ONLINE | NIS2 CONTINUIDADE - Continuidade de Atividades, Recuperação de Desastres e Gestão de Crises

Sabe quais as atividades que não podem parar e durante quanto tempo? Tem cópias de segurança, planos e recursos, mas já verificou se permitem recuperar dentro dos critérios definidos? Consegue demonstrar quem decide o regresso à operação, com que fundamento e com que evidência?

O curso foi concebido para capacitar profissionais que precisam de transformar requisitos de continuidade em critérios, planos, cópias de segurança, verificações, testes, recuperação e evidência, articulando as necessidades do negócio com as capacidades técnicas e organizacionais da entidade.

O curso enquadra estes temas no Regime Jurídico da Cibersegurança, no Regulamento n.º 756/2026 e nas medidas aplicáveis do QNRCS 2.0, distinguindo o que é exigível em função da qualificação, do nível de conformidade ou do grupo aplicável. As orientações técnicas da ENISA são utilizadas como apoio à operacionalização, de acordo com a respetiva natureza e força.

A formação distingue expressamente:

• medidas aplicáveis a Entidades Essenciais e Importantes, de acordo com o nível de conformidade;
• medidas aplicáveis a Entidades Públicas Relevantes, de acordo com o grupo aplicável;
• instrumentos utilizados como preparação, operacionalização ou boa prática técnica.

O curso transforma esta exigências num ciclo:
obrigação aplicável → atividade crítica → impacto → risco → requisito de continuidade → medida → preparação → teste → ativação → recuperação → validação → comunicação → evidência → ação corretiva → reteste

É disponibilizado o Toolkit Essencial NIS2 — Continuidade das Atividades, com seis templates editáveis e reutilizáveis, a utilizar nos exercícios:

• Análise de Impacto e Requisitos de Continuidade;
• Plano Integrado de Continuidade e Recuperação;
• Política e Procedimento de Cópias de Segurança;
• Plano de Verificação, Restauro e Testes de Recuperação;
• Plano de Gestão de Crises e Comunicação;
• Registo de Ativação, Recuperação, Validação do Regresso à Operação, Comunicações, Risco Residual e Ações Corretivas.

Consulte todos os cursos do percurso NIS2 aqui.

No final da formação, os participantes deverão ser capazes de:

• identificar o enquadramento e as medidas de continuidade aplicáveis à entidade;
• identificar serviços, funções ou atividades críticas, ativos TIC, partes interessadas e dependências relevantes;
• realizar uma análise de impacto simplificada e definir prioridades, requisitos e objetivos de continuidade;
• relacionar MAO/MTPD, RTO, RPO e SDO com o contexto e os objetivos de recuperação;
• estruturar os elementos essenciais dos Planos de Continuidade de Negócio e de Recuperação de Desastres;
• definir os elementos essenciais da Política e dos Procedimentos de Cópias de Segurança;
• avaliar integridade, completude, disponibilidade, utilização, restauro, redundância e capacidade de recuperação;
• preparar verificações e testes de restauro, recuperação, failover, redundância e capacidade;
• estruturar responsabilidades, autoridade, critérios de ativação e comunicação em situação de crise;
• avaliar resultados, risco residual, ações corretivas e necessidades de reteste;
• definir critérios técnicos e funcionais para validar o regresso à operação;
• organizar decisões, medidas, testes, resultados, comunicações e evidências no Toolkit.

Sessão 1 — Enquadrar, analisar impactos e definir requisitos de continuidade
Pergunta central: Que medidas de continuidade são aplicáveis à entidade e a que atividades?

A sessão começa pelo enquadramento das medidas aplicáveis, distinguindo Entidades Essenciais e Importantes, em função do nível de conformidade, e Entidades Públicas Relevantes, de acordo com o grupo aplicável. Os participantes identificam serviços, funções ou atividades críticas, ativos TIC, infraestruturas, partes interessadas, fornecedores e dependências internas, externas e intersetoriais. É trabalhada uma análise de impacto simplificada e a relação entre MAO/MTPD, RTO, RPO e SDO como instrumentos técnicos para estruturar requisitos e objetivos de recuperação. A sessão aborda ainda os elementos essenciais do Plano Integrado de Continuidade e Recuperação, correspondente, na sua estrutura, aos Planos de Continuidade de Negócio e de Recuperação de Desastres. São definidos critérios de ordem de recuperação, responsabilidades, recursos, condições de ativação e operação degradada.

