segunda de manhã, o CEO descobre que a empresa está, pela NIS2 transposta pelo DL 65/2025, classificada como entidade importante — e que terá de notificar o CNCS em 24 horas.

O que se segue é o manual operacional que devia estar na gaveta antes dessa chamada. Sem teoria. Com o que tem mesmo de ser feito, por que ordem, e o que custa não fazer.

1. Porque é que a NIS2 não é "mais um RGPD"

Quando o RGPD entrou em vigor em 2018, a maioria das PMEs industriais portuguesas tratou-o como exercício de papel: contrato de subcontratação assinado, política de privacidade no site, cookie banner copiado do vizinho. Funcionou — durante uns anos — porque a CNPD tem recursos limitados e foca-se em casos de exposição pública.

A NIS2 não vai correr assim. E há três razões operacionais.

1.1 O regulador tem dentes técnicos

O Centro Nacional de Cibersegurança não é a CNPD. Tem equipa técnica, troca indicadores de compromisso com a ENISA e o CERT-EU, e o DL 65/2025 confere poderes inspetivos. As coimas vão até 10 milhões de euros ou 2% do volume de negócios mundial para entidades essenciais, e até 7 milhões ou 1,4% para entidades importantes. Para uma confecção de Famalicão com 18 milhões de facturação, falamos de valores que destroem o EBITDA de dois anos.

1.2 A responsabilidade é pessoal do órgão de gestão

Esta é a parte que ninguém leu com atenção. O artigo 20.º da Diretiva (UE) 2022/2555 obriga os membros do órgão de gestão a aprovar as medidas, supervisionar a sua implementação, e estabelece que podem ser responsabilizados pessoalmente por incumprimento. Formação obrigatória. Registo de presença. Na prática: CEO e CFO assinam o programa, fazem formação documentada, e respondem pessoalmente se houver brecha por negligência grave.

1.3 A cadeia de subcontratação está na mira

Uma confecção que produz para a Inditex, Decathlon ou Tom Tailor é, na prática, fornecedor crítico de uma entidade essencial. A NIS2 obriga as entidades abrangidas a avaliar e controlar o risco da cadeia de fornecimento — subcontratados incluídos. Resultado: já circulam pelo Norte questionários técnicos enviados pelas casas-mãe aos confecionadores portugueses. Quem não responder, ou responder mal, perde a encomenda da estação seguinte.

NIS2 não é projecto de IT. É condição de mercado. Quem não estiver conforme em 2026 perde clientes antes de perder coimas.

1.4 Cenários setoriais concretos

• Têxtil/vestuário (Vale do Ave): servidor de fichas técnicas comprometido. As coleções SS26 que a marca alemã enviou em PLM ficam expostas. A cláusula de confidencialidade aciona penalidades.
• Calçado (Felgueiras): ataque na semana antes da Micam. Amostras digitais e moldes 3D inacessíveis. Meses de trabalho de gabinete em risco e compradores agendados.
• Distribuição (corredor Lousada/Paços): WMS em baixo 48 horas. Cross-docking parado. Viaturas paradas no parque. Quebra de cadeia de frio em frescos com penalidades contratuais.
• Retalho alimentar regional: POS sincronizados por VPN única. Comprometido um, comprometidos os catorze. A AT exige justificação para inconsistências no SAF-T.
• Moldes (Marinha Grande): ficheiros CAD/CAM exfiltrados. Cliente automotive alemão exige auditoria forense independente paga pelo fornecedor.

2. O que é a NIS2 e quem está abrangido

2.1 Definição

A Diretiva (UE) 2022/2555, conhecida como NIS2, substitui a NIS de 2016 e foi transposta para o ordenamento jurídico português pelo Decreto-Lei n.º 65/2025, de 2 de junho. Estabelece obrigações harmonizadas de gestão de risco de cibersegurança, notificação de incidentes e supervisão para entidades em 18 setores críticos e importantes.

Duas categorias:

• Entidades essenciais (Anexo I): energia, transportes, banca, saúde, água, infraestrutura digital, administração pública. Supervisão proactiva, coimas até 10M€ ou 2% do volume de negócios.
• Entidades importantes (Anexo II): produção e fabrico (química, alimentar, equipamento eléctrico, máquinas), serviços postais, gestão de resíduos, prestadores digitais, investigação. Supervisão reactiva, coimas até 7M€ ou 1,4%.

