devemos reportar um incidente de segurança do ano passado ao nosso cliente

Um incidente antigo pertence ao questionário, não a um canal de comunicação separado

Sim, um incidente de segurança do ano passado preenche-se se a pergunta diz respeito a incidentes ou ao seu tratamento — mesmo que o incidente em si já tenha sido encerrado. A pergunta na maioria dos questionários dos clientes não é sobre uma ameaça atual, mas sobre se existe um procedimento e se funciona. Um incidente tratado do ano passado é mais uma prova do que um risco: mostra que o procedimento para o tratamento de incidentes de segurança foi percorrido na prática, desde a sinalização até ao encerramento.

Isto é, portanto, diferente de uma obrigação legal de comunicação a uma autoridade de supervisão — que tem prazos próprios e destinatários próprios, e esses prazos já expiraram muito se o incidente é do ano passado. O questionário do seu cliente não é um canal de comunicação; é uma pergunta de responsabilização. Responda com base no que está agora documentado: existe um procedimento, foi aplicado, foram implementadas melhorias na sequência do incidente? Se faltar isto último, então "não" ou "parcialmente" é uma resposta tão válida como "sim" — desde que corresponda ao que está registado no dossiê da cadeia.

Origem desta informação: artigo 21.º, n.º 2 e Anexo A

O artigo 21.º n.º 2 da Directiva NIS2 menciona o tratamento de incidentes como uma das dez medidas obrigatórias, juntamente com, nomeadamente, análise de riscos e proteção de sistemas de informação e política de continuidade. A ISO/IEC 27001 desenvolve isto no Anexo A em medidas de controlo que exigem o registo, resposta e avaliação de incidentes — um dossiê encerrado do ano passado encaixa-se perfeitamente como material de exemplo. A Lei de Cibersegurança, a transposição holandesa da NIS2, entra em vigor em 15 de agosto de 2026 e regula a obrigação legal de comunicação às autoridades; trata-se de um processo diferente da responsabilização que um cliente solicita no seu próprio questionário.