Exercício prático: quatro atividades disputam recursos limitados e dependem de ativos, serviços externos e fornecedores comuns. Os participantes têm de decidir o que é crítico, definir prioridades e objetivos de recuperação, identificar conflitos e iniciar os elementos do plano.
Outputs trabalhados: Análise de Impacto e Requisitos de Continuidade; Plano Integrado de Continuidade e Recuperação.
Exercício assíncrono facultativo: mini-análise de impacto de uma atividade, processo ou serviço da entidade, ou do caso pedagógico, sem entrega obrigatória e sem integração na carga horária.

Sessão 2 — Preparar cópias de segurança, redundância e recuperação de desastres
Pergunta central: As cópias de segurança, os recursos e os procedimentos permitem recuperar dentro dos critérios definidos?

A sessão trabalha a Política e o Procedimento de Cópias de Segurança, incluindo âmbito, periodicidade, retenção, localização, segregação do ambiente protegido, proteção física e lógica, acessos, cifragem, gestão de chaves, integridade, completude, exatidão, disponibilidade e possibilidade de utilização. São analisados procedimentos de restauro, critérios de sucesso e falha, redundância das próprias cópias e capacidade necessária à recuperação. A redundância é abordada também ao nível dos sistemas, ativos, instalações, pessoas, competências, autoridade e canais de comunicação. A sessão trabalha ainda a proteção e acessibilidade dos planos durante uma indisponibilidade e a dependência de fornecedores e recursos externos.

Exercício prático: existe uma cópia recente, mas surgem problemas de integridade, completude, configuração, chave de cifragem, capacidade, dependência do ambiente afetado, disponibilidade do fornecedor e ausência de teste recente. Os participantes têm de decidir se a cópia pode ser utilizada, definir verificações, critérios de sucesso, ações de regularização e evidências.
Outputs trabalhados: Política e Procedimento de Cópias de Segurança; Plano de Verificação, Restauro e Testes de Recuperação.
Exercício assíncrono facultativo: análise da capacidade de recuperação de um sistema ou serviço, desde a cópia até ao restauro verificável, sem execução de testes reais obrigatórios.

Sessão 3 — Testar, gerir a crise, recuperar e validar o regresso à operação
Pergunta central: As medidas funcionam e existem condições para autorizar o regresso à operação?

A sessão trabalha métodos de verificação e teste, incluindo revisão documental, walkthrough, tabletop, restauro, failover, redundância, capacidade e canais alternativos. São analisados periodicidade e gatilhos de revisão, critérios de declaração de crise, ativação e desativação da recuperação, equipa de crise, autoridade, escalamento, operação degradada e mecanismos de fallback. A formação articula o Plano de Resposta a Incidentes, o Plano de Recuperação de Desastres, o Plano de Continuidade de Negócio e a gestão de crise, delimitando o aprofundamento que pertence ao NIS2 RESPONDE. São ainda trabalhados fornecedores, validação técnica e funcional, risco residual, comunicações às partes interessadas e critérios para declarar terminado o processo de recuperação. A sessão fecha com a cadeia critério → teste → resultado → desvio → decisão → ação corretiva → reteste → evidência.

Exercício final integrador: um serviço crítico encontra-se parcialmente recuperado, os objetivos estão em risco, existe capacidade insuficiente, um fornecedor está atrasado, há operação degradada e o canal normal de comunicação falhou. Os participantes têm de decidir sobre crise, prioridades, recuperação, comunicações, risco residual, regresso à operação, ações corretivas e reteste.
Outputs trabalhados: Plano de Gestão de Crises e Comunicação; Registo de Ativação, Recuperação, Validação do Regresso à Operação, Comunicações, Risco Residual e Ações Corretivas.

Cada sessão responde a uma pergunta operacional, integra um exercício principal e desenvolve um conjunto limitado de artefactos do Toolkit Essencial NIS2 — Continuidade das Atividades.

Os casos são apresentados por vagas sucessivas de informação. Os participantes identificam factos, pressupostos e informação em falta, atualizam impactos e prioridades, fundamentam decisões, definem critérios de verificação e teste e organizam progressivamente a evidência.

A formação segue a assinatura pedagógica: APRESENTAR → DEMONSTRAR → PRATICAR → DISCUTIR → VERIFICAR → CONSOLIDAR.

