ONLINE | NIS2 DECIDE - Responsabilidade, Risco e Decisão para Órgãos de Gestão, Direção e Administração

No final da formação, os participantes deverão ser capazes de:

• compreender o impacto do Regime Jurídico da Cibersegurança na governação da entidade;
• identificar as decisões e aprovações que pertencem ao órgão de gestão;
• distinguir responsabilidade executiva de execução técnica;
• compreender o nível de conformidade ou grupo aplicável e o respetivo impacto executivo;
• definir a informação, indicadores, verificações e evidências a exigir às funções responsáveis;
• distinguir tomada de conhecimento, aprovação, decisão e supervisão;
• avaliar risco residual, exceções e prioridades de investimento;
• decidir sobre recursos, medidas adicionais ou compensatórias e condições de acompanhamento;
• identificar dependências e fornecedores críticos que exigem decisão executiva;
• definir critérios de escalamento, acompanhamento, revisão e reporte;
• atuar em contexto de incidente, continuidade e informação incompleta;
• supervisionar ações corretivas e acompanhar a execução;
• organizar decisões, aprovações e evidências no Dossier Executivo NIS2;
• definir prioridades executivas para os 30, 60 e 90 dias seguintes.

Sessão 1 — O impacto de estar abrangido
Pergunta central: O que muda para a entidade e que decisões devem chegar ao órgão de gestão?

A sessão enquadra o impacto do Regime Jurídico da Cibersegurança na governação, nas responsabilidades, nos recursos, no reporte e na supervisão. Os participantes analisam a categoria da entidade, o nível de conformidade ou grupo aplicável e as medidas decorrentes da qualificação. É distinguido o nível de conformidade regulamentar das decisões internas de risco: o órgão de gestão não determina o nível aplicável, mas deve compreender as suas consequências. Nas entidades essenciais e importantes, são trabalhadas as responsabilidades relativas à aprovação das medidas, supervisão da respetiva aplicação e formação periódica dos membros do órgão. A sessão distingue ainda responsabilidade executiva, responsabilidade operacional e execução técnica. Nas Entidades Públicas Relevantes, o enquadramento é realizado de acordo com o respetivo grupo e medidas aplicáveis.

Exercício prático: uma entidade foi qualificada e foram identificadas as primeiras medidas aplicáveis. Os participantes decidem o que deve chegar ao órgão de gestão, que recursos e prioridades devem ser definidos e que evidência deve ser conservada.
Outputs trabalhados: Ficha Executiva de Impacto da Abrangência; Mapa de Decisões e Responsabilidades.

Sessão 2 — Governação, risco residual e supervisão
Pergunta central: Que riscos, exceções, recursos e medidas têm de ser decididos ou acompanhados pelo órgão de gestão?

A sessão trabalha autoridade, escalamento, risco residual, exceções, prioridades de investimento e informação necessária para supervisionar a implementação. Os participantes distinguem tomada de conhecimento, aprovação, decisão e supervisão. É trabalhada a relação entre o Responsável de Cibersegurança e o órgão de gestão: identificar, propor e informar não substitui a decisão e a supervisão executivas. O risco residual é tratado como objeto de decisão e não como sinónimo de aceitação. São analisadas redução do risco, medidas adicionais ou compensatórias, decisões condicionadas ou temporárias, prazos e critérios de revisão. A sessão trabalha ainda o Painel Executivo de Cibersegurança e o acompanhamento dos resultados de verificação, incluindo revisão independente quando aplicável.

Exercício prático: o Responsável de Cibersegurança apresenta um risco residual acima da sua autoridade, associado a uma medida incompleta e a uma limitação de recursos. Os participantes devem decidir, definir condições, recursos, prazo, revisão e evidência.
Outputs trabalhados: Ficha de Escalamento e Decisão de Risco Residual; Painel Executivo de Cibersegurança.

Sessão 3 — Dependências e fornecedores críticos
Pergunta central: De que serviços e fornecedores depende a entidade e que decisões devem ser tomadas quando a evidência é insuficiente?

