São 14h30 numa confecção do Vale do Ave. O servidor de encomendas fica offline. Meia hora depois, não há visibilidade de stocks, prazos de entrega estão em risco, e o responsável de IT está a ligar para o datacenter. A Diretiva NIS2 (Diretiva UE 2022/2555) entra em vigor em Portugal em 17 de outubro de 2024. Se a sua fábrica tem mais de 250 colaboradores, faturação acima de 50 milhões de euros, ou opera em setores críticos (energia, água, transportes, saúde, alimentar), é entidade essencial — e controlos técnicos deixaram de ser opcionais. Este guia apresenta 12 controlos que pode auditar e implementar em 6 semanas, com um checklist pronto para a reunião de amanhã com o IT.

O que precisa antes de começar

  • Acesso ao ficheiro de inventário de sistemas (servidores, aplicações, bases de dados, redes).
  • Contacto nomeado do responsável de IT ou segurança (pode ser externo).
  • Autorização da administração para auditar e documentar achados.
  • Uma ferramenta de registo simples (folha de cálculo ou registo em papel).
  • Acesso aos registos de backups, patches e acessos dos últimos 12 meses.
  • Conhecimento básico do fluxo de dados críticos (encomendas, faturação, produção).

Passo 1: Mapeie os dados críticos

Antes de proteger, identifique o quê. Dados críticos são aqueles cuja perda ou corrupção paralisa a operação por mais de uma hora.

  • Encomendas de clientes e histórico de vendas.
  • Ficheiros de faturação e registos contabilísticos.
  • Planos de produção e fichas técnicas.
  • Dados de colaboradores (nóminas, assiduidade, RGPD).
  • Configurações de máquinas e parâmetros de qualidade.
  • Credenciais e chaves de acesso a sistemas críticos.

Passo 2: Audite o controlo de acessos

NIS2 exige que apenas pessoas autorizadas acedam a dados críticos. Isto significa: sem contas partilhadas, sem passwords em post-its, sem acesso após saída de colaborador.

  • Faça uma lista de todas as contas de utilizador ativas no ERP, bases de dados e servidores.
  • Para cada conta, identifique: nome, departamento, data de criação, último acesso, permissões atribuídas.
  • Marque as contas que não tiveram acesso nos últimos 90 dias — são candidatas a desativar.
  • Verifique se existem contas de serviço com credenciais codificadas em ficheiros — devem usar tokens ou gestores de segredos.
  • Confirme que colaboradores saídos foram removidos em menos de 5 dias úteis.

Passo 3: Verifique a autenticação multifactor (MFA)

Uma password roubada não é suficiente para entrar. MFA adiciona uma segunda camada (código SMS, app, chave física).

  • Ative MFA para todas as contas com acesso a dados críticos (administradores, gestores de IT, financeiros).
  • Se o ERP não suporta MFA nativo, use um proxy de autenticação (ex: Azure AD, Okta) ou VPN com MFA.
  • Teste: tente aceder com a password correta mas sem o segundo fator — deve ser bloqueado.
  • Documente qual o método MFA (SMS, app, chave) e quem tem responsabilidade de suporte.

Passo 4: Implemente backups imutáveis

Um backup que pode ser apagado ou corrompido não é backup — é apenas uma cópia. NIS2 exige que pelo menos uma cópia seja imutável durante um período de retenção (ex: 30 dias).

  • Defina uma política: backup completo 1x/semana, incrementais diários, retenção mínima 30 dias.
  • Armazene pelo menos uma cópia num local fisicamente separado (datacenter diferente, cloud, ou cofre externo).
  • Configure a imutabilidade: em plataformas cloud (Azure, AWS), use "retention lock" ou "WORM" (Write Once Read Many); em sistemas locais, use permissões de ficheiro ou hardware dedicado.
  • Teste a restauração: a cada 3 meses, restaure um backup completo num ambiente de teste e valide dados.
  • Documente: quem faz backup, quando, para onde, e como se restaura.

Passo 5: Audite a encriptação de dados em trânsito

Dados em trânsito são aqueles que viajam pela rede (entre o computador do utilizador e o servidor, entre filiais, entre ERP e cloud). Sem encriptação, podem ser interceptados.

