Fiscalização da conformidade com a NIS2 e a KSC: documentos, registos e testes que devem formar uma cadeia de evidências coerente

A fiscalização da conformidade com a NIS2 e a KSC não se limita à apresentação de políticas e procedimentos. A autoridade de supervisão pode verificar se a organização definiu corretamente o âmbito das obrigações, atribuiu responsabilidades, implementou controlos e consegue demonstrar o seu funcionamento através de registos atualizados, resultados de testes e decisões de gestão. A preparação deve, por isso, seguir uma cadeia de evidências: da obrigação e do risco ao mecanismo aplicado, passando pelo registo da execução, pela avaliação da eficácia e pela resposta a eventuais desvios.

A fiscalização avalia o sistema, não o dossier

O ponto de partida não é a quantidade de políticas e procedimentos, mas a correta delimitação das obrigações aplicáveis. A organização deve conseguir indicar quais os serviços, processos, sistemas de informação, localizações e dependências de fornecedores abrangidos pelos requisitos da KSC, bem como a fundamentação dessa decisão. Antes de organizar a documentação, o órgão de gestão deve confirmar o estatuto da entidade e o âmbito dos serviços prestados, designando depois uma pessoa responsável pela preparação da fiscalização.

O maior risco em matéria de evidências surge quando a documentação descreve soluções que a organização não aplica na prática ou cuja execução não consegue comprovar através de registos. Isto verifica-se sobretudo nas revisões de acessos, avaliações de risco, cópias de segurança, supervisão de fornecedores e testes de continuidade. O conjunto documental deve formar uma cadeia coerente: requisito ou risco, decisão, controlo aplicado, responsabilidade, registo da execução, resultado da avaliação de eficácia e resposta ao desvio identificado.

A autoridade pode começar por um documento de nível superior e avançar depois para uma amostra operacional. Se o procedimento de gestão de incidentes definir como os eventos são classificados e escalados, deve prever-se a verificação das notificações, dos tempos de resposta, das decisões tomadas, da comunicação, do encerramento dos casos e das conclusões posteriores ao incidente. O âmbito do sistema não se demonstra apenas por meio de uma descrição. Exige também um mapa de serviços e dependências, um inventário de ativos, a atribuição de responsáveis e a coerência dessas informações com os registos operacionais.

A documentação NIS2 e KSC antes da fiscalização: que políticas, registos e evidências são realmente necessários deve refletir um mecanismo de gestão efetivamente aplicado, e não um catálogo de modelos. Importa ainda distinguir a fiscalização realizada pela autoridade de um auditoria ao sistema de gestão. Ambas podem recorrer a evidências semelhantes, mas a fiscalização avalia o cumprimento das obrigações resultantes da legislação aplicável e do âmbito de supervisão, enquanto a auditoria avalia a conformidade e a eficácia do sistema com base em critérios definidos. Um resultado positivo numa destas atividades não substitui a outra.

Âmbito e responsabilidades sob análise

O primeiro grupo de evidências deve explicar por que motivo a organização está sujeita a determinadas obrigações e onde se situam os limites do ambiente supervisionado. A autoridade pode exigir a fundamentação da qualificação da entidade, a identificação dos serviços abrangidos pela regulamentação e a indicação dos processos, ativos de informação, sistemas, localizações e fornecedores associados. O âmbito não deve ser descrito apenas através da designação da atividade. Deve permitir acompanhar a prestação do serviço desde o processo de negócio, passando pelos ativos que o suportam, até às dependências externas.

A preparação deve assentar numa descrição atualizada do âmbito, aprovada pelo órgão de gestão e complementada por um mapa de serviços e processos, um inventário de ativos críticos e uma estrutura de responsabilidades. Os documentos que formalizam as funções devem definir não apenas os cargos, mas também a autoridade para aceitar riscos, ativar medidas de contingência, escalar incidentes e tomar decisões relativas a fornecedores. Os responsáveis por serviços, ativos e riscos devem ser designados de acordo com a distribuição real de competências.

Uma incoerência típica ocorre quando o registo identifica formalmente um responsável pelo risco, mas a decisão de aceitação é tomada por outra pessoa, sem autoridade adequada nem registo da decisão. O mesmo problema afeta as exceções aos controlos, a continuidade das operações e a aprovação de fornecedores. As atas de reuniões, deliberações, aprovações de avaliações de risco, decisões orçamentais e revisões pela gestão devem demonstrar que o órgão de gestão conhece os riscos relevantes, decide sobre matérias que ultrapassam a competência operacional e acompanha a execução das decisões tomadas.