A sessão trabalha as dependências externas que podem afetar a continuidade, a segurança e o cumprimento dos requisitos aplicáveis. São analisados criticidade, concentração, substituibilidade, continuidade, acessos, subcontratação, risco contratual, técnico e operacional, evidência disponível e risco residual. O foco está na decisão executiva, e não na avaliação técnica detalhada do fornecedor. Os participantes analisam quando a insuficiência de evidência, a dependência ou a inexistência de alternativas exige regularização, medidas compensatórias, restrição ou substituição. São também trabalhados critérios de saída, reversibilidade e impacto da transição. A existência de certificados, questionários ou contratos não elimina a necessidade de compreender o risco da relação.

Exercício prático: um fornecedor é indispensável, mas o contrato e a evidência são insuficientes e não existe alternativa imediata. Os participantes devem decidir se a relação é mantida, condicionada, regularizada, restringida ou substituída.
Outputs trabalhados: Mapa de Dependências e Fornecedores Críticos.

Sessão 4 — Incidente, autoridade, supervisão e defesa das decisões
Pergunta central: Num incidente ou perante a autoridade competente, a entidade consegue decidir, demonstrar e corrigir?

A sessão trabalha a atuação do órgão de gestão em contexto de incidente, distinguindo decisão e supervisão executiva da execução técnica da resposta. O órgão de gestão não substitui as equipas responsáveis pela investigação, contenção, recuperação ou preparação operacional das notificações, mas deve assegurar autoridade, recursos, continuidade, decisões críticas e acompanhamento. Os participantes trabalham a informação que deve chegar ao órgão de gestão: impacto, serviços afetados, decisões urgentes, risco residual, notificações relevantes, recursos, recuperação e ações pendentes. São ainda abordados pedidos de informação da autoridade competente, ações corretivas, reporte e prioridades para os 30, 60 e 90 dias seguintes. A sessão termina com a organização da evidência necessária para demonstrar quem decidiu, com que informação, que alternativas foram consideradas e como foi exercida a supervisão.

Simulação executiva final: um incidente num fornecedor crítico afeta um serviço relevante, permanece risco residual e a autoridade competente solicita informação. Os participantes devem decidir, supervisionar e organizar a evidência executiva.
Outputs trabalhados: Checklist Executiva de Decisão em Incidente; Plano Executivo de 30, 60 e 90 dias; Índice do Dossier Executivo NIS2.

Cada sessão responde a uma pergunta executiva, integra um exercício principal e desenvolve peças do Dossier Executivo NIS2.

Os casos são apresentados em vagas sucessivas de informação. Os participantes atualizam a análise, os riscos, as prioridades, as decisões, as condições e as evidências à medida que surgem novos factos.

A metodologia privilegia a decisão e a supervisão, distinguindo claramente o papel do órgão de gestão da execução técnica e operacional. Os participantes trabalham a cadeia:
informação → análise → decisão → recursos → condições → supervisão → verificação → evidência → revisão

Não existe trabalho assíncrono obrigatório. O Dossier Executivo NIS2 é trabalhado durante as sessões e disponibilizado em formato editável e reutilizável. A Documentação Pedagógica Complementar é disponibilizada como referência, sem explicação exaustiva.
Nos casos de uso aplicáveis, o CYBERSECURE é utilizado como plataforma de apoio à realização dos exercícios e à organização da informação sobre riscos, responsabilidades, decisões, ações de acompanhamento e evidências trabalhadas pelos participantes.

A utilização da plataforma é articulada com os artefactos do Dossier Executivo NIS2 e não substitui a análise, a decisão, a aprovação, a supervisão ou a responsabilidade das funções competentes.

A formação inclui ainda 30 minutos de mentoria pedagógica por entidade inscrita, mediante agendamento, a utilizar até 30 dias após a última sessão. A mentoria destina-se a trabalhar uma prioridade de governação, um risco, dependência ou decisão relevante e possíveis ações executivas para os 30 dias seguintes.