  • Verifique que o acesso ao ERP usa HTTPS (não HTTP). Teste: abra o navegador, aceda ao sistema, veja se o cadeado está verde e o URL começa com "https://".
  • Se usa VPN entre filiais, confirme que está configurada com encriptação (IPSec, TLS 1.2 ou superior).
  • Para integrações com parceiros (fornecedores, clientes), use APIs com TLS 1.2+ e certificados válidos.
  • Se sincroniza dados com cloud, valide que o contrato especifica encriptação em trânsito.

Passo 6: Proteja dados em repouso

Dados em repouso são aqueles armazenados em disco (servidor, backup, computador portátil). Sem encriptação, um roubo físico expõe tudo.

  • Ative encriptação de disco em servidores críticos (BitLocker no Windows, LUKS no Linux, FileVault no macOS).
  • Encripte backups: em cloud, use encriptação nativa; em disco externo, use VeraCrypt ou similar.
  • Portáteis de colaboradores com acesso a dados críticos devem ter encriptação de disco ativada.
  • Bases de dados: ative encriptação de colunas sensíveis (passwords, números de cartão, dados pessoais).

Passo 7: Configure logging e monitorização

Sem registos, não sabe o que aconteceu. NIS2 exige que eventos críticos sejam registados e mantidos por pelo menos 6 meses.

  • Ative logs em: ERP (acessos, alterações a dados críticos), servidores (logins, instalação de software), firewalls (tentativas de conexão bloqueadas), bases de dados (queries a dados sensíveis).
  • Centralize logs num servidor dedicado ou plataforma de SIEM. Isto evita que um atacante local apague os seus rastros.
  • Configure alertas para eventos suspeitos: múltiplas tentativas de login falhadas, acesso a dados críticos fora de horário, desativação de antivírus.
  • Retenha logs por 6 meses no mínimo; dados de auditoria crítica, por 1 ano.

Passo 8: Implemente patch management

Patches são correções de segurança. Um sistema não patcheado é uma porta aberta para atacantes.

  • Defina uma política: patches críticos aplicados em menos de 2 semanas, patches normais em menos de 60 dias.
  • Teste patches num ambiente de teste antes de aplicar em produção (1 semana de teste mínimo).
  • Automatize: use ferramentas como WSUS (Windows), apt (Linux) ou gestores de pacotes do ERP.
  • Documente: registe data, hora, versão anterior/nova, tempo de inatividade (se houver).
  • Máquinas de produção (chão-de-fábrica, PLC, IoT): estabeleça janelas de manutenção acordadas com operações.

Passo 9: Audite a segurança da rede

A rede é a estrada por onde trafegam os dados. Sem controlo, qualquer um entra.

  • Firewall: configure regras de entrada/saída explícitas (negue por defeito, permita apenas o necessário).
  • Segmentação: separe a rede de produção (chão-de-fábrica, ERP) da rede de escritório e da internet pública.
  • VPN: se colaboradores acedem remotamente, use VPN com MFA (não RDP direto na internet).
  • Wireless: se existe WiFi, configure WPA3 (ou WPA2 se WPA3 não está disponível), senha forte, rede de convidados isolada.
  • Teste: use ferramentas como nmap ou Qualys para verificar portas abertas desnecessariamente.

Passo 10: Estabeleça um plano de resposta a incidentes

Quando (não se) um incidente acontecer, precisa de um plano. Sem plano, perde tempo precioso.

  • Defina: quem contactar (responsável IT, CEO, conselho de administração, autoridades), em que ordem, por que meio.
  • Documente: como desligar sistemas comprometidos, como isolar máquinas infetadas, como preservar evidências.
  • Teste: simule um incidente (ex: servidor com ransomware) e execute o plano — quanto tempo leva?
  • Comunique: todos os colaboradores devem saber a quem reportar suspeitas (phishing, comportamento estranho).
  • Retenha: após um incidente, analise o que correu mal e atualize o plano.

Passo 11: Forme colaboradores em cibersegurança

O elo mais fraco é sempre a pessoa. Um email de phishing bem feito engana utilizadores mesmo com avisos.