O método de qualificação, a inscrição no registo aplicável e as competências da autoridade devem ser sempre determinados com base no enquadramento jurídico em vigor e na situação concreta da entidade. Este tema é desenvolvido no artigo NIS2: autoavaliação e inscrição no Registo KSC — o que deve fazer uma empresa industrial? Se a organização tiver o estatuto de entidade essencial, a avaliação do âmbito deve também ser relacionada com o conteúdo Auditoria KSC obrigatória: que entidades essenciais devem preparar-se para a primeira avaliação da conformidade. O estatuto, por si só, não prova que o órgão de gestão aprovou os limites de responsabilidade nem que assegurou a sua revisão periódica.

Os registos demonstram a prática

Um registo só constitui evidência de gestão contínua quando reflete as decisões e atividades realizadas nos processos, em vez de ser um anexo ao procedimento atualizado apenas periodicamente. Antes de selecionar uma ferramenta, devem definir-se os campos necessários, as fontes de dados, os responsáveis pelos registos e as regras de aprovação das alterações. Uma folha de cálculo pode ser suficiente se assegurar controlo de acesso, histórico de alterações, responsabilidade inequívoca e proteção contra modificações não autorizadas. Uma ferramenta sofisticada não garante a fiabilidade dos dados se não estiver definido quem atualiza o registo, quando o faz e com base em que evento.

O registo de riscos deve relacionar os cenários de ameaça com os serviços e ativos, identificar o responsável, os controlos existentes, o resultado da avaliação, a decisão de tratamento e o estado das ações. A autoridade pode verificar se um risco classificado para mitigação tem uma ação, um prazo e uma evidência de execução associados e se um risco aceite foi aprovado por uma pessoa com autoridade adequada. Entre os indicadores úteis para a gestão contam-se o número de riscos em aberto, ações não concluídas e decisões a aguardar nova revisão. Estes são indicadores definidos pela organização, não limiares estabelecidos na legislação.

O registo de incidentes e eventos deve permitir reconstruir todas as etapas: deteção, classificação do incidente, escalonamento, decisão de notificação, comunicação, recuperação das operações e encerramento formal, incluindo as conclusões obtidas. A documentação relacionada inclui registos de vulnerabilidades, correções e exceções aceites, revisões de acessos, execução e restauro de cópias de segurança, alterações de configuração, atividades de administradores, formação e exercícios.

O adiamento de uma correção deve ser rastreável desde a vulnerabilidade identificada, passando pela avaliação do impacto e pela decisão de exceção, até à implementação de controlos compensatórios, à data de reavaliação e à confirmação do encerramento. Uma simples lista de correções em atraso não demonstra que o adiamento está sob controlo.

A supervisão da cadeia de fornecimento exige o mesmo nível de coerência. Uma lista de contratos não substitui a classificação de fornecedores, a avaliação das dependências dos serviços e ativos em relação a terceiros, a definição de requisitos de segurança, os registos das revisões nem as decisões sobre lacunas não aceites. O registo deve mostrar quem aprovou o fornecedor, que exceções foram aceites e quando ocorrerá a reavaliação. Devem ser acompanhados, em especial, os fornecedores sem avaliação atualizada e as ações pendentes resultantes das revisões. Esta matéria também é relevante durante a execução do programa Implementação da NIS2 após a inscrição no Registo KSC — plano de ação até 3 de abril de 2027.

As regras de conservação, acesso e aprovação de alterações devem ser diferenciadas em função do tipo de registo, do seu valor probatório, dos requisitos legais e contratuais e das necessidades de análise de incidentes. Não deve ser adotado um único prazo de conservação para todos os registos sem essa análise prévia. Os prazos de notificação de incidentes e o método de preservação das evidências devem ser sempre verificados à luz da legislação em vigor e das orientações da autoridade competente. Um catálogo mais amplo de materiais é apresentado em Documentação NIS2 e KSC antes da fiscalização: que políticas, registos e evidências são realmente necessários. A maturidade operacional depende, contudo, dos registos produzidos no trabalho quotidiano e de uma cadeia visível desde o requisito até ao resultado do controlo e à ação corretiva.