A avaliação é contínua e formativa, considerando a participação, a qualidade da análise, a capacidade de distinguir responsabilidade executiva de execução técnica, a fundamentação das decisões, a definição de condições de acompanhamento e a organização da evidência na simulação executiva final.

O curso é assegurado por uma dupla sénior técnico-jurídica com experiência real em governação executiva, implementação de sistemas de cibersegurança e análise de regimes sancionatórios.

Henrique Necho

• Formador certificado
• Responsável de Cibersegurança, consultor e formador em NIS2
• Mais de 30 anos de experiência profissional nas áreas de redes e sistemas, cibersegurança, auditoria, privacidade, governação e regulação tecnológica
• Trabalho orientado para a tradução de requisitos legais e regulamentares em decisões, responsabilidades, medidas, processos, verificações e evidências aplicáveis às organizações
• Responsável pela conceção técnica e pedagógica do portefólio de formação NIS2 e dos respetivos casos, exercícios, Toolkits e Dossiers
• Certificações profissionais: CISM, CISA, ISO/IEC 27001 Lead Implementer, ISO/IEC 27005 Senior Risk Manager, CIPP/E, CIPM e CIPT
• Investigação e escrita do livro "NIS2 EXECUTA — Implementação Prática para Responsáveis de Cibersegurança (CISOs)"
• Responsável pela conceção do CYBERSECURE e pelo seu alinhamento com o RJC e o Regulamento n.º 756/2026

No NIS2 DECIDE, assegura a componente técnico-executiva relativa à governação da cibersegurança, à distinção entre responsabilidade executiva e execução técnica, à decisão sobre risco residual, recursos e dependências críticas, à supervisão da implementação e à organização da evidência das decisões dos órgãos de gestão. 

Maria José Lima

• Jurista e formadora certificada
• Formação em Ciências Jurídico-Económicas
• Experiência profissional na análise e aplicação de regimes jurídicos, procedimentos contraordenacionais e matérias sancionatórias.
• Auditora Interna de Qualidade ISO 9001.
• Certificado de Competências Pedagógicas.

No NIS2 DECIDE, assegura a componente jurídica relativa às responsabilidades dos órgãos de gestão, ao enquadramento sancionatório, à fundamentação das decisões, aos pedidos de informação e à reação executiva perante situações de incumprimento, supervisão ou fiscalização.

A formação destina-se prioritariamente a profissionais com responsabilidades de decisão, aprovação ou supervisão, nomeadamente:

• membros de órgãos de gestão;
• membros de órgãos de administração;
• administradores executivos e não executivos;
• gerentes;
• CEOs e managing directors;
• diretores-gerais e dirigentes superiores;
• responsáveis máximos de unidades de negócio;
• outros titulares de responsabilidade executiva ou de supervisão.

Podem também participar profissionais que apoiem diretamente o órgão de gestão, nomeadamente:

• CIOs;
• CISOs e Responsáveis de Cibersegurança;
• responsáveis de gestão dos riscos;
• responsáveis de compliance;
• juristas internos;
• responsáveis de auditoria interna.

É especialmente adequado para quem aprova recursos e prioridades, recebe dashboards ou pedidos de escalamento, participa em decisões sobre risco residual, supervisiona o Responsável de Cibersegurança ou precisa de demonstrar que decidiu, acompanhou e reviu.

Não é o curso principal para profissionais cuja responsabilidade dominante seja implementar tecnicamente medidas, testar controlos, gerir operacionalmente ações corretivas ou coordenar transversalmente a implementação do programa NIS2.

As CONDIÇÕES GERAIS DE PARTICIPAÇÃO são aplicáveis às modalidades de formação presencial e online. A inscrição pressupõe o conhecimento e aceitação das Condições Gerais de Participação, disponíveis em: 
https://aeportugal.pt/pt/condicoes-gerais-de-participacao