ONLINE | NIS2 RESPONDE - Gestão e Notificação de Incidentes

Recebeu um alerta, mas ainda não conhece totalmente a origem ou o impacto? Sabe quando deve escalar, notificar ou continuar a investigar? E consegue demonstrar depois quem decidiu, o que foi comunicado e com que evidência?

O curso foi concebido para capacitar profissionais que precisam de transformar um alerta técnico num processo organizacional disciplinado: qualificar o incidente, escalar, decidir, notificar, comunicar, recuperar, fechar e provar.
Ao longo da formação, os participantes trabalham critérios de declaração, categorização e significância, responsabilidades, escalamento, atos e prazos de notificação, comunicações aplicáveis, recuperação, fecho, revisão pós-incidente e organização da evidência.

O curso enquadra estes temas no Regime Jurídico da Cibersegurança, no Regulamento n.º 756/2026 e nas medidas aplicáveis do QNRCS 2.0, recorrendo ainda às orientações técnicas da ENISA como apoio à implementação, de acordo com a respetiva natureza e força.

A formação inclui o Toolkit Essencial NIS2 — Gestão de Incidentes, composto por artefactos editáveis e reutilizáveis utilizados nos exercícios para apoiar a qualificação, o registo das decisões, o escalamento, a notificação, a recuperação, o fecho e a organização da evidência.

Nos casos de uso em que seja pedagogicamente adequado, o CYBERSECURE é utilizado como plataforma de apoio à realização dos exercícios e à organização da informação trabalhada pelos participantes.

O Toolkit e a plataforma apoiam a análise e a organização do trabalho, sem substituir a qualificação, a decisão, a validação, a autorização ou a responsabilidade das funções competentes.

Consulte todos os cursos do percurso NIS2 aqui

No final da formação, os participantes deverão ser capazes de:

• distinguir evento, incidente e incidente significativo;
• aplicar critérios de declaração, categorização, prioridade e escalamento;
• avaliar os parâmetros de significância do incidente;
• organizar factos, hipóteses, informação desconhecida e cronologia;
• identificar responsabilidades e níveis de autoridade;
• distinguir os diferentes atos e prazos do ciclo de notificação;
• preparar, validar, autorizar e evidenciar notificações;
• analisar situações de notificação voluntária;
• distinguir notificações de outras comunicações aplicáveis;
• fundamentar decisões de contenção, erradicação e recuperação;
• definir critérios de resolução e fecho;
• avaliar risco residual e ações corretivas;
• realizar revisão pós-incidente e organizar a evidência necessária.

Sessão 1 — Qualificar e escalar
Pergunta central: Temos informação suficiente para declarar e escalar o incidente?

A sessão trabalha a passagem de um reporte ou alerta para uma qualificação fundamentada. São abordados os critérios previamente definidos para declarar um incidente, a categorização, a prioridade e os parâmetros de significância. Os participantes trabalham a separação entre factos confirmados, hipóteses e informação desconhecida, bem como a construção e atualização da cronologia. São ainda analisadas as responsabilidades da equipa técnica, do Responsável de Cibersegurança, do ponto de contacto e das restantes funções envolvidas. A insuficiência ou inconsistência dos registos e fontes disponíveis é tratada como uma limitação relevante para a decisão. A sessão termina com a aplicação dos critérios de escalamento técnico, organizacional e executivo.

Exercício prático: análise de um alerta incompleto com possível impacto num serviço crítico, para decidir se a situação deve ser declarada, categorizada e escalada.
Outputs trabalhados: Ficha de Triagem e Qualificação do Incidente; Cronologia, Factos, Hipóteses e Registo de Decisões; Matriz de Escalamento, Autoridade e Responsabilidades.

Sessão 2 — Notificar e comunicar
Pergunta central: Notificar agora, atualizar ou continuar a investigar?

A sessão trabalha a relação entre a qualificação do incidente, a informação disponível e a decisão de notificação. São distinguidos os diferentes atos do ciclo de notificação obrigatória, incluindo os respetivos prazos e pontos de partida. Os participantes analisam responsabilidades de preparação, validação, autorização e submissão, bem como a utilização da plataforma eletrónica e dos canais excecionais previstos para situações de indisponibilidade. A sessão aborda também a notificação voluntária de incidentes, ciberameaças, quase-incidentes e vulnerabilidades. São trabalhadas as diferenças entre a notificação de cibersegurança e outras comunicações legais, regulamentares, contratuais ou setoriais. É ainda dada atenção à conservação de versões, recibos, comprovativos e restantes evidências de submissão.

Exercício prático: decisão sobre o que notificar ou comunicar, a quem, em que momento, com que autorização, por que canal e com que evidência, num incidente ainda em investigação.
Outputs trabalhados: Mapa de Notificações, Comunicações e Evidências de Submissão; Checklist de Decisão sobre Notificação Voluntária.

Sessão 3 — Recuperar, encerrar e evidenciar
Pergunta central: Quando podemos recuperar, declarar resolvido e encerrar o incidente?