2.2 Quem está abrangido em Portugal

A regra do size cap abrange, por defeito, empresas médias e grandes — ≥50 colaboradores OU ≥10M€ de volume de negócios. Mas há armadilhas:

• Mesmo abaixo do limiar, fica abrangida se for fornecedor único ou crítico de uma entidade essencial.
• Mesmo abaixo, se prestar serviço a entidade da administração pública.
• Mesmo abaixo, se um incidente puder ter impacto transfronteiriço significativo.

Tradução: uma confecção de 45 colaboradores em Barcelos que produz para a Inditex pode estar abrangida pela criticidade da cadeia, mesmo sem atingir o limiar de dimensão.

2.3 Termos que vai ouvir

• CNCS: Centro Nacional de Cibersegurança, autoridade competente em Portugal.
• CSIRT nacional: equipa de resposta a incidentes, dentro do CNCS.
• Incidente significativo: aquele que causa, ou é susceptível de causar, perturbação operacional grave ou perdas financeiras à entidade, ou que afeta terceiros causando danos consideráveis.
• Notificação 24/72/30: alerta inicial em 24 horas, notificação detalhada em 72 horas, relatório final em 1 mês.
• SBOM: Software Bill of Materials, lista de componentes de software, exigida em compras públicas e cadeias críticas.
• MFA: autenticação multifactor, obrigatória para acessos privilegiados.

3. O panorama em Portugal: o que se sabe e o que não se sabe

3.1 Maturidade real do tecido industrial

Os relatórios europeus sobre a Década Digital colocam Portugal abaixo da média da UE em adoção de medidas de cibersegurança por PMEs — em particular nas dimensões formação, política formal e teste de continuidade. O CNCS publica o Relatório Cibersegurança em Portugal, que documenta o aumento sustentado de incidentes reportados em ambientes industriais. Sem números específicos que não consiga verificar à data deste artigo, a tendência é inequívoca: o ransomware contra PME industrial é hoje o vector mais ativo, e a indústria transformadora aparece consistentemente entre os setores mais visados em Portugal.

3.2 O que falta nos dados

Não existem dados públicos setoriais granulares sobre maturidade NIS2 em têxtil, calçado ou distribuição portugueses. O melhor proxy são o ENISA Threat Landscape, ao nível europeu, e o relatório anual do CNCS, ao nível nacional.

3.3 Os três mitos que circulam nas fábricas

• "Somos pequenos demais para sermos alvo." Errado. O ransomware-as-a-service vende kits que varrem gamas inteiras de IPs ao calhas. Não há "alvo selecionado" — há porta aberta encontrada.
• "Temos antivírus e firewall, estamos cobertos." Errado. A maior parte dos ataques bem-sucedidos em PMEs entra por phishing e abuso de credenciais legítimas. O perímetro tradicional já não existe.
• "O nosso ERP está em datacenter, não é problema nosso." Parcialmente errado. A responsabilidade NIS2 não se transfere para o fornecedor de hosting — partilha-se. O contrato tem de o reflectir.

O ataque não chega pela porta da frente da firewall. Chega por um email aberto às 14h45 por alguém com fome a almoçar à secretária.

4. Modelos de implementação para PME industrial

Há cinco abordagens recorrentes no mercado português. Nem todas válidas. Algumas contraproducentes.

4.1 Comparação dos cinco modelos

4.2 Modelo 1: DIY com IT interno

Funciona quando há um responsável de IT com pelo menos 5 anos de prática operacional, mais um técnico júnior, e a direção liberta 30% do tempo do sénior durante um ano. Falha quando o "responsável de IT" é o filho do CEO que estudou informática e mantém o servidor de pé à custa de heroísmo. Sintoma característico: o backup nunca foi testado num restore real.

4.3 Modelo 2: consultora generalista

Produz um relatório de 180 páginas, uma política de segurança da informação que ninguém vai ler, e um plano de ação que fica numa drive partilhada. O carimbo existe no papel. A maturidade real não muda. Para auditorias rápidas pré-contratuais com cliente exigente, serve. Para reduzir risco operacional, não.

4.4 Modelo 3: MSSP gerido

O Managed Security Service Provider opera SIEM, EDR e gestão de incidentes 24×7. É o modelo mais defensável tecnicamente para PMEs 50-250 colaboradores sem CISO próprio. O risco está no contrato: confirme SLA de resposta a incidentes (≤4h para sev1), matriz RACI explícita, e cláusula de saída com transferência de logs e configurações.

