ONLINE | NIS2 PROTEGE - Gestão da Cadeia de Abastecimento e Planos de Saída

Está a receber questionários NIS2 dos seus grandes clientes e precisa de organizar respostas e evidências? Consegue avaliar os seus próprios fornecedores e perceber que requisitos e evidências deve exigir? Sabe o que fazer quando a dependência é elevada, a evidência é insuficiente ou o risco deixa de ser aceitável?

O curso foi concebido para capacitar profissionais que precisam de atuar dos dois lados da cadeia de abastecimento: avaliar e controlar fornecedores críticos da sua própria entidade e responder, de forma estruturada e sustentada, a questionários e pedidos de evidência recebidos de clientes.

Ao longo da formação, os participantes trabalham identificação e categorização de fornecedores, devida diligência, criticidade, concentração, substituibilidade, práticas de cibersegurança, desenvolvimento seguro, requisitos contratuais, monitorização, questionários de clientes, evidências, risco residual, regularização, restrição, transição e encerramento seguro.

O curso distingue sistematicamente obrigação legal ou regulamentar, requisito contratual, critério de avaliação definido pelo cliente e pedido de informação ou evidência, evitando tratar automaticamente qualquer pergunta recebida de um cliente como obrigação legal autónoma.

O curso enquadra estes temas no Regime Jurídico da Cibersegurança, no Regulamento n.º 756/2026 e nas medidas aplicáveis do QNRCS 2.0, recorrendo ainda às orientações oficiais do CNCS e ao ENISA Technical Implementation Guidance — Supply Chain Security como apoio técnico, de acordo com a respetiva natureza e força.

A formação inclui o Toolkit Essencial NIS2 — Cadeia de Abastecimento, composto por artefactos editáveis e reutilizáveis utilizados nos exercícios para apoiar a avaliação de fornecedores, a análise do risco residual, a definição de requisitos, a monitorização, a resposta a questionários de clientes, a regularização, a saída e o encerramento seguro.

Nos casos de uso em que seja pedagogicamente adequado, o CYBERSECURE é utilizado como plataforma de apoio à realização dos exercícios e à organização da informação sobre fornecedores, dependências, riscos, requisitos, respostas, ações de regularização e evidências.

O Toolkit e a plataforma apoiam a análise e organização do trabalho, sem substituir a avaliação, a decisão, a validação ou a responsabilidade das funções competentes.

Consulte todos os cursos do percurso NIS2 aqui

No final da formação, os participantes deverão ser capazes de:

• identificar fornecedores, produtos, serviços e dependências críticas;
• categorizar relações de fornecimento por criticidade, exposição, impacto e dependência;
• realizar devida diligência proporcional antes da contratação, renovação ou expansão da relação;
• avaliar concentração, substituibilidade, portabilidade e dependência tecnológica;
• analisar práticas de cibersegurança, vulnerabilidades, controlos e evidências;
• definir requisitos contratuais e operacionais proporcionais e verificáveis;
• interpretar questionários e pedidos de evidência recebidos de clientes;
• distinguir obrigação legal, requisito contratual, critério de avaliação e pedido de informação;
• associar respostas a responsáveis, políticas, processos, controlos e evidências;
• identificar respostas que não estejam suficientemente sustentadas;
• transformar lacunas em ações de regularização;
• estruturar monitorização, reavaliação periódica e revisão extraordinária;
• fundamentar decisões de manutenção, condicionamento, regularização, restrição, substituição ou saída;
• preparar transição, reversibilidade e encerramento seguro;
• organizar decisões, respostas, aprovações e evidências de forma reutilizável.

Sessão 1 — Avaliar antes de contratar
Pergunta central: Temos informação suficiente para selecionar o fornecedor, o produto e o modelo de relação?

A sessão trabalha a identificação e categorização de fornecedores, produtos, serviços e dependências críticas. São analisados os processos de devida diligência antes da contratação, renovação ou expansão da relação. Os participantes avaliam acessos, dados, subcontratação, concentração, substituibilidade, interoperabilidade, portabilidade e dependência tecnológica. São ainda consideradas as práticas de cibersegurança do fornecedor, incluindo desenvolvimento seguro quando aplicável, resiliência do produto ou serviço, controlos existentes e evidência disponível. A sessão distingue fornecedor direto, subcontratantes e outras dependências da cadeia, incluindo componentes de software livre e de código aberto. É também introduzida a perspetiva do fornecedor: que critérios estão a ser aplicados pelo cliente e que evidência pode ser necessária para responder.

