ONLINE | NIS2 RH - Gestão de Recursos Humanos como Fator Crítico na Cibersegurança

A entidade tem as funções, as pessoas e as competências necessárias para executar as suas responsabilidades de cibersegurança — e consegue demonstrá-lo? Quando uma pessoa entra, muda de função, é suspensa ou sai, quem decide, quem executa, quem confirma e que evidência fica? A formação, os acessos, os ativos e a cobertura das funções acompanham efetivamente o ciclo de vida dos trabalhadores?

O curso foi concebido para capacitar profissionais que precisam de integrar a cibersegurança nos processos de Recursos Humanos, desde a definição e avaliação da função até à seleção, admissão, permanência, capacitação, mudança, sucessão, suspensão, saída e pós-saída.

O enquadramento considera o Regime Jurídico da Cibersegurança e o Regulamento n.º 756/2026, que aprova o QNRCS 2.0 e as medidas mínimas aplicáveis às Entidades Essenciais, Importantes e Públicas Relevantes.

O curso trabalha a integração da Cibersegurança nos processos de Recursos Humanos através de uma lógica simples:
atividade RH → ação de segurança → execução → confirmação → verificação → evidência

São distinguidas ações de natureza predominantemente organizacional ou administrativa e técnica.

É disponibilizado o Toolkit Essencial NIS2 — Recursos Humanos, com sete artefactos editáveis:

• Questionário de Avaliação da Criticidade, Exposição e Requisitos de Segurança da Função;
• Matriz de Funções, Tarefas, Responsabilidades, Competências, Entregáveis, Titulares, Suplentes e Cobertura;
• Política de Segurança dos Recursos Humanos;
• Checklist de Admissão e Integração Segura;
• Plano de Capacitação em Cibersegurança por Públicos, Funções e Responsabilidades;
• Ficha de Mudança, Suspensão e Saída — Identidades, Acessos, Ativos, Responsabilidades e Obrigações Pós-Relação;
• Registo Integrado de Ações, Validações, Reconhecimentos, Formação, Verificações e Evidências de Recursos Humanos.

Consulte todos os cursos do percurso NIS2 aqui.
 

No final da formação, os participantes deverão ser capazes de:

• Relacionar os processos de Recursos Humanos com os requisitos e medidas de cibersegurança aplicáveis.
• Distinguir atividade de Recursos Humanos de ação de segurança associada e clarificar a articulação entre RH, chefias, Cibersegurança, TIC, Jurídico/DPO e órgão de gestão.
• Traduzir requisitos em tarefas, funções, responsabilidades, competências, entregáveis e evidências.
• Avaliar a criticidade e exposição das funções através de critérios estruturados e fundamentados.
• Utilizar o ECSF como referencial de apoio à descrição de funções, tarefas, competências e capacidade, sem o tratar como organigrama obrigatório.
• Identificar lacunas de capacidade e fundamentar opções de desenvolvimento, aperfeiçoamento, requalificação, redistribuição, recrutamento ou recurso externo.
• Estruturar planos de capacitação em cibersegurança por públicos, funções e responsabilidades, incluindo avaliação da compreensão, reforço e evidência.
•  Articular eventos de RH com identidades, acessos, privilégios, ativos e confirmações de execução.
• Identificar titulares, suplentes, dependências de pessoa-chave e necessidades de cobertura.
• Organizar verificações, pendências, ações de regularização e evidências ao longo do ciclo de vida das pessoas.

Sessão 1 — Classificar funções, definir responsabilidades e preparar uma entrada segura
Pergunta central: Que funções exigem que responsabilidades e medidas de segurança, e como justificamos essa decisão?

A sessão enquadra a segurança dos recursos humanos no RJC, no Regulamento n.º 756/2026, no QNRCS 2.0 e nas medidas mínimas aplicáveis. Os participantes distinguem função, posto de trabalho, papel, pessoa, titular, suplente, responsabilidade, autoridade, competência, criticidade e exposição. É trabalhada uma metodologia estruturada para avaliar a função e relacionar a classificação interna com requisitos proporcionais de competências, formação, acessos, ativos, cobertura e evidência. A sessão introduz a cadeia obrigação → tarefa → responsabilidade → competência → capacidade → pessoa → entregável e utiliza o ECSF como referencial de apoio ao desenho de funções. São ainda analisadas adequação da pessoa, responsabilidades formalizadas, Política de Segurança dos Recursos Humanos, Política de Utilização Aceitável, capacitação inicial, identidades, acessos e ativos na admissão. A abordagem distingue sempre o que pertence à decisão organizacional do que exige execução técnica ou validação jurídica.