4.5 Modelo 4: integrador vertical com cibersegurança embebida

Quem fornece o ERP MULTI, o KORA Productivity ou o MAXIRETAIL conhece os fluxos críticos do negócio. Segmentação de rede, hardening dos servidores de ERP, controlo de acesso aos terminais de chão-de-fábrica e backup imutável do ficheiro mestre de produção são feitos com conhecimento operacional. Falha quando o integrador é só revendedor de licenças sem prática de segurança.

4.6 Modelo 5: híbrido

É o que recomendamos a empresas com mais de 250 colaboradores ou em cadeia auto/aeronáutica. IT interno mantém a operação. MSSP fornece SOC e resposta a incidentes. Integrador vertical cuida do hardening aplicacional. Auditor externo faz revisão anual. Custa mais. Vale mais.

Cuidado com quem vende NIS2 numa folha de checklist e três workshops. Conformidade que cabe num PowerPoint não sobrevive a um teste de penetração.

5. Como avaliar se a sua empresa precisa: diagnóstico passo a passo

5.1 Pré-requisitos

Antes de começar, junte: organograma atual, lista de aplicações críticas (ERP, MES, WMS, POS, CRM, RH), inventário de servidores e endpoints, contratos com fornecedores de cloud e hosting, cópia da última política de segurança da informação (se existir) e relatórios de incidentes dos últimos 24 meses.

5.2 Passo a passo

1. Determinar abrangência: verificar setor (Anexos I e II), dimensão e dependências críticas. Se for fornecedor de entidade essencial, mesmo abaixo de 50 colaboradores, está provavelmente abrangido. Documentar a conclusão num memorando assinado pela administração.
2. Mapear ativos críticos: inventariar sistemas por criticidade (RTO/RPO definidos), identificar dados pessoais e segredos comerciais, mapear fluxos com terceiros. Esta etapa leva 2-4 semanas se for feita a sério.
3. Avaliar gaps técnicos: rever 10 controlos-chave — MFA em acessos privilegiados, segmentação OT/IT, EDR em endpoints, gestão de patches com SLA, backup imutável testado, log centralizado, gestão de acessos privilegiados, formação anual, plano de continuidade testado, gestão de fornecedores. Pontuar de 0 a 5.
4. Avaliar gaps de governança: existe política aprovada pela administração? Quem é o responsável formal? Há processo de aprovação de mudanças? Há registo de formação? Há cláusulas NIS2 nos contratos com subcontratados de IT?
5. Estimar esforço e custo: traduzir cada gap em projecto, com horas e CAPEX/OPEX. Agrupar em ondas (quick wins 0-3 meses, estruturais 3-12, evolutivos 12-24).
6. Validar com a administração: apresentar matriz risco vs. esforço. Obter aprovação formal do programa, do orçamento e do responsável. Sem assinatura do CEO, o programa morre numa drive partilhada.

5.3 Sinais vermelhos que aceleram o diagnóstico

• O backup nunca foi testado num restore completo nos últimos 12 meses.
• Existe um único administrador de domínio com password "que toda a gente sabe".
• O servidor de ERP corre num sistema operativo fora de suporte (Windows Server 2012, por exemplo).
• O acesso remoto faz-se por VPN sem MFA — ou, pior, por RDP exposto à internet.
• Não há separação entre rede de gestão e rede de chão-de-fábrica (PLCs e máquinas CNC no mesmo broadcast domain dos PCs administrativos).
• Os fornecedores de manutenção remota acedem com credenciais partilhadas.
• Existe Wi-Fi único para colaboradores, visitantes e equipamentos industriais.

Se identificar três ou mais destes sinais, a empresa está em risco elevado independentemente da NIS2 — e o programa deve começar pelos controlos técnicos antes da governança documental.

6. O que escolher e porquê: decisão por dimensão

6.1 Matriz de decisão

6.2 Quanto investir, em ordens de grandeza

Em PMEs industriais com 50-250 colaboradores, o investimento típico distribui-se em três blocos: ferramentas e licenças (EDR, MFA, backup imutável, SIEM/log centralizado), serviços (consultoria de arranque, hardening, formação, auditoria) e operação recorrente (MSSP, monitorização). Os valores absolutos variam muito conforme dimensão e maturidade prévia, mas o ano 1 concentra a maior parte do esforço financeiro, estabilizando em OPEX recorrente a partir do ano 2.

