Rejime siberseguransa foun: saida mak seidauk halo

Desizaun husi konsulta públika

Iha 14 Abríl 2026, ha'u aprezenta proposta sanulu iha konsulta públika. Desizaun to'o ona — no nia hatudu buat barak kona-ba regulamentu no mós kona-ba saida mak sei falta atu halo.

Iha 14 Abríl 2026, ha'u publika iha LinkedIn Husi konformidade normativa ba rezisténsia operasionál: proposta 10 ba rejime siberseguransa foun, no ha'u aprezenta proposta sanulu hanesan ne'e iha konsulta públika kona-ba Projeto de Regulamento de execução do Regime Jurídico da Cibersegurança (projetu regulamentu ezekusaun ba rejime jurídiku siberseguransa Portugál nian, ne'ebé transpoin Diretiva (UE) 2022/2555 — NIS 2).

Centro Nacional de Cibersegurança (CNCS, Sentru Nasionál Siberseguransa Portugál nian) publika ona Relatóriu Konsulta Públika. Ho rigór, importante atu halo balansu — no halo ida-ne'e hodi haketak buat ne'ebé relatóriu dehan husi buat ne'ebé ha'u, hanesan enjeñeiru, lee iha nia laran. Ne'e nivel rua ne'ebé diferente no labele kahur.

Parte I — Faktu sira (saida mak iha relatóriu)

Buat hotu iha seksaun ida-ne'e bele verifika iha Relatóriu Konsulta Públika no dokumentu sira prosesu nian. Iha ne'e la iha interpretasaun.

• Enkuadramentu. Ne'e kona-ba regulamentu ezekusaun ba rejime jurídiku siberseguransa, ne'ebé aprova liuhusi Decreto-Lei n.º 125/2025, de 4 de dezembro (Dekretu-Lei Portugál N.º 125/2025, 4 Dezembru), iha transpozisaun Diretiva NIS 2 nia laran.
• Períodu konsulta. Hala'o husi 10/03/2026 to'o 22/04/2026, tuir artigu 101, n.º 2, husi Código do Procedimento Administrativo (Kódigu Prosedimentu Administrativu Portugál nian).
• Partisipasaun. CNCS simu kontribuisaun husi entidade no ema privadu 56.
• Autoria relatóriu. Dokumentu ne'ebé Koordenadór CNCS, Lino Santos, asina (Juñu 2026).
• Desizaun kona-ba ha'u-nia proposta sanulu. Proposta sanulu hotu klasifika hanesan «Não acolhido» (la simu). Relatóriu fundamenta rekuza ida-idak, liuliu, ho argumentu tolu ne'ebé mosu beibeik: regulamentu fiksa ona medida mínima obrigatória, «ne'ebé aplika ho maneira luan no tranversál no hakarak kobre situasaun barak liu»; verifikasaun ba ninia aplikasaun «konsidera prinsípiu proporsionalidade»; no entidade ida-idak, tuir ninia análize risku rezidual, mak tenke implementa medida ne'ebé ezijente liu.
• Mudansa sira iha eixu jestaun risku nian. Iha prosesu tomak, regulamentu hetan mudansa redasaun barak (sanulu resin) ne'ebé simu ka simu parsiál (entre sira seluk, artigu 6, 13 to'o 17, 22 to'o 28 no 30, no kontrolu balun iha Anexu III). Iha eixu ne'ebé ha'u kuidadu — jestaun risku rezidual no inventáriu ativu sira — mudansa substánsia rua mak: Artigu 31 — redasaun klaru liu atu refere ho espresu ba análize no jestaun risku siberseguransa no risku rezidual, hahú husi lójika prosesu no funsaun krítika sira; Artigu 32 — redasaun muda, no obrigasaun atu halo lista ativu limita de'it ba sira ne'ebé públiku bele asesu direta liuhusi Internet (kontribuisaun ne'ebé, entre sira seluk, MEO nia pozisaun simu parsiál).

Ida-ne'e mak rejistu faktu nian. Ha'u-nia proposta sanulu la simu hanesan proposta. Maibé, ho rigór, vetór ida ne'ebé ha'u defende halo testu book-an: kontrolu PR.FC-2 (formasaun ba pesoál ho funsaun espesializada), iha Proposta 9 nia klaran, muda — maski relatóriu dehan katak mudansa ne'e mai husi kontribuisaun ANA, E-REDES, CTT no Aliança para a Cibersegurança (Aliansa ba Siberseguransa), la'ós husi ha'u-nian. Fórmula «10/10 la simu» loos iha forma; iha substánsia, regulamentu book-an iha matéria ida ne'ebé ha'u hatudu ona, maibé la refere ba ha'u.

