ÂmbitoEntregáveisÂncorasCinco capacidades que se reforçam mutuamente
O que entregamos não são horas de consultoria: é uma organização que continua a operar no dia em que acontece aquilo que ninguém esperava. Um incidente contido em minutos em vez de dias, uma fábrica que não para, um contrato que não se perde por não se poder comprovar o que já se fazia bem.
Tudo o que desenhamos assenta em dois princípios que não se negoceiam: segurança desde a conceção, incorporada na planta e não acrescentada quando o sistema já está em produção, e confiança zero, onde nenhum utilizador, dispositivo ou serviço obtém acesso por estar dentro da rede, mas apenas após verificação em cada pedido.
Segurança e conformidade
Análise de riscos, declaração de aplicabilidade, plano de adequação e acompanhamento durante a auditoria. O quadro muda consoante o interlocutor: o quadro nacional espanhol para contratar com a administração, ISO/IEC 27001 para comprovar a gestão perante clientes, seguradoras e grandes contas, e IEC 62443-2-1 quando o sistema de gestão tem de cobrir também a fábrica. Se o cliente for financeiro, DORA; se fabricar produto com elementos digitais, o Regulamento de Ciber-resiliência. Preparação para a NIS2 muito antes de a obrigação chegar por carta. Inclui avaliações técnicas autorizadas em caixa branca, cinzenta e preta, e capacidade SOC 24×7 com XDR e EDR.
RD 311/2022 · ISO/IEC 27001:2022 · IEC 62443-2-1 · UE 2022/2555Inteligência artificial auditável
Classificação de risco antes da primeira linha de código, rastreabilidade do dado, controlo de enviesamento e governo documentado do ciclo de vida. Sistema de gestão conforme a ISO/IEC 42001 quando o volume o justifica.
Regulamento UE 2024/1689 · ISO/IEC 42001IoT, OT e Indústria 4.0
Inventário de ativos, zonas e condutas, monitorização passiva sem tocar na produção e segmentação por fases medida em cada etapa.
IEC 62443-3-3 · ISA-95Inovação de processos e território inteligente
Diagnosticar o processo antes do software. Automatização, integração de sistemas, gémeos digitais e plataformas de cidade com soberania do dado e governação escrita.
ISO 37122 · UNE 178104 · UNE 178108Automatização e fluxos de trabalho
Desenvolvimento à medida sobre um processo previamente diagnosticado: integração entre sistemas que hoje não se falam, fluxos documentais com rastreabilidade completa, robotização da tarefa repetitiva e tratamento explícito da exceção. Nada se automatiza antes de ter sido medido.
BPMN 2.0 · ISO/IEC 25010 · InteroperabilidadeUE 2024/1689UE 2026/1744ISO/IEC 42001Art. 22.º RGPDO que já obriga hoje, ainda que o alto risco tenha sido adiado
O Ómnibus Digital, Regulamento (UE) 2026/1744, transferiu as obrigações dos sistemas do anexo III para dezembro de 2027. O restante do Regulamento mantém o seu calendário, e é aí que continua o trabalho pendente da maioria das organizações.
O papel, antes da tecnologia
Quase nenhuma organização desenvolve inteligência artificial: implanta-a. Determinar se atua como fornecedor ou como responsável pela implantação muda por completo a lista de obrigações, e é o primeiro entregável de qualquer trabalho.
Arts. 3.º, 16.º e 26.ºInventário e classificação de risco
Que sistemas de IA estão em uso, quem os contratou, sobre que dados operam e em que decisões intervêm. Sem inventário não há conformidade, apenas declarações.
Anexos I e IIILiteracia em IA
Em vigor desde fevereiro de 2025 para qualquer organização que use IA, sem limiar de dimensão nem exceção para PME. Formação proporcional ao papel de cada pessoa, com registo de quem a recebeu.
Art. 4.ºTransparência e supervisão humana
Avisar quando alguém interage com um sistema de IA, marcar o conteúdo sintético e documentar o ponto de controlo humano, em articulação com o artigo 22.º do RGPD quando a decisão produz efeitos jurídicos.
Art. 50.º · Art. 14.ºAvaliação de impacto nos direitos fundamentais
Exigível a organismos públicos e a determinados serviços essenciais que implantem sistemas de alto risco. Prepara-se antes da data, não no mês anterior.