Os testes devem terminar numa decisão

A autoridade de supervisão pode solicitar não apenas o plano de continuidade, o procedimento de resposta a incidentes ou a confirmação da execução de cópias de segurança. São igualmente relevantes as evidências de que essas soluções foram testadas em condições representativas dos serviços, tecnologias e dependências de fornecedores existentes. O programa de testes deve resultar da avaliação de riscos, da criticidade dos serviços, das alterações no ambiente e dos requisitos legais e contratuais. Não existe uma frequência única adequada a todos os controlos. Devem ser testadas com maior frequência as áreas com impacto elevado, sujeitas a alterações rápidas ou nas quais testes anteriores tenham identificado desvios significativos.

Antes de cada teste, é necessário definir o respetivo objeto e os critérios de aprovação. O registo deve incluir o âmbito, o cenário, os participantes, o ambiente, os critérios de aprovação e as tolerâncias admitidas e, após a execução, o resultado, os desvios e o impacto real ou potencial no serviço. Quando forem identificadas lacunas, as evidências devem indicar as ações corretivas, os respetivos responsáveis, os prazos de execução e a data da nova verificação.

Entre os indicadores úteis estão o tempo real de recuperação, o ponto de recuperação alcançado, o tempo de escalonamento e a percentagem de ações encerradas após o teste. O erro organizacional mais grave consiste em realizar testes cíclicos sem critérios de sucesso ou sem encerrar as não conformidades identificadas.

Os testes fundamentais incluem o restauro de dados a partir de cópias de segurança, a comutação para soluções de contingência, os exercícios de resposta a incidentes, os testes de comunicação de crise, as revisões de acessos, o restauro de configurações e a verificação técnica de vulnerabilidades, incluindo análises e, quando adequado ao risco, testes de intrusão. O resultado apresentado por um fornecedor pode integrar as evidências, mas não substitui o teste realizado pela organização quando não abrange os seus processos, integrações, responsabilidades e condições operacionais.

Após cada teste, o responsável pelo serviço deve tomar uma decisão documentada: aceitar o resultado, implementar uma correção, estabelecer um controlo compensatório, repetir o teste ou aceitar o risco de acordo com a autoridade que lhe foi atribuída.

A execução correta de uma cópia de segurança de uma base de dados ainda não demonstra a capacidade de recuperar um serviço. Durante o teste pode verificar-se que a aplicação depende de uma versão de configuração não documentada, que o mecanismo de identidade não funciona no ambiente de contingência, que as chaves não estão acessíveis ou que a única pessoa que conhece a sequência de arranque dos componentes não participa na recuperação. Só a verificação de toda a cadeia de dependências permite comparar o tempo e o ponto de recuperação reais com os critérios definidos, avaliar o impacto no serviço e decidir se existe preparação suficiente ou se são necessárias melhorias.

Esta forma de documentar os testes é relevante em qualquer setor, incluindo na análise da NIS2 para empresas industriais: quem está abrangido, que obrigações são introduzidas e como preparar a organização sem reduzir o tema exclusivamente às TI. O âmbito das evidências esperadas deve ser relacionado com as obrigações aplicáveis à organização, aos seus serviços e ao enquadramento jurídico em vigor. O elemento essencial continua a ser uma sequência coerente: risco identificado, teste planeado, critério mensurável, resultado documentado, decisão do responsável e confirmação da conclusão eficaz das ações.

As incoerências aumentam o custo da fiscalização

Uma documentação formalmente completa perde valor quando não corresponde à realidade. A autoridade pode comparar as declarações das políticas com as configurações dos sistemas, registos de pedidos, contratos, listas de acessos, resultados de análises, relatórios de testes e explicações dos responsáveis pelos processos. Não está em causa uma simples coerência editorial, mas a possibilidade de seguir uma decisão desde a obrigação e o risco identificados até ao controlo implementado, ao registo do seu funcionamento e à resposta ao desvio.

Uma simulação de fiscalização realizada antes do início das diligências da autoridade deve basear-se numa amostra deliberadamente selecionada de serviços, incidentes, fornecedores e acessos, avançando depois da documentação para os dados de origem. Esta abordagem permite identificar inventários de ativos desatualizados, designações diferentes do mesmo serviço em vários documentos, riscos sem responsável, incidentes omitidos do registo, fornecedores sem avaliação documentada e ações corretivas encerradas sem verificação de eficácia. As divergências devem ser resolvidas mediante a determinação da situação real e do responsável pelo registo, e não através de uma uniformização improvisada dos documentos.