Parte II — Análize (ha'u-nia leitura enjeñaria nian)

Nota metodolójika. Buat hotu tuir mai mak análize ne'ebé ha'u mak responsavel. «Leitura konverjénsia» iha okos mai husi komparasaun ne'ebé ha'u rasik halo entre ha'u-nia kontribuisaun no kontribuisaun públika husi entidade seluk. Ne'e la'ós konstatasaun formál husi CNCS, ne'ebé haree kontribuisaun entidade ida-idak no la hamutuk sira tuir vetór risku.

1. Ha'u la mesak iha diagnóstiku — no ida-ne'e bele verifika

Saida mak Tabela 1 hatudu. Vetór risku tolu ne'ebé partisipante seluk iha konsulta to'o, ho sira-nia an, ba diagnóstiku hanesan ho proposta sanulu, no desizaun ne'ebé CNCS fó ba kontribuisaun sira-ne'e: norma referénsia ba TO, propoin husi Siemens no Universidade do Minho (la simu); maturidade no evidénsia iha kadeia fornesimentu, husi JCF, TAG no SPMS (la simu ka simu parsiál); no rezisténsia komunikasaun bainhira sistema falla tomak, husi EDP (simu).

Ha'u-nia leitura — no ha'u asume nia hanesan leitura — mak katak komunidade enjeñaria pezada no operadór infraestrutura sira hetan, ketak-ketak, fatin matan-delek hanesan. Maibé ha'u tau distinsaun ida: iha konverjénsia iha diagnóstiku, la'ós nesesariamente iha remédiu. Entidade barak ko'alia kona-ba TO no kadeia fornesimentu, maibé dala ruma husu solusaun ne'ebé kontráriu ho ha'u-nian — NOS, ezemplu, husu atu jestaun risku kadeia nian «kalibra tuir impaktu, kritisidade no natureza fornesedór sira», katak margen boot liu; ha'u defende kontráriu, rai-okos normativu ida. Ne'e mak buat ne'ebé halo ha'u-nia kontribuisaun diferente: bainhira maioria husu flexibilidade, ha'u husu mínimu preskritivu ida ne'ebé kalibra tuir konsekuénsia fízika. Faktu katak Siemens husu norma referénsia espesífika ba TO, no reguladór rekuza ho argumentu abranjénsia jenérika, mak sintoma sentrál husi problema ne'ebé ha'u esplika tuir mai.

2. Inkoerénsia proporsionalidade nian: argumentu ne'ebé dulas reguladór nia xave hasoru ninia desizaun rasik

CNCS rekuza diferensiasaun TO/TI (ha'u-nia Proposta 1) hodi dehan katak regulamentu «responde ona ba nesesidade segregasaun rede, ba ezijénsia zero trust no ba jestaun risku ativu sira, inklui legacy (tuan) no TO», no katak «medida sira hakarak luan liu ne'ebé bele». Iha tempu hanesan, no ho maneira tranversál, nia uza prinsípiu proporsionalidade.

Iha ne'e duni mak kontradisaun internal hela — no ida-ne'e mak pontu tékniku ne'ebé ha'u hakarak hatudu klaru:

Abranjénsia tranversál no proporsionalidade la'ós buat hanesan. Sira tende atu kontráriu malu.

Proporsionalidade, ho rigór, ezije katak medida kalibra tuir konsekuénsia falla nian. Regulamentu la haluha diferensiasaun — nia fahe medida sira ba nivel Báziku, Substansiál no Aas, tuir Matriz Risku no klasifikasaun entidade nian. Entaun problema la'ós katak la iha diferensiasaun; problema mak eixu ne'ebé uza atu halo diferensiasaun. Nivel sira QNRCS nian (Quadro Nacional de Referência para a Cibersegurança, kuadru referénsia nasionál siberseguransa Portugál nian) sa'e tuir klasifikasaun entidade; maibé konsekuénsia siberfízika la hela iha entidade — nia hela iha ativu. Operadór esensiál ida de'it iha, iha nivel konformidade hanesan, servidór email ida no PLC (kontroladór lójiku programavel) ida ne'ebé komanda dijuntór subestasaun tensaun aas ka komporta portu ida — no konsekuénsia fízika bainhira ida-idak kompromete la bele kompara. Ne'e mak variavel ne'ebé diferensiasaun tuir entidade la kaer, no ne'ebé proporsionalidade obriga atu konsidera: impaktu siberfíziku iha nivel zona no kondutu, la'ós iha nivel pesoa koletiva.