Exercício prático: avaliação de um fornecedor dominante, com forte dependência, componentes de software livre e de código aberto, risco de aprisionamento tecnológico e evidência incompleta.
Outputs trabalhados: Ficha Integrada de Avaliação do Fornecedor e do Produto; Ficha de Análise e Tratamento do Risco Residual.

Sessão 2 — Contratar, coordenar e monitorizar
Pergunta central: O contrato, a evidência e a monitorização permitem gerir o risco ao longo da relação?

A sessão trabalha a tradução do risco em responsabilidades, requisitos contratuais e mecanismos de acompanhamento. São abordados requisitos relativos a incidentes, vulnerabilidades, subcontratação, níveis de serviço, continuidade, alterações materiais, direitos de auditoria e acesso a evidências. Os participantes distinguem monitorização contínua, reavaliação periódica e revisão extraordinária motivada por incidentes, vulnerabilidades, incumprimentos ou alterações relevantes. A sessão trabalha também a perspetiva do fornecedor que recebe questionários ou pedidos de evidência dos seus clientes. São analisadas a interpretação das perguntas, a identificação das funções responsáveis, a associação das respostas à evidência existente e a validação interna das declarações. O objetivo é distinguir respostas demonstráveis de afirmações não suportadas e transformar lacunas em ações de regularização.

Exercício prático: um fornecedor enfrenta alterações e desvios durante a relação e recebe, em paralelo, um questionário de cibersegurança de um cliente estratégico com pedidos de evidência sobre incidentes, vulnerabilidades, continuidade, subcontratação, acessos e monitorização.
Outputs trabalhados: Matriz de Responsabilidades e Requisitos Contratuais; Plano de Monitorização, Regularização e Verificação da Eficácia; Matriz de Resposta a Questionários de Cibersegurança e Evidências para Clientes.

Sessão 3 — Testar, sair e encerrar com segurança
Pergunta central: Conseguimos restringir, substituir ou terminar a relação sem criar um risco maior?

A sessão trabalha os critérios de manutenção, regularização, restrição, suspensão, substituição e cessação de fornecedores ou serviços críticos. São analisados os critérios para envolver fornecedores críticos em exercícios e testes de resposta a incidentes, continuidade e recuperação, quando aplicável. Os participantes trabalham transição, reversibilidade, migração, portabilidade, acessos, contas, credenciais, dados, documentação, ativos e fluxos de informação. São ainda abordadas as obrigações que permanecem após o termo da relação, a revogação de acessos, a devolução de ativos e a transferência ou eliminação segura de dados. A sessão relaciona estas decisões com continuidade, risco residual e evidência de encerramento. Na perspetiva do fornecedor, é analisado o impacto que a insuficiência persistente de evidência, o incumprimento ou a incapacidade de regularização podem ter na decisão do cliente de condicionar, restringir ou terminar a relação.

Exercício final integrador: uma entidade depende fortemente de um fornecedor que acumula desvios contratuais, uma vulnerabilidade relevante, falhas de serviço e insuficiência de evidência, mas cuja substituição imediata pode afetar um serviço crítico.
Outputs trabalhados: Plano de Restrição, Saída e Substituição; Checklist e Termo de Encerramento Seguro.

Cada sessão responde a uma pergunta operacional, integra um exercício principal e desenvolve um conjunto limitado de artefactos do Toolkit Essencial NIS2 — Cadeia de Abastecimento.

Os exercícios são apresentados em vagas sucessivas de informação. Os participantes trabalham alternadamente as duas perspetivas da cadeia: em alguns momentos avaliam um fornecedor; noutros recebem requisitos ou questionários de um cliente e têm de preparar uma resposta sustentada por evidência.

Na perspetiva do fornecedor, é trabalhada a cadeia:
pergunta → interpretação → responsabilidade → controlo → evidência → validação → resposta → lacuna → regularização

Na perspetiva do cliente:
dependência → avaliação → requisito → evidência → decisão → monitorização → regularização → restrição ou saída

Nos casos de uso em que seja pedagogicamente adequado, o CYBERSECURE é utilizado como plataforma de apoio à realização dos exercícios e à organização da informação sobre fornecedores, dependências, riscos, requisitos, respostas, ações de monitorização, regularização e evidências.