Numa empresa industrial, a revisão não deve terminar no ambiente informático administrativo. Para um serviço selecionado, pode abranger a manutenção, a automação, o acesso remoto para assistência técnica, a gestão de configurações e as dependências entre sistemas de produção. Um inventário de acessos pode, por exemplo, omitir uma conta utilizada por um técnico externo, embora o contrato, o registo da ligação e a configuração do equipamento confirmem a sua existência. A relevância dessas dependências é apresentada em maior detalhe no artigo NIS2 para empresas industriais: quem está abrangido, que obrigações são introduzidas e como preparar a organização sem reduzir o tema exclusivamente às TI.

A certificação de um sistema de gestão pode estruturar a gestão de riscos, o controlo documental, as auditorias e as ações corretivas, mas não substitui a análise do âmbito jurídico nem as evidências do cumprimento das obrigações aplicáveis ao abrigo da KSC. Esta distinção é analisada em NIS2 e NP EN ISO 27001: o que proporciona a certificação e o que continua a faltar para a conformidade com a KSC. A ausência de um único registo não determina automaticamente uma situação de não conformidade, mas exige a avaliação da relevância da evidência, da causa da lacuna e da possibilidade de demonstrar o funcionamento do mecanismo através de outros registos fiáveis.

O custo da fiscalização aumenta sobretudo quando as evidências estão dispersas, as delegações de autoridade são pouco claras e ninguém coordena as respostas e a aprovação dos materiais apresentados. Nessas circunstâncias, as equipas começam a reconciliar manualmente dados contraditórios já durante as diligências. A designação prévia de um coordenador, dos responsáveis por cada evidência e das regras para resolver divergências reduz a carga de trabalho e o risco de apresentar explicações incoerentes à autoridade.

A preparação constrói-se através de uma simulação de fiscalização

A simulação interna deve começar pela confirmação do estatuto da entidade, do âmbito dos serviços abrangidos pelas obrigações e das responsabilidades do órgão de gestão e dos responsáveis pelos processos. Em seguida, o coordenador do contacto com a autoridade deve preparar uma matriz de conformidade que relacione cada obrigação com o respetivo responsável e evidência. Só depois devem ser examinadas amostras de registos, realizadas entrevistas com as pessoas responsáveis e reconstruído o percurso de um incidente ou teste selecionado. A função de coordenador deve ser atribuída a uma pessoa com acesso ao órgão de gestão e capacidade para resolver divergências, sem substituir os responsáveis técnicos pelas evidências.

Cada responsável por uma obrigação deve conseguir indicar:

• o documento de nível superior que define o modo de atuação,
• o registo que comprova o cumprimento da obrigação,
• o indicador de eficácia do mecanismo aplicado,
• a última decisão tomada em resultado da revisão.

A ausência de qualquer destes elementos representa uma interrupção na cadeia de evidências. Um procedimento de resposta a incidentes não é suficiente se a organização não conseguir apresentar o registo do evento, o tempo de resposta, a avaliação das consequências, o resultado da análise das causas e a decisão de alterar os controlos. A reconstrução de um caso também permite confirmar se as explicações dos trabalhadores são coerentes com os registos e com o desenrolar real das atividades.

A simulação deve abranger igualmente a logística da fiscalização: receção e registo do pedido, definição do prazo e do responsável pela resposta, aprovação dos materiais, proteção de informação sensível, identificação das versões transmitidas e documentação dos acordos com a autoridade. É aconselhável testar uma situação em que o registo solicitado contenha dados que excedam o objeto da fiscalização ou exija uma explicação contextual. Isto permite determinar quem decide sobre o âmbito da divulgação e de que forma a organização mantém um rasto dos materiais transmitidos.

O plano de correção deve priorizar as lacunas de acordo com o impacto no serviço, a exposição jurídica, a probabilidade de deteção e o tempo necessário para obter evidências fiáveis de eficácia — e não pela facilidade de redigir mais um procedimento. O órgão de gestão aprova as prioridades, os recursos e o nível de risco admissível. Uma ação só deve ser encerrada após uma nova verificação do mecanismo.

O calendário deve ser definido com base no estatuto real da entidade, na correspondência com a autoridade e na legislação em vigor. Após a determinação do estatuto, a análise pode ser complementada por NIS2: autoavaliação e inscrição no Registo KSC — o que deve fazer uma empresa industrial? e Implementação da NIS2 após a inscrição no Registo KSC — plano de ação até 3 de abril de 2027. As datas e obrigações indicadas nesses conteúdos devem ser sempre confirmadas à luz do enquadramento jurídico vigente.