Nos casos de uso em que seja pedagogicamente adequado, o CYBERSECURE é utilizado como plataforma de apoio à realização dos exercícios e à organização da informação sobre atividades críticas, dependências, requisitos, responsabilidades, medidas, verificações, testes, resultados, ações de regularização, risco residual e evidências.

A utilização da plataforma é articulada com os artefactos editáveis do Toolkit e não substitui a análise, a decisão, a aprovação, a implementação, a verificação, o teste, a validação, a supervisão ou a responsabilidade das funções competentes.

Existem dois exercícios assíncronos facultativos, associados às sessões 1 e 2. Não existe trabalho assíncrono obrigatório. Os exercícios facultativos não integram a carga horária, não exigem entrega e não condicionam a avaliação ou certificação.

O Toolkit é trabalhado durante as sessões e disponibilizado em formato editável e reutilizável. A Documentação Pedagógica Complementar é disponibilizada como referência para aplicação posterior.

A avaliação é contínua e formativa. A utilização do CYBERSECURE não constitui uma competência autónoma de avaliação; é avaliada a qualidade da análise, da fundamentação, das decisões, das verificações e da evidência organizada, independentemente do suporte utilizado.

Henrique Necho

• Formador certificado
• Responsável de Cibersegurança, consultor e formador em NIS2
• Mais de 30 anos de experiência profissional nas áreas de redes e sistemas, cibersegurança, auditoria, privacidade, governação e regulação tecnológica
• Trabalho orientado para a tradução de requisitos legais e regulamentares em decisões, responsabilidades, medidas, processos, verificações e evidências aplicáveis às organizações
• Responsável pela conceção técnica e pedagógica do portefólio de formação NIS2 e dos respetivos casos, exercícios, Toolkits e Dossiers
• Certificações profissionais: CISM, CISA, ISO/IEC 27001 Lead Implementer, ISO/IEC 27005 Senior Risk Manager, CIPP/E, CIPM e CIPT
• Investigação e escrita do livro "NIS2 EXECUTA — Implementação Prática para Responsáveis de Cibersegurança (CISOs)"
• Responsável pela conceção do CYBERSECURE e pelo seu alinhamento com o RJC e o Regulamento n.º 756/2026

No NIS2 CONTINUIDADE, Henrique Necho orienta os participantes na identificação de atividades críticas e dependências, na análise de impactos, na definição de requisitos e objetivos de recuperação, na preparação de planos, cópias de segurança, redundância e testes, na avaliação do risco residual e das ações corretivas, na gestão de crises e na validação técnica e funcional do regresso à operação.

A formação destina-se prioritariamente a profissionais com responsabilidades na continuidade das atividades, recuperação de desastres, cibersegurança, TIC, operações, infraestruturas, gestão dos riscos e gestão de crises, nomeadamente:

• Responsáveis de Cibersegurança e CISOs;
• CIOs e responsáveis de TIC;
• responsáveis de continuidade das atividades e recuperação de desastres;
• responsáveis de operações, infraestruturas, redes e sistemas;
• responsáveis de gestão dos riscos e gestão de crises;
• donos de serviços, funções ou atividades críticas;
• responsáveis por sistemas, aplicações, capacidade e disponibilidade;
• gestores de fornecedores críticos com impacto na continuidade;
• profissionais de Entidades Públicas Relevantes responsáveis por funções ou atividades críticas e pelos ativos TIC que as suportam;
• profissionais de segurança da informação, resposta a incidentes, auditoria, compliance, jurídico, proteção de dados e comunicação;
• consultores que apoiem continuidade, recuperação ou gestão de crises.

É especialmente adequado para quem participa na identificação de atividades críticas, análise de impactos, definição de requisitos e objetivos de recuperação, preparação de planos, acompanhamento de cópias de segurança, realização de verificações e testes, gestão de crises ou validação do regresso à operação.

Não é uma formação técnica aprofundada sobre plataformas ou tecnologias específicas de backup, replicação, disaster recovery ou alta disponibilidade.

As CONDIÇÕES GERAIS DE PARTICIPAÇÃO são aplicáveis às modalidades de formação presencial e online. A inscrição pressupõe o conhecimento e aceitação das Condições Gerais de Participação, disponíveis em: 
https://aeportugal.pt/pt/condicoes-gerais-de-participacao