preencher este questionário de segurança me leva muito tempo demais

Sempre os mesmos dez temas, com um aspecto diferente

Quase sempre resulta de uma coisa: cada cliente traduz as mesmas dez medidas do artigo 21.º, n.º 2 da Diretiva NIS2 para as suas próprias palavras e a sua própria ordem. Um portal pergunta "têm um processo de resposta a incidentes", outro "descreva o seu procedimento em caso de incidentes de segurança" — é a mesma pergunta que existe um procedimento para o tratamento de incidentes de segurança?. Sem um dossier central único, procura-se essa resposta dez vezes por ano, em dez formulações diferentes.

O tempo não está em responder, está em encontrar prova. Qual documento de política, qual versão, qual certificado — procurar e reformular a resposta para o formato desse cliente específico, é todo esse dia. Perguntas sobre autenticação multifator, sobre política de acesso e gestão de ativos e sobre requisitos de segurança para fornecedores próprios surgem em praticamente todas as listas, apenas organizadas de forma diferente. Quem define uma vez por tipo de pergunta qual é a resposta factual e onde está a prova, depois só precisa de reconhecer qual dos dez temas se pretende — e isso é trabalho de minutos, não de um dia.

Redutível às mesmas dez medidas

O artigo 21.º, n.º 2 da Diretiva (UE) 2022/2555 refere as dez medidas a que praticamente toda a lista de segurança — seja de um banco, de uma seguradora ou de um grande cliente — recorre direta ou indiretamente: desde a gestão de risco e o tratamento de incidentes até à criptografia e ao controlo de acesso. Quem aplica a ISO/IEC 27001 reconhece esses mesmos temas nas medidas de controlo do Anexo A, o que explica por que uma lista de perguntas sobre "segurança da informação" e uma sobre "conformidade com a NIS2" perguntam, na sua maioria, sobre os mesmos factos. A Lei de Cibersegurança Holandesa, que transpõe esta diretiva até 15 de agosto de 2026, não altera essa estrutura fundamental — as perguntas que os clientes já fazem agora continuam, portanto, em grande medida as mesmas após essa data.