Há fundos do PRR e do PT2030 que cobrem parte do investimento — em particular avisos do COMPETE 2030 para transição digital e avisos de cibersegurança das Norte 2030 e Centro 2030. Não conte com 80% de comparticipação. Conte com algo entre 30% e 50%, bem documentado.

6.3 O que NÃO comprar

• Appliance de firewall "next-gen" sem alguém que a saiba configurar: caixa cara, regras default, falsa sensação de segurança.
• Pacote de formação online de 30 minutos: não conta como formação NIS2. Tem de haver presença documentada, avaliação e periodicidade.
• Solução de backup que faça snapshot no mesmo storage: o ransomware moderno apaga snapshots. O backup tem de ser imutável e off-site. Veja o nosso guia sobre cibersegurança, NIS2 e backup imutável.
• Política de segurança copiada da internet: o auditor identifica em 15 minutos. Pior do que não ter.

O investimento em cibersegurança não se mede em equipamentos comprados. Mede-se em horas que a fábrica fica parada quando o incidente vier — e ele vem.

7. Quadro regulatório aplicável

7.1 NIS2 e transposição portuguesa

A Diretiva (UE) 2022/2555 foi adotada em 14 de Dezembro de 2022 com prazo de transposição até 17 de Outubro de 2024. Portugal transpôs através do Decreto-Lei n.º 65/2025. Os pontos operacionais críticos:

• Registo: entidades abrangidas devem registar-se junto do CNCS.
• Medidas mínimas (art. 21.º da Diretiva): políticas de análise de risco e segurança dos sistemas, gestão de incidentes, continuidade e backups, segurança da cadeia de fornecimento, aquisição e desenvolvimento seguros, eficácia das medidas, ciber-higiene e formação, criptografia, segurança de RH e controlo de acessos, MFA e comunicações seguras.
• Notificação (art. 23.º): alerta precoce em 24h, notificação em 72h, relatório final em 1 mês.
• Sanções: entidades essenciais até 10M€ ou 2% do volume de negócios mundial anual; importantes até 7M€ ou 1,4%.

7.2 RGPD e Lei 58/2019 — o cruzamento

A NIS2 não substitui o RGPD. Se um incidente envolver dados pessoais (e quase sempre envolve), há dupla notificação: CNCS pela NIS2, CNPD pelo RGPD. Os timings são parecidos mas não idênticos. O processo interno tem de prever ambas as vias.

7.3 ISO 27001 — vale a pena?

Vale quando o cliente o exige. O DL 65/2025 não obriga a certificação ISO 27001, mas o anexo de medidas mínimas da NIS2 tem forte sobreposição com a norma. Para fornecedores em cadeia automóvel, aeronáutica ou farmacêutica, a ISO 27001 é cada vez mais condição de listagem. Para confecção de moda média, é over-engineering — o sistema de gestão NIS2 chega.

7.4 DL 28/2019, SAF-T e a fronteira fiscal

A facturação eletrónica, o ATCUD e a comunicação SAF-T à AT obrigam a software certificado e a comunicação periódica. Isto cria dois ativos críticos do ponto de vista NIS2: o servidor de facturação (que tem chave privada de assinatura) e o canal de comunicação à AT. Ambos têm de estar no perímetro reforçado — não no "PC do contabilista".

7.5 eIDAS 2, Lei 93/2021 e AI Act

• eIDAS 2 (Regulamento UE 910/2014 revisto): assinatura qualificada para contratos digitais e comunicações com a administração. Implica gestão de certificados qualificados e gestão documental conforme.
• Lei 93/2021: canal de denúncias obrigatório para entidades com ≥50 colaboradores. Garantia de confidencialidade, que cruza com controlo de acessos NIS2.
• AI Act (Regulamento UE 2024/1689): se usar IA em planeamento de produção, controlo de qualidade ou módulos preditivos de absentismo, há obrigações adicionais de governance e documentação técnica.

