A conformidade NIS2 não é um trabalho. São seis perguntas — e cada uma tem um dono diferente.

Não é um curso técnico de implementação de controlos. É um programa executivo para compreender impacto, atribuir responsabilidades, disponibilizar recursos, exigir evidência e supervisionar a execução.

Termina com um tabletop executivo que combina um incidente num fornecedor crítico, impacto operacional e uma simulação pedagógica de pedido de informação da autoridade competente.

Oito módulos que percorrem o regime de ponta a ponta: abrangência e MyCiber, governação, qualificação e nível de conformidade, medidas mínimas do QNRCS 2.0, risco residual, cadeia de abastecimento, incidentes e, por fim, supervisão e defesa.

Os quatro casos são continuados e têm personagens: acompanha-se a mesma entidade ao longo de todo o programa, com a informação a chegar em vagas — como chega na realidade.

Recebeu um questionário NIS2 de um grande cliente e não sabe como responder, que evidências reunir ou que requisitos vai ter de cumprir? Um certificado, um questionário ou uma cláusula contratual não eliminam a responsabilidade da entidade. Este programa percorre o ciclo completo da relação com o fornecedor — selecionar, avaliar, contratar, monitorizar, regularizar, restringir, substituir e encerrar.

Cloud, MSP e MSSP, acessos privilegiados, subcontratação, risco de concentração, aprisionamento tecnológico e componentes de código aberto. O exercício final coloca o grupo perante um fornecedor indispensável que deixou de cooperar, durante um incidente em curso.

Transformar um alerta técnico num processo organizacional disciplinado: qualificar, escalar, decidir, notificar, comunicar, recuperar, fechar e provar. Três sessões, três perguntas operacionais, um tabletop final com ransomware num fornecedor crítico.

O programa é explícito sobre o que não faz: não cobre arquitetura de SIEM, EDR/XDR, threat intelligence, forense ou desenho de logging. Estes temas entram apenas como condições de preparação e fontes de evidência. As nove horas são sobre a decisão.

Uma cópia de segurança executada, um plano escrito ou um sistema redundante não demonstram que a entidade recupera as atividades críticas dentro dos critérios definidos. O programa percorre a cadeia entre a atividade crítica, o impacto, os objetivos de recuperação (RTO, RPO, MAO/MTPD, SDO), os planos de continuidade e recuperação de desastres, as cópias de segurança, a redundância, os testes e a validação técnica e funcional do regresso à operação.

O exercício final integrador coloca os participantes perante um serviço crítico parcialmente recuperado, com capacidade insuficiente, um fornecedor atrasado e o canal normal de comunicação indisponível — obrigando a decidir prioridades, comunicações, risco residual e ações corretivas antes de validar o regresso à operação.

O curso foi concebido para capacitar profissionais que precisam de integrar a cibersegurança nos processos de Recursos Humanos, desde a definição e avaliação da função até à seleção, admissão, permanência, capacitação, mudança, sucessão, suspensão, saída e pós-saída.

A formação parte dos processos de Recursos Humanos já existentes e identifica, em cada momento, a ação de segurança associada: quem desencadeia, quem decide ou aprova, quem executa, quem confirma, quem verifica e que evidência deve permanecer.