Enjeñaria rasik rezolve ona problema ne'e. Norma ISA/IEC 62443-3-2 halo proporsionalidade sai prátika liuhusi zona no kondutu ho Target Security Levels (SL-T, nivel seguransa alvu) ne'ebé fiksa liuhusi avaliasaun risku. Ho liafuan seluk: norma téknika ne'ebé halo loos prinsípiu proporsionalidade iha ambiente TO mak norma ne'ebé regulamentu rekuza atu refere.

Saida mak Figura 1 hatudu. Iha karuk, zona TI (servidór email, sistema korporativu), ne'ebé ninia nivel seguransa fiksa tuir klasifikasaun entidade. Iha loos, zona TO (PLC ida ne'ebé komanda dijuntór, komporta portu, subestasaun tensaun aas), ne'ebé buat importante mak konsekuénsia fízika husi falla ida. Iha sira-nia klaran, kondutu ida ho validasaun husi ema. Barra iha okos hatudu konsekuénsia falla nian ne'ebé sa'e husi TI ba TO. Fraze iha rohan halo rezumu: nivel seguransa alvu (SL-T) tenke kalibra tuir zona, la'ós tuir entidade — proporsionalidade katak kalibra, la'ós halo hanesan hotu.

Tanba ne'e ha'u-nia konkluzaun analítika: bainhira haruka diferensiasaun TO ba «proporsionalidade ne'ebé avalia iha faze verifikasaun», reguladór la aplika proporsionalidade — nia adia, no transfere ba enjeñeiru operasionál iha terrenu desizaun ida ne'ebé tenke iha rai-okos normativu. Ha'u la akuza CNCS ho intensaun aat; ha'u hatudu inkoerénsia prinsípiu nian ida ne'ebé sei iha tempu atu hadi'a liuhusi instrusaun téknika ida.

3. Saida mak ha'u defende, ho rigór tékniku ne'ebé presiza

Saida mak Tabela 2 hatudu. Proposta sanulu, ida-idak ho kontrolu husi projetu regulamentu ne'ebé nia kona; kontribuisaun husi partisipante seluk ne'ebé ba dalan hanesan; desizaun ne'ebé CNCS fó ba kontribuisaun sira-ne'e; no, iha koluna ikus, desizaun kona-ba autór nia proposta: «la simu» iha sanulu hotu.

Rezultadu formál. Proposta sanulu rekuza hotu (10/10 «Não acolhido» (la simu)), ho fundamentasaun padraun husi CNCS ne'ebé la muda: «regulamentu responde ona / entidade sira bele implementa medida ezijente liu tuir análize risku». La iha aseitasaun direta ida — maski, hanesan ha'u hatete iha Parte I, testu book-an iha vetór ida ne'ebé ha'u hatudu (PR.FC-2), liuhusi partisipante seluk.

Konverjénsia (6 husi 10). Proposta 1, 2, 4, 5, 8 no 9 hetan apoiu husi terseiru — operadór no fabrikante referénsia iha área infraestrutura krítika: BSO Consulting, Thales, Siemens, RS, APRITEL, NOS, E-REDES, CTT, ANA Aeroportos, TAG, JCF no Aliança para a Cibersegurança. Kontribuisaun nia klaran tékniku la'ós marjinál: nia hanesan ho leitura enjeñaria husi indústria rasik.

Kontraste determinante. Iha kontrolu hanesan ne'ebé ha'u propoin (PR.FC-2 formasaun, PR.GA-3 MFA, GR.CA-7 kadeia fornesimentu), CNCS simu ka simu parsiál — maibé sempre liuhusi partisipante seluk. Liña fratura la'ós téknika; nia hela iha natureza pedidu nian: kontribuisaun ne'ebé simu husu atu klarifika ka hadi'a redasaun kontrolu sira ne'ebé iha ona; ha'u propoin aumentu normativu (obrigasaun foun iha testu, iha nivel «Aas»). Reguladór rekuza ho sistemátiku atu kria obrigasaun foun, no haruka sira ba autonomia entidade nian no ba prinsípiu proporsionalidade.

Proposta pioneira (6, 7 no 10). Tranzisaun pós-kuántika (PQC), siberseguru no integridade IA/algoritmu nian mak ha'u mesak propoin — partisipante 55 seluk ida mós