Exercício principal: “A função é crítica. Mas com base em quê?” — análise de uma função cuja criticidade foi assumida sem critérios claros, com lacunas de competências, acessos, cobertura e evidência.
Outputs trabalhados: Questionário de Avaliação da Criticidade, Exposição e Requisitos de Segurança da Função; Matriz de Funções, Tarefas, Responsabilidades, Competências, Entregáveis, Titulares, Suplentes e Cobertura; Política de Segurança dos Recursos Humanos; Checklist de Admissão e Integração Segura.

Sessão 2 — Manter competências, capacitação, compreensão, acessos e cobertura
Pergunta central: Como demonstrar que as pessoas mantêm competências, compreensão, acessos e recursos adequados às funções que desempenham?

A sessão trabalha a permanência e a mudança de função, partindo do princípio de que o controlo de segurança não termina no onboarding. São diferenciadas necessidades de capacitação para trabalhadores em geral, funções mais expostas, utilizadores privilegiados, funções especializadas, chefias, órgão de gestão e pessoas externas. Os participantes estruturam a cadeia responsabilidade → formação → compreensão → avaliação → lacuna → reforço → reavaliação → evidência e analisam formação inicial, periódica e desencadeada por eventos. É trabalhado o planeamento de capacidade, incluindo titulares, suplentes, dependência de pessoa-chave, formação cruzada e opções de tratamento de lacunas. A mudança de função é analisada através da cadeia evento RH → impacto → pedido → aprovação → execução → confirmação → verificação → evidência, com revisão de responsabilidades, competências, acessos, privilégios, ativos e formação. A sessão introduz ainda a verificação cruzada entre RH, TIC e Cibersegurança e a adaptação dos fluxos às especificidades de cada área.

Exercício principal: “A pessoa mudou. Os controlos e competências ficaram para trás.” — análise de uma promoção em que persistem acessos antigos, faltam competências, formação e suplência e não existe confirmação de todas as alterações.
Outputs trabalhados: Matriz de Funções, Tarefas, Responsabilidades, Competências, Entregáveis, Titulares, Suplentes e Cobertura; Plano de Capacitação em Cibersegurança por Públicos, Funções e Responsabilidades; Ficha de Mudança, Suspensão e Saída — componente de mudança.
A capacitação transversal dos trabalhadores é enquadrada como necessidade organizacional; o NIS2 CAPACITA aprofunda esse percurso formativo. As necessidades específicas de decisão, recursos e supervisão do órgão de gestão articulam-se com o NIS2 DECIDE.

Sessão 3 — Suspender, transferir, sair, suceder e fechar com evidência
Pergunta central: Como alterar ou terminar uma relação sem deixar acessos, ativos, responsabilidades, conhecimento, competências ou obrigações de segurança por tratar?

A sessão trabalha suspensão, saída, substituição, sucessão e pós-saída, distinguindo obrigações organizacionais, execução técnica e validação jurídica. São analisados acessos físicos, lógicos, remotos e privilegiados, identidades, credenciais, tokens, certificados e ativos, com especial atenção à diferença entre pedido enviado, ação executada, confirmação e verificação. Os participantes trabalham transferência de responsabilidades, tarefas, entregáveis e conhecimento, bem como a capacidade remanescente após a saída de uma pessoa-chave. É igualmente analisada a utilização de recursos externos, distinguindo execução externa de responsabilidade interna. O processo é encerrado através de evidência organizada, identificação de pendências e ações corretivas. A sessão inclui ainda a preparação das matérias que necessitam de decisão ou supervisão pelo órgão de gestão, como falta de cobertura, recursos insuficientes ou necessidade de recrutamento, formação ou recurso externo.