A sessão trabalha a articulação entre contenção, erradicação, continuidade, recuperação, resolução, fecho e risco residual. São analisados os critérios e a autoridade necessários para iniciar a recuperação e validar o restabelecimento. Os participantes distinguem recuperação técnica, resolução e encerramento do incidente, identificando ações pendentes e riscos residuais. A sessão aborda ainda a preservação da evidência, a revisão pós-incidente, a identificação da causa raiz quando possível e as lições aprendidas. Os resultados da revisão são relacionados com ações corretivas, melhoria dos procedimentos e atualização da avaliação do risco. O objetivo é assegurar que o incidente não termina apenas com a reposição técnica do serviço, mas com uma decisão fundamentada e evidenciada.

Exercício final integrador: gestão de um incidente de ransomware com origem num fornecedor crítico, impacto num serviço prioritário, possível envolvimento de dados pessoais e indisponibilidade temporária do canal normal de notificação.
Outputs trabalhados: Ficha de Decisão e Autorização para Recuperação e Avaliação do Risco Residual; Checklist de Resolução, Fecho e Plano Corretivo.

Cada sessão responde a uma pergunta operacional, integra um exercício principal e desenvolve um conjunto limitado de artefactos do Toolkit Essencial NIS2 — Gestão de Incidentes.

Os exercícios são apresentados em vagas sucessivas de informação. Os participantes analisam a situação, atualizam a cronologia, distinguem factos, hipóteses e informação desconhecida, reavaliam a qualificação do incidente, registam decisões e fundamentam o escalamento, a notificação, a recuperação e o fecho.

Nos casos de uso em que seja pedagogicamente adequado, o CYBERSECURE é utilizado como plataforma de apoio à realização dos exercícios e à organização da informação sobre incidentes, factos, hipóteses, cronologias, responsabilidades, decisões, notificações, comunicações, ações, risco residual e evidências.

A utilização da plataforma é articulada com os artefactos editáveis do Toolkit e não substitui a análise, a qualificação, a decisão, a validação, a autorização, a notificação, a recuperação ou a responsabilidade das funções competentes.

Não existe trabalho assíncrono obrigatório. O Toolkit Essencial NIS2 — Gestão de Incidentes é trabalhado durante as sessões e disponibilizado em formato editável e reutilizável. A Documentação Pedagógica Complementar é disponibilizada como referência, sem explicação exaustiva.

A utilização do CYBERSECURE não constitui uma competência autónoma de avaliação. É avaliada a qualidade da análise, da fundamentação, das decisões e da evidência organizada, independentemente do suporte utilizado.

A avaliação é contínua e formativa, considerando a participação, a qualidade da análise, a capacidade de distinguir factos de hipóteses, a fundamentação das decisões, a coerência dos registos e o desempenho no exercício final integrador.

Henrique Necho

• Formador certificado
• Responsável de Cibersegurança, consultor e formador em NIS2
• Mais de 30 anos de experiência profissional nas áreas de redes e sistemas, cibersegurança, auditoria, privacidade, governação e regulação tecnológica
• Trabalho orientado para a tradução de requisitos legais e regulamentares em decisões, responsabilidades, medidas, processos, verificações e evidências aplicáveis às organizações
• Responsável pela conceção técnica e pedagógica do portefólio de formação NIS2 e dos respetivos casos, exercícios, Toolkits e Dossiers
• Certificações profissionais: CISM, CISA, ISO/IEC 27001 Lead Implementer, ISO/IEC 27005 Senior Risk Manager, CIPP/E, CIPM e CIPT
• Investigação e escrita do livro "NIS2 EXECUTA — Implementação Prática para Responsáveis de Cibersegurança (CISOs)"
• Responsável pela conceção do CYBERSECURE e pelo seu alinhamento com o RJC e o Regulamento n.º 756/2026

No NIS2 RESPONDE, Henrique Necho orienta os participantes na qualificação e escalamento de incidentes, na organização da informação e da cronologia, na preparação de notificações obrigatórias e voluntárias, na articulação das comunicações, na fundamentação das decisões de recuperação e fecho, na avaliação do risco residual e na organização progressiva do Toolkit Essencial NIS2 — Gestão de Incidentes.

A formação destina-se prioritariamente a profissionais com responsabilidades na análise, decisão, coordenação, notificação, comunicação e acompanhamento de incidentes de cibersegurança, nomeadamente:

• Responsáveis de Cibersegurança e CISOs;
• profissionais de resposta a incidentes e segurança da informação;
• responsáveis de TIC;
• pontos de contacto permanentes;
• responsáveis de continuidade das atividades e gestão de crises;
• profissionais de jurídico, proteção de dados, compliance e gestão dos riscos;
• auditores internos;
• profissionais de comunicação;
• responsáveis de operações e de serviços ou processos críticos;
• gestores de fornecedores críticos;
• consultores que apoiem a preparação, gestão ou revisão de incidentes.

É especialmente adequado para quem participa na qualificação e escalamento de incidentes, prepara ou valida notificações, acompanha decisões de contenção e recuperação, organiza cronologias e evidências ou intervém na revisão pós-incidente.

Não é uma formação técnica aprofundada em SOC, SIEM, EDR/XDR, análise forense, engenharia de deteção ou threat intelligence.

As CONDIÇÕES GERAIS DE PARTICIPAÇÃO são aplicáveis às modalidades de formação presencial e online. A inscrição pressupõe o conhecimento e aceitação das Condições Gerais de Participação, disponíveis em: 
https://aeportugal.pt/pt/condicoes-gerais-de-participacao