A empresa tem políticas para análise de riscos e proteção de sistemas de informação?

A política de análise de risco é a base das outras nove medidas

Sim, na maioria dos casos há algo a dizer aqui, pois a análise de risco é mencionada como primeira medida no artigo 21.º, n.º 2 da NIS2 e é, portanto, o fundamento em que o resto da política se baseia. A pergunta não testa apenas se existe um documento «política de risco», mas se a empresa verifica sistematicamente quais os sistemas de informação e processos vulneráveis e quais as medidas que lhes correspondem. Um cliente que coloca esta pergunta quer, na verdade, saber se a segurança é implementada com base numa avaliação de risco, ou ad hoc.

Na prática, este campo é frequentemente difícil de responder com um simples sim, porque a análise de risco geralmente não é um documento de política isolado, mas está integrada noutras partes: a política de acesso está estabelecida, incluindo a gestão de activos empresariais, existe um processo para detectar e corrigir vulnerabilidades, e a eficácia das medidas de segurança é testada periodicamente. Sem um documento subjacente que descreva a avaliação de risco — mesmo que seja um simples resumo interno — um «sim» aqui não pode ser justificado. Se esse documento faltar, então «não» ou «parcialmente» é a resposta honesta, com uma possível explicação sobre quais as partes que já existem.

Onde isto decorre exactamente do artigo 21.º, n.º 2

O artigo 21.º, n.º 2, alínea a) da Diretiva (UE) 2022/2555 menciona «política de análise de risco e segurança de sistemas de informação» como a primeira de dez medidas obrigatórias e é, portanto, o ponto de referência mais direto para esta pergunta. A própria diretiva não estabelece como uma análise de risco deve ser configurada — esse detalhe é deixado às regras de transposição nacional ou a normas como a ISO 27001, que é, aliás, diferente desta pergunta de política: ver a empresa é certificada ISO 27001. Quem quiser verificar se a empresa se enquadra na diretiva, encontra isso em a empresa se enquadra na Diretiva NIS2 ou na transposição nacional dessa diretiva.