Sobre este template
Várias medidas do Anexo III exigem que as exceções sejam documentadas e aprovadas: a de DE.MC-5 refere-se à lista de aplicações aprovadas e as de PR.GA-2 e PR.SD-2 às políticas de identidades e acessos e de classificação e gestão de dados. Este ficheiro Excel concentra-as num único registo: política excecionada, cláusula, ativo ou utilizador, justificação, análise de risco, controlo compensatório, aprovador, data e validade. A coluna de situação avisa das exceções aprovadas sem aprovação documentada, expiradas sem renovação ou sem validade definida.
Base legal: Regulamento 756/2026, Anexo III: DE.MC-5 (nível básico, "Todas as exceções devem ser aprovadas e documentadas"), PR.GA-2 (nível elevado, registo documentado das exceções à Política de Gestão de Identidades, Autenticação e Controlo de Acessos e a sua respetiva aprovação), PR.SD-2 (nível elevado, "Qualquer exceção à política deve ser devidamente registada"), PR.SP-4 (nível substancial, análise de impacto das exceções no desenvolvimento de software) e ID.GA-7 (nível básico, controlos compensatórios). Os níveis são cumulativos. DL 125/2025, art. 27.º n.º 1; as medidas só são exigíveis a partir de 22 de junho de 2028 (DL 125/2025, art. 10.º n.º 2).
O que contém
- Instruções: medidas a que o registo serve de evidência, por nível, e o que é obrigação e o que é boa prática.
- Registo: 60 linhas com uma linha de exemplo fora das contagens, listas de políticas e estados, situação e duração calculadas, e destaque a vermelho das exceções sem aprovação ou expiradas.
- Indicadores: exceções ativas por política, expiradas sem renovação, sem aprovação documentada e duração média.
- Referências legais: texto literal das medidas citadas e do art. 2.º n.º 2 do Regulamento de Execução (UE) 2024/2690.
Descarregar o template
Ficheiro Excel (.xlsx), pronto a preencher, em português de Portugal.
Descarregar ExcelTemplates relacionados
Configuração base e aplicações aprovadas
Lista de aplicações aprovadas e pedidos de exceção por política.
Política de gestão de identidades (IAM)
Política de identidades e acessos cujas exceções ficam registadas.
Política de classificação de dados
Define as classes de informação que determinam o método de sanitização e as regras de destruição.
Aceitação de riscos residuais
Aceitação formal do risco residual associado a cada exceção.
Política de Uso Aceitável dos Recursos de Informação
Regras de utilização de ativos, dispositivos móveis e pessoais, base de várias exceções.
Índice de evidências (Anexos III/IV)
Índice de evidências por medida, para preparação de auditoria.
Este template é fornecido como recurso educacional e de referência. Deve ser adaptado às necessidades específicas da sua organização e revisto por consultores jurídicos e de segurança antes da implementação. Conformidade com a diretiva NIS2 requer uma abordagem holística que vai além de um único documento.