7.6 Mapa de obrigações cruzadas

8. Como a INFOS aborda isto

A INFOS não é consultora de cibersegurança pura. É integrador vertical de software industrial com 35 anos de prática em chão-de-fábrica português — e isso muda a forma como olhamos para a NIS2. Quando segmentamos rede numa fábrica de calçado em Felgueiras, sabemos que os terminais KORA Productivity da injecção não podem perder ligação ao MES mais de 90 segundos sem parar a célula. Quando endurecemos o servidor de ERP MULTI, sabemos que os jobs nocturnos de fecho de produção começam às 23h15 e que o backup tem de terminar antes — não a meio do snapshot.

O que oferecemos sob serviços de cibersegurança e datacenter é a integração entre os controlos NIS2 e a operação real do ERP, do MES, do WMS e do POS. Backup imutável do ERP em datacenter próprio. Hardening dos servidores aplicacionais. Segmentação OT/IT desenhada para não parar produção. Monitorização de logs do Multi Connect e dos terminais de chão-de-fábrica. Formação dos utilizadores chave — chefes de armazém, encarregados de turno, administrativos de facturação — no contexto dos sistemas que usam todos os dias.

Não substituímos um MSSP especializado em empresas com SOC 24×7. Complementamo-lo, garantindo que a camada aplicacional industrial — onde está o valor — fica defensável. Para cenários multi-site em cadeia regulada (auto, aeronáutica, farmacêutica), trabalhamos em modelo híbrido com o cliente.

9. Roadmap 30/60/90 dias

O programa NIS2 completo leva entre 6 e 18 meses, dependendo da maturidade inicial. Mas há 90 dias decisivos no arranque — onde se demonstra à administração que o programa avança e onde se fecham os gaps que são fruto baixo e alto risco residual.

9.1 Dias 1-30: governance e visibilidade

1. Sponsor executivo nomeado por ato formal da administração. Sem isto, nada avança.
2. Determinação de abrangência NIS2 com memorando jurídico assinado.
3. Inventário de ativos críticos (sistemas, dados, fluxos) com RTO/RPO definidos por sistema.
4. Inventário de fornecedores críticos de IT com cláusulas contratuais revistas.
5. Avaliação inicial dos 10 controlos-chave (secção 5.2).
6. Registo da entidade junto do CNCS quando aplicável.
7. Comunicação interna do programa a toda a empresa.

9.2 Dias 31-60: quick wins técnicos

1. MFA ativado em 100% dos acessos privilegiados (administradores, ERP, VPN, email).
2. Inventário de contas com privilégios elevados; eliminação de contas órfãs e partilhadas.
3. Patching emergencial de sistemas críticos com vulnerabilidades conhecidas (CVE ≥7.0).
4. Teste de restore real do backup mais recente do ERP num ambiente isolado.
5. Bloqueio de RDP exposto à internet; substituição por VPN com MFA ou ZTNA.
6. Segmentação inicial: separar rede de chão-de-fábrica da rede administrativa por VLAN e firewall.
7. Política básica de gestão de incidentes aprovada e divulgada — quem comunica a quem, em que prazo.

9.3 Dias 61-90: estruturação e formação

1. EDR (Endpoint Detection and Response) implementado em servidores e endpoints críticos.
2. Backup imutável configurado para ERP, WMS, POS e ficheiros operacionais críticos, com retenção mínima de 30 dias e cópia off-site.
3. Formação inicial obrigatória da administração e dos chefes de departamento (≥4h documentadas com avaliação).
4. Campanha de simulação de phishing com toda a empresa; análise de resultados; plano de remediação.
5. Procedimento de notificação de incidentes documentado: contactos do CNCS, modelos de notificação 24h/72h/1mês, fluxo interno de escalada.
6. Revisão dos contratos com os três fornecedores de IT mais críticos para inclusão de cláusulas NIS2 (notificação, auditoria, subcontratação).
7. Plano de continuidade de negócio em rascunho, com cenários de teste agendados para os 6 meses seguintes.

No final dos 90 dias deve ter um dossiê de programa NIS2 com: acta de aprovação executiva, memorando de abrangência, inventário de ativos, matriz de risco, plano de ação com responsáveis e prazos, registo de formação, evidências dos controlos implementados, e calendário de revisão trimestral. Esse dossiê é o que vai apresentar quando o cliente alemão enviar o questionário de 120 perguntas — ou quando o CNCS contactar.

