Contexto regulatório: do Regulamento de Execução à TIG
O Regulamento de Execução (UE) 2024/2690 da Comissão, adotado a 17 de outubro de 2024 e em vigor desde 7 de novembro de 2024, foi aprovado ao abrigo do art. 21.º, n.º 5, da Diretiva NIS2 e estabelece os requisitos técnicos e metodológicos das medidas de gestão dos riscos de cibersegurança para certas categorias de entidades:
- Fornecedores de serviços DNS
- Registos de nomes de domínio de topo (TLD)
- Fornecedores de serviços de computação em nuvem
- Fornecedores de serviços de centros de dados
- Fornecedores de redes de distribuição de conteúdos (CDN)
- Prestadores de serviços geridos (MSP)
- Prestadores de serviços de segurança geridos (MSSP)
- Fornecedores de mercados em linha, motores de pesquisa e plataformas de redes sociais
- Prestadores de serviços de confiança
A ENISA TIG v1.0 é o guia de implementação técnica para esse regulamento, mas a sua utilidade estende-se além do âmbito formal, funcionando como guia de boas práticas para todas as entidades NIS2.
Nota de âmbito: O Regulamento de Execução é vinculativo apenas para as categorias acima. A ENISA TIG é orientação não vinculativa: não cria obrigações nem prazos, mas o nível de detalhe e os mapeamentos tornam-na numa referência útil para qualquer organização a implementar NIS2, independentemente do setor.
Estrutura e secções principais da ENISA TIG v1.0
A tabela seguinte relaciona as secções da TIG com as medidas do art. 21.º, n.º 2, da Diretiva NIS2 e com a alínea correspondente do art. 27.º do DL 125/2025 (no DL, a análise de riscos está autonomizada no art. 26.º).
| Secção | Tópicos cobertos | Diretiva NIS2, art. 21.º n.º 2 | DL 125/2025 |
|---|---|---|---|
| Governance & Risk | Framework de gestão de risco, órgão de gestão, CISO | Art. 20.º e art. 21.º n.º 2 alínea a) | Arts. 25.º e 26.º |
| Incident Management | Deteção, análise, resposta e notificação | Alínea b) e art. 23.º | Art. 27.º alínea a) e arts. 40.º a 44.º |
| Business Continuity | BIA, RTO/RPO, DRP, testes | Alínea c) | Art. 27.º alínea b) |
| Supply Chain Security | Avaliação de fornecedores, contratos, SBOM | Alínea d) | Art. 27.º alínea c) e art. 28.º |
| Cryptography | Políticas de cifra, gestão de chaves, TLS | Alínea h) | Art. 27.º alínea g) |
| HR Security | Background checks, formação, offboarding | Alínea i) | Art. 27.º alínea h) |
| Asset Management | Inventário, classificação, ciclo de vida | Alínea i) | Art. 27.º alínea h) |
| Access Control & MFA | Princípio do menor privilégio, autenticação multifator | Alíneas i) e j) | Art. 27.º alíneas h) e i) |
Autenticação multifator e controlo de acessos na TIG
A Diretiva NIS2 prevê, no art. 21.º, n.º 2, alínea j), a utilização de autenticação multifator ou de autenticação contínua "se for caso disso"; o DL 125/2025 repete a medida no art. 27.º, alínea i). A TIG trata a autenticação multifator como exemplo de controlo de acesso forte no âmbito do Regulamento de Execução, com exemplos de evidência e admitindo exceções justificadas por limitações técnicas. A TIG não fixa prazos, não impõe tecnologias específicas nem classifica métodos de segundo fator como insuficientes.
Recomendação editorial da NIS2 Portugal: Ao planear a conformidade, dar prioridade a métodos de autenticação multifator resistentes a phishing (FIDO2/WebAuthn ou certificados em hardware) para acessos administrativos e remotos a sistemas críticos. Esta é uma boa prática consensual, não uma exigência da TIG nem do DL 125/2025.
Como usar a ENISA TIG na implementação NIS2
A recomendação da NIS2 Portugal é usar a ENISA TIG como "checklist de evidências" em paralelo com a auditoria interna às medidas do art. 27.º do DL 125/2025 (art. 21.º da Diretiva):
- Para cada medida do art. 27.º do DL 125/2025, identificar a secção correspondente na ENISA TIG.
- Verificar os exemplos de evidência documentados na TIG e confirmar se a organização pode apresentar evidência equivalente.
- Usar os mapeamentos para ISO/IEC 27001:2022 e NIST CSF 2.0 para identificar controlos específicos a implementar.
- Documentar o estado de implementação para cada medida, estado atual vs. estado alvo vs. prazo.
- Usar a documentação produzida como suporte em eventuais inspeções do CNCS.