Art. 27.ºÚltima revisão do calendário normativo: 8 de agosto de 2026. O quadro está em evolução e confirmamos as datas no início de cada projeto.
Segmento terrestreGNSSAgilidade criptográficaEspaço, comunicações e pós-quântico
Três frentes onde o prazo manda. O dado que hoje se cifra e se captura poderá ser decifrado no dia em que exista um computador quântico relevante: é a lógica de recolher agora e decifrar depois, e por isso a migração começa pelo inventário e não pelo produto.
Segurança de sistemas espaciais
Segmento terrestre, estações de controlo e ligações de telecomando e telemetria. Cifra e autenticação da ligação, endurecimento da estação e separação entre a rede de operação e a corporativa. O setor espacial consta do anexo I da NIS2, pelo que os seus operadores são entidades essenciais.
CCSDS SDLS · ECSS · NIS2 anexo IComunicações por satélite e GNSS
Proteção das ligações por satélite face à interferência intencional e à falsificação, e da sincronização horária de que dependem a energia, a indústria e a própria rastreabilidade dos registos.
Resiliência de posição, navegação e tempoTransição pós-quântica
Inventário criptográfico, classificação por tempo de vida do dado e plano de migração para os algoritmos normalizados. A Recomendação (UE) 2024/1101 e o roteiro do Grupo de Cooperação NIS situam o início no final de 2026 e a infraestrutura crítica no final de 2030.
FIPS 203, 204 e 205 · Rec. (UE) 2024/1101PúblicoPrivadoIndustrialFinanceiroO que o obriga a si, e desde quando
O erro mais caro em conformidade é aplicar o quadro errado. Este é o mapa completo, com quem fica abrangido e que data manda em cada caso.
Proteção de dados
Abrange qualquer organização que trate dados pessoais, sem exceção por dimensão. Inclui a análise de riscos, a avaliação de impacto quando aplicável e a notificação de violações em 72 horas.
Regulamento UE 2016/679 · LO 3/2018Quadro nacional de segurança
Obrigatório para o setor público espanhol e exigível por contrato aos seus fornecedores. Categorização do sistema, declaração de aplicabilidade e auditoria periódica conforme a categoria.
RD 311/2022NIS2
Entidades essenciais e importantes de dezoito setores, com responsabilidade direta do órgão de direção. Espanha não concluiu a transposição: a Lei de Coordenação e Governação da Cibersegurança continua por publicar e mantém-se em vigor o RDL 12/2018. As obrigações de fundo, contudo, são estáveis desde 2022 e já são exigidas por contrato.
Diretiva UE 2022/2555 · RDL 12/2018DORA
Entidades financeiras e seguradoras, e também os fornecedores tecnológicos que as servem. Aplicável desde 17 de janeiro de 2025, com registo de acordos com terceiros e testes de resiliência operacional digital.
Regulamento UE 2022/2554Regulamento de Ciber-resiliência
Fabricantes, importadores e distribuidores de produtos com elementos digitais, do equipamento industrial à aplicação móvel. Desde 11 de setembro de 2026 é preciso notificar as vulnerabilidades ativamente exploradas em 24 horas e completar em 72. A marcação CE de cibersegurança chega a 11 de dezembro de 2027, e as coimas atingem 15 milhões de euros ou 2,5 % do volume de negócios global.
Regulamento UE 2024/2847Regulamento de Inteligência Artificial
Fornecedores e responsáveis pela implantação de sistemas de IA. A literacia e as proibições já estão em vigor; o alto risco do anexo III passou para dezembro de 2027 com o Ómnibus Digital.
Regulamento UE 2024/1689 · UE 2026/1744Acessibilidade
Obrigatória para o setor público desde 2018 e para o setor privado desde 28 de junho de 2025, com exceção para microempresas de serviços. A referência técnica é a norma europeia harmonizada.
Lei 11/2023 · RDL 1/2013 · EN 301 549Normas voluntárias que acabam obrigatórias
ISO/IEC 27001 para o sistema de gestão, ISO/IEC 42001 para a inteligência artificial e IEC 62443 para o ambiente industrial. Não é a lei que as impõe, são os cadernos de encargos, as seguradoras e os grandes clientes.
ISO/IEC 27001 · ISO/IEC 42001 · IEC 62443Mapa revisto a 10 de agosto de 2026. Confirmamos prazos e estado de transposição no início de cada projeto.