  • Sessão anual obrigatória: o que é phishing, como reconhecer, a quem reportar.
  • Políticas claras: sem partilha de passwords, sem instalação de software não autorizado, sem conexão de pendrives desconhecidas.
  • Teste prático: envie emails de phishing simulado (com consentimento da administração) — quem clica? Reforce com essa pessoa.
  • Acesso: todos os colaboradores com acesso a sistemas devem ter formação antes de receber credenciais.

Passo 12: Documente tudo

Documentação não é burocracia — é prova de conformidade. Numa auditoria, o que não está documentado não existe.

  • Política de segurança: um documento de 5-10 páginas que resume controlos, responsabilidades, processos.
  • Inventário de ativos: lista de servidores, software, licenças, datas de fim de suporte.
  • Matriz de acessos: quem tem acesso a quê, por que razão, desde quando.
  • Registo de incidentes: data, descrição, impacto, ação corretiva, resultado.
  • Plano de continuidade: como recuperar após desastre (incêndio, inundação, ataque).

Próximos passos

Escolha um controlo por semana. Comece pelos mais simples (logging, patch management) e depois passe aos mais complexos (segmentação de rede, plano de continuidade). Cada checklist preenchido é uma evidência de conformidade. Guarde tudo — numa auditoria, a documentação é a sua defesa.

Dúvidas sobre implementação? A equipa de cibersegurança INFOS pode auditar e guiar o seu plano NIS2.

Perguntas frequentes

O que é exatamente uma "entidade essencial" segundo a NIS2?

São organizações com mais de 250 colaboradores, faturação acima de 50 milhões de euros, ou que operam em setores críticos (energia, água, transportes, saúde, alimentar). Estas entidades têm obrigações reforçadas de segurança cibernética e devem implementar controlos técnicos até 17 de outubro de 2024 em Portugal.

Qual é a diferença entre dados críticos e dados normais numa fábrica?

Dados críticos são aqueles cuja perda ou corrupção paralisa a operação por mais de uma hora. Incluem encomendas, faturação, planos de produção e credenciais de acesso. Dados normais têm menor impacto operacional. A NIS2 exige proteção reforçada apenas dos críticos.

Por que é que um backup normal não chega para cumprir NIS2?

Porque um backup pode ser apagado ou corrompido por um ataque. NIS2 exige que pelo menos uma cópia seja imutável durante um período de retenção (mínimo 30 dias), impedindo qualquer modificação ou eliminação, mesmo por administradores.

A autenticação multifator (MFA) é obrigatória para todos os colaboradores?

Não. NIS2 exige MFA apenas para contas com acesso a dados críticos: administradores, gestores de IT e colaboradores com acesso a sistemas financeiros ou de produção. Utilizadores normais podem não necessitar, dependendo das suas permissões.

Quanto tempo leva a implementar os 12 controlos técnicos da NIS2?

O guia propõe 6 semanas para auditar e implementar, com um checklist pronto para usar. O tempo real depende do tamanho da fábrica, complexidade dos sistemas e recursos disponíveis. Fábricas pequenas podem ser mais rápidas; as grandes podem necessitar mais tempo.

Se não cumprir NIS2 até outubro de 2024, quais são as consequências?

A NIS2 prevê penalidades significativas para entidades essenciais que não cumpram. As autoridades portuguesas podem aplicar multas administrativas, suspender operações críticas ou exigir auditoria externa obrigatória. O não-cumprimento também expõe a empresa a riscos legais e de reputação.

Fontes

  • Diretiva (UE) 2022/2555 (NIS2) — Diretiva relativa às medidas para um elevado nível comum de cibersegurança em toda a União Europeia
  • Decreto-Lei n.º 65/2021 (transposição NIS1 em Portugal) — Regulamento nacional de segurança de redes e sistemas de informação
  • ENISA — Guidelines on Incident Handling and Response (2022) — Recomendações técnicas da Agência da União Europeia para a Cibersegurança
  • Norma ISO/IEC 27001:2022 — Sistemas de gestão da segurança da informação (referência técnica para controlos de segurança)
  • CNCS (Centro Nacional de Cibersegurança) — Orientações de implementação NIS2 para entidades essenciais em Portugal