Sobre este template
O art. 28.º do DL 125/2025 trata das relações entre cada entidade e os seus fornecedores ou prestadores de serviços diretos e não exclui os que são do mesmo grupo. O acordo dá à sociedade de serviços partilhados o tratamento de fornecedor direto: o que presta, com que níveis de serviço, como avisa dos incidentes, o que a entidade pode auditar e como se sai. A própria prestadora pode ser entidade abrangida, se prestar serviços geridos (anexo I): a confirmar.
Base legal: DL 125/2025 (Regime Jurídico da Cibersegurança), arts. 25.º (responsabilidade do órgão de gestão da beneficiária), 28.º (cadeia de abastecimento), 31.º e 32.º (responsável de cibersegurança e ponto de contacto permanente) e anexo I (gestão de serviços TIC). Regulamento 756/2026, art. 15.º (equipa ou entidade terceira que assume o ponto de contacto permanente).
O que contém o ficheiro
- Texto do acordo: 15 cláusulas: objeto e precedência, definições, catálogo de serviços, níveis de serviço, responsabilidade da beneficiária e do órgão de gestão, incidentes, ponto de contacto permanente, auditoria, subcontratação, segurança e confidencialidade, dados pessoais, preço, duração e reversibilidade, responsabilidade e foro.
- Verificação antes de assinar: lista de verificação e gestão ao longo da vigência.
- Evidência, níveis de conformidade e RACI: o que guardar para o CNCS, diferenças por nível e papéis.
- Anexos A a G: catálogo de serviços, níveis de serviço, prazos de aviso, matriz de contactos, pessoal-chave, subcontratados relevantes e matriz RACI por serviço com ficha de acompanhamento.
Descarregar o template
Ficheiro Word (.docx), pronto a preencher, em português de Portugal.
Descarregar WordTemplates relacionados
Política de cibersegurança do grupo
Política comum do grupo que cada entidade adota pelo seu órgão de gestão: governação, requisitos mínimos, serviços partilhados como fornecedor direto, incidentes e derrogações locais (arts. 25.º, 27.º, 28.º e 31.º, n.º 7).
Adenda contratual para fornecedores de serviços TIC geridos
Adenda a contratos com fornecedores de serviços TIC geridos: notificação de incidentes, requisitos de segurança, auditoria e saída, em linha com o art. 28.º do DL 125/2025. Validar por jurista.
Matriz de aplicabilidade NIS2 por entidade do grupo
Matriz em Excel para grupos de empresas: qualificação, registo, medidas, responsáveis, incidentes e evidência, entidade a entidade (DL 125/2025, arts. 3.º, 6.º, 8.º, 9.º, 25.º, 31.º e 35.º).
Nomeação do responsável de cibersegurança e do ponto de contacto permanente
Nomeação do responsável de cibersegurança e do ponto de contacto permanente: perfil, funções, disponibilidade e comunicação ao CNCS em 20 dias úteis (arts. 31.º e 32.º do DL 125/2025).
Este template é fornecido como recurso educacional e de referência. Deve ser adaptado às necessidades específicas da sua organização e revisto por consultores jurídicos e de segurança antes da implementação. Conformidade com a diretiva NIS2 requer uma abordagem holística que vai além de um único documento.