A NIS2 já está em vigor.
O prazo está a contar.
Avaliação técnica de prontidão para o novo Regime Jurídico da Cibersegurança — baseada em evidência, mapeada ao QNRCS v2 e ao Anexo III, pronta para o conselho de administração.
Excerto ilustrativo do formato de saída. O que a ferramenta não conseguir recolher é declarado como «Não avaliado» — nunca como cumprido por omissão.
Prazo legal para as medidas de cibersegurança das entidades essenciais — a contar desde junho de 2026.
Coimas para entidades essenciais — o que for mais elevado sobre o volume de negócios mundial.
Os órgãos de administração respondem pelo incumprimento — responsabilidade não delegável.
O que mudou
Novo Regime Jurídico da Cibersegurança
Em vigor desde abril de 2026, transpõe a Diretiva NIS2 para a ordem jurídica nacional.
Níveis de conformidade e medidas mínimas
Define os níveis Básico, Substancial e Elevado e as medidas mínimas obrigatórias constantes do Anexo III.
Novo quadro nacional de referência
Gerir · Identificar · Proteger · Detetar · Responder · Recuperar.
Registo e reporte à autoridade
Registo, autoidentificação, notificação de incidentes, Relatório Anual e lista de ativos expostos (art. 32.º).
Antes de mais, onde é que se enquadra?
Estou abrangido pela NIS2?
O nível de conformidade aplicável consta da notificação de qualificação da autoridade competente — a avaliação de prontidão cobre os três níveis.
Estimativa indicativa — a qualificação e o nível de conformidade são determinados pela autoridade competente.
Como demonstramos a prontidão
228 verificações baseadas em evidência
Recolha automatizada e apenas de leitura no Microsoft 365 e Azure. Nada é declarado sem evidência.
Mapeado ao Anexo III
Cada medida do seu nível de conformidade com estado claro: Cumprida, Parcial, Não cumprida, Não avaliável pela ferramenta — nunca «verde» por omissão.
Pronto para o conselho e para a autoridade
Resumo executivo, tabela de lacunas com critérios de verificação, anexo de evidências e plano de remediação.
Um âmbito fixo. Um resultado defensável.
Anexo III Readiness Assessment
- Tabela de lacunas Anexo III por medida e critério de verificação
- Resumo executivo para administração (EN + PT)
- Relatório técnico completo + evidências
- Plano de remediação priorizado (Word + Excel)
- Lista de ativos expostos (art. 32.º) em formato de submissão
Express — €750: avaliação essencial M365, dashboard HTML + findings CSV (sem pacote de administração, sem tabela Anexo III, sem runbook de remediação).
Avaliação técnica de prontidão — não constitui parecer jurídico nem determinação de conformidade.
Como decorre
Âmbito
Chamada de 30 minutos para fixar o perímetro e o nível a avaliar.
Recolha (leitura apenas)
Acesso read-only dedicado; a recolha corre sem alterar nada no seu ambiente.
Análise e mapeamento
Cada conclusão validada e mapeada ao Anexo III e ao QNRCS v2.
Relatórios
Resumo executivo, tabela de lacunas, evidências e plano de remediação.
Sessão executiva
Apresentação das conclusões e das prioridades ao conselho de administração.
Veja o formato antes de decidir
Receba o relatório de amostra
Enviamos um relatório de amostra completo para o seu email — sem compromisso.
O seu email é usado apenas para enviar a amostra. Política de Privacidade
O que costumam perguntar
Depende do setor de atividade e da dimensão da entidade. O estimador acima dá uma leitura indicativa, mas a qualificação como entidade essencial ou importante é determinada pela autoridade competente e comunicada por notificação. Em caso de dúvida, fale connosco antes de assumir que está fora do âmbito.
O Regulamento n.º 756/2026 define três níveis — Básico, Substancial e Elevado — a que correspondem medidas mínimas distintas no Anexo III. O nível aplicável consta da notificação de qualificação da autoridade competente. A avaliação de prontidão cobre os três níveis, pelo que não precisa de saber o seu nível para começar.
Apenas leitura. É criado um registo de aplicação dedicado no Microsoft Entra, com autenticação por certificado e âmbitos mínimos pedidos módulo a módulo. Não são concedidas permissões de escrita e nada é alterado no seu ambiente. Antes da recolha, um preflight lista todas as permissões que serão utilizadas.
Não. São coisas distintas: a certificação ISO/IEC 27001 pode conferir presunção de cumprimento de parte das obrigações, enquanto esta avaliação mede a prontidão técnica face ao Anexo III. Os resultados podem, no entanto, alimentar esse caminho — as lacunas identificadas são as mesmas que um SGSI terá de fechar.
A recolha demora horas. Os relatórios validados e a sessão executiva seguem-se em dias — não meses. O âmbito é fixo à partida, pelo que não há derrapagem de calendário.