A utilização da plataforma é articulada com os artefactos editáveis do Toolkit Essencial NIS2 — Cadeia de Abastecimento e não substitui a análise, a avaliação, a decisão, a validação ou a responsabilidade das funções competentes.

Não existe trabalho assíncrono obrigatório. O Toolkit é trabalhado durante as sessões e disponibilizado em formato editável e reutilizável. A Documentação Pedagógica Complementar é disponibilizada como referência, sem explicação exaustiva.

A utilização do CYBERSECURE não constitui uma competência autónoma de avaliação. É avaliada a qualidade da análise, da avaliação, da decisão, da fundamentação, das respostas e da evidência organizada, independentemente do suporte utilizado.

A avaliação é contínua e formativa, considerando a participação, a qualidade da análise, a capacidade de distinguir requisito de evidência, a fundamentação das decisões, a coerência entre respostas, controlos e evidências e o desempenho no exercício final integrador.

Henrique Necho

• Formador certificado
• Responsável de Cibersegurança, consultor e formador em NIS2
• Mais de 30 anos de experiência profissional nas áreas de redes e sistemas, cibersegurança, auditoria, privacidade, governação e regulação tecnológica
• Trabalho orientado para a tradução de requisitos legais e regulamentares em decisões, responsabilidades, medidas, processos, verificações e evidências aplicáveis às organizações
• Responsável pela conceção técnica e pedagógica do portefólio de formação NIS2 e dos respetivos casos, exercícios, Toolkits e Dossiers
• Certificações profissionais: CISM, CISA, ISO/IEC 27001 Lead Implementer, ISO/IEC 27005 Senior Risk Manager, CIPP/E, CIPM e CIPT
• Investigação e escrita do livro "NIS2 EXECUTA — Implementação Prática para Responsáveis de Cibersegurança (CISOs)"
• Responsável pela conceção do CYBERSECURE e pelo seu alinhamento com o RJC e o Regulamento n.º 756/2026

No NIS2 PROTEGE, Henrique Necho orienta os participantes na avaliação de fornecedores, produtos, serviços e dependências, na definição e interpretação de requisitos, na análise de evidências e risco residual, na resposta a questionários de clientes e na fundamentação de decisões de monitorização, regularização, restrição, substituição e saída.

A formação destina-se a profissionais que intervêm em qualquer dos dois lados da relação de fornecimento.

Na perspetiva de quem avalia e gere fornecedores:

• Responsáveis de Cibersegurança e CISOs;
• CIOs e responsáveis de TIC;
• profissionais de segurança da informação;
• profissionais de compras, contratação e procurement;
• responsáveis pela gestão de fornecedores e contratos;
• profissionais de gestão dos riscos;
• responsáveis de continuidade das atividades;
• donos de serviços ou processos críticos;
• profissionais de jurídico, compliance e auditoria;
• responsáveis por outsourcing, cloud, MSP, MSSP ou outros serviços tecnológicos críticos.

Na perspetiva de quem responde a requisitos de clientes:

• responsáveis de cibersegurança e segurança da informação;
• profissionais de compliance, risco e qualidade;
• responsáveis de jurídico e gestão contratual;
• profissionais de propostas, concursos e respostas a clientes;
• equipas que coordenam questionários de cibersegurança ou pedidos de evidência;
• gestores de conta e equipas comerciais ou técnicas envolvidas em processos de avaliação de clientes;
• prestadores de serviços TIC, cloud, MSP, MSSP e outros fornecedores B2B sujeitos a requisitos de cibersegurança dos seus clientes.

É especialmente adequado para quem precisa de avaliar evidências de terceiros ou de produzir, validar e organizar evidências para terceiros.

É igualmente adequado para profissionais que participam na seleção ou renovação de fornecedores, acompanham relações críticas ou precisam de fundamentar decisões de manutenção, regularização, restrição, substituição ou saída.

Não é uma formação técnica aprofundada em auditoria de código, testes especializados de segurança de produtos, desenvolvimento seguro ou avaliação técnica especializada de software e hardware.

As CONDIÇÕES GERAIS DE PARTICIPAÇÃO são aplicáveis às modalidades de formação presencial e online. A inscrição pressupõe o conhecimento e aceitação das Condições Gerais de Participação, disponíveis em: 
https://aeportugal.pt/pt/condicoes-gerais-de-participacao