Exercício principal: Exercício final integrador — “A pessoa saiu, mas a função e as tarefas continuam.” O caso evolui por vagas sucessivas e obriga os participantes a tratar acessos, ativos, sucessão, capacidade, dependências, escalamento e evidência antes de decidir se o processo pode ser encerrado.
Outputs trabalhados: Ficha de Mudança, Suspensão e Saída — Identidades, Acessos, Ativos, Responsabilidades e Obrigações Pós-Relação; Registo Integrado de Ações, Validações, Reconhecimentos, Formação, Verificações e Evidências de Recursos Humanos. São consolidados os restantes artefactos do Toolkit.
 

A formação é prática, progressiva e orientada para profissionais de Recursos Humanos e funções de suporte, sem exigir conhecimentos técnicos avançados de cibersegurança.

Cada sessão parte de uma pergunta operacional, apresenta o enquadramento necessário, demonstra critérios de análise e evolui para um exercício principal baseado num caso apresentado por vagas sucessivas de informação.

Os participantes trabalham a partir de factos confirmados, hipóteses, informação em falta, requisitos, responsabilidades, opções de decisão, ações, verificações e evidências. Os templates são utilizados como suporte à decisão e à organização da evidência, e não como objetivo autónomo de preenchimento.
 A formação segue a assinatura pedagógica: 
APRESENTAR → DEMONSTRAR → PRATICAR → DISCUTIR → VERIFICAR → CONSOLIDAR.

Existem dois exercícios assíncronos facultativos, após as sessões 1 e 2. 

O curso trabalha progressivamente o Toolkit Essencial NIS2 — Recursos Humanos e disponibiliza Documentação Pedagógica Complementar para apoio à aplicação posterior.

A avaliação é contínua e formativa. 
 

Henrique Necho

• Formador certificado
• Responsável de Cibersegurança, consultor e formador em NIS2
• Mais de 30 anos de experiência profissional nas áreas de redes e sistemas, cibersegurança, auditoria, privacidade, governação e regulação tecnológica
• Trabalho orientado para a tradução de requisitos legais e regulamentares em decisões, responsabilidades, medidas, processos, verificações e evidências aplicáveis às organizações
• Responsável pela conceção técnica e pedagógica do portefólio de formação NIS2 e dos respetivos casos, exercícios, Toolkits e Dossiers
• Certificações profissionais: CISM, CISA, ISO/IEC 27001 Lead Implementer, ISO/IEC 27005 Senior Risk Manager, CIPP/E, CIPM e CIPT
• Investigação e escrita do livro "NIS2 EXECUTA — Implementação Prática para Responsáveis de Cibersegurança (CISOs)"
• Responsável pela conceção do CYBERSECURE e pelo seu alinhamento com o RJC e o Regulamento n.º 756/2026

No NIS2 RH, Henrique Necho orienta os participantes na tradução dos requisitos aplicáveis em funções, responsabilidades, competências, processos de Recursos Humanos, articulação RH–TIC, capacitação, acessos, ativos, verificações e evidências, preservando a distinção entre decisão organizacional, execução técnica e validação pelas funções competentes.
 

A formação destina-se prioritariamente a:

• Diretores, gestores e técnicos de Recursos Humanos.
• Profissionais de recrutamento e seleção, formação e desenvolvimento, gestão de talento e competências.
• HR Business Partners e responsáveis por admissão, mobilidade, sucessão, suspensão e saída.
• Responsáveis pela definição ou revisão de descrições de função.
• Funções de suporte que desencadeiam ou acompanham alterações de acessos e gestão de ativos.
• Responsáveis de instalações e segurança física.

Podem também participar:

• Responsáveis de Cibersegurança, CISOs e profissionais de governação da cibersegurança.
• Profissionais de TIC, cibersegurança, identidade e gestão de acessos.
• Profissionais de jurídico-laboral, compliance e proteção de dados.
• Responsáveis pela gestão de ativos, segurança física, auditoria interna e chefias funcionais ou operacionais.

Não são exigidos conhecimentos técnicos avançados de cibersegurança. É recomendável experiência ou intervenção atual ou futura em Recursos Humanos, recrutamento, formação, gestão de competências, acessos, ativos, TIC, cibersegurança, compliance, jurídico-laboral, proteção de dados ou chefia de equipas.

As CONDIÇÕES GERAIS DE PARTICIPAÇÃO são aplicáveis às modalidades de formação presencial e online. A inscrição pressupõe o conhecimento e aceitação das Condições Gerais de Participação, disponíveis em: 
https://aeportugal.pt/pt/condicoes-gerais-de-participacao