Para aprofundar a camada técnica de controlos em ambiente fabril, leia o nosso guia de controlos técnicos NIS2 para fábricas portuguesas. Se está em têxtil ou vestuário e a sua cadeia inclui clientes que já enviam questionários técnicos, complemente com Connect@Fashion: digitalizar coleções e colaboração têxtil, que aborda os fluxos de dados sensíveis entre confecionador e marca. Para a visibilidade operacional que sustenta auditorias, vale a pena rever como o Qlik Sense consolida indicadores de TI, produção e RH no mesmo ecrã — e a leitura cruzada com Business Intelligence na indústria têxtil.

NIS2 não se cumpre em 90 dias. Mas em 90 dias decide-se se o programa vai existir ou se vai morrer numa drive partilhada.

Perguntas frequentes

A minha empresa com 45 colaboradores numa confecção está abrangida pela NIS2?

Sim, se for fornecedor de marca internacional (Inditex, Decathlon, Tom Tailor) ou entidade essencial. A NIS2 aplica-se mesmo abaixo dos 50 colaboradores se tiver criticidade na cadeia de fornecimento. Verifique se clientes principais são entidades essenciais ou se um incidente seu causaria impacto transfronteiriço. Contacte o CNCS para clarificação.

Qual é a diferença entre entidade essencial e importante?

Entidades essenciais (energia, banca, saúde, transportes) têm supervisão proactiva e coimas até 10M€ ou 2% do volume de negócios. Entidades importantes (fabrico, distribuição, retalho) têm supervisão reactiva e coimas até 7M€ ou 1,4%. PMEs industriais são tipicamente classificadas como importantes, salvo se forem fornecedoras críticas de essenciais.

O que acontece se não notificar um incidente em 24 horas?

Incidentes significativos devem ser notificados ao CNCS em 24 horas (alerta inicial), com relatório detalhado em 72 horas. Falha na notificação constitui violação grave do DL 65/2025 e pode resultar em coimas até 7M€ para entidades importantes. O regulador tem equipas técnicas que verificam logs e comunicações.

Os membros do órgão de gestão têm responsabilidade pessoal?

Sim. O artigo 20.º da Diretiva NIS2 obriga CEO, CFO e administradores a aprovar medidas, supervisionar implementação e responder pessoalmente por incumprimento grave. Exige-se formação documentada e registo de presença. Negligência grave em cibersegurança pode gerar responsabilidade civil e criminal do gestor.

Como a NIS2 afeta a minha relação com fornecedores e clientes?

Clientes grandes enviam questionários técnicos de conformidade NIS2. Resposta inadequada resulta em perda de encomendas. Você também deve avaliar risco de cibersegurança dos seus subcontratados e fornecedores críticos. A NIS2 é condição de mercado: conformidade é exigência contratual, não opcional.

Qual é o prazo para estar conforme com a NIS2?

O DL 65/2025 entra em vigor em junho de 2025, com prazos de implementação até outubro de 2026. Empresas já abrangidas devem iniciar avaliação de risco e inventário de ativos imediatamente. Quem esperar até 2026 terá dificuldade em implementar medidas técnicas complexas e em obter certificações exigidas por clientes.

Fontes

• Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho, de 14 de Dezembro de 2022, relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União (NIS2). EUR-Lex.
• Decreto-Lei n.º 65/2025, de 2 de Junho — transposição da Diretiva NIS2 para o ordenamento jurídico português. Diário da República.
• Regulamento (UE) 2016/679 (RGPD) e Lei n.º 58/2019, de 8 de Agosto — execução nacional do RGPD. Diário da República.
• Decreto-Lei n.º 28/2019, de 15 de Fevereiro — obrigações em matéria de processamento de facturas e outros documentos fiscalmente relevantes (ATCUD, SAF-T). Diário da República.
• Lei n.º 93/2021, de 20 de Dezembro — regime geral de proteção de denunciantes de infracções. Diário da República.
• Regulamento (UE) 2024/1689 — Regulamento Inteligência Artificial (AI Act). EUR-Lex.
• ENISA — Threat Landscape Report (publicação anual). European Union Agency for Cybersecurity.
• CNCS — Relatório Cibersegurança em Portugal: Riscos e Conflitos (publicação anual). Centro Nacional de Cibersegurança.
• Comissão Europeia — Report on the state of the Digital Decade (publicação anual), indicadores DESI.
• Norma ISO/IEC 27001:2022 — Information security, cybersecurity and privacy protection — Information security management systems — Requirements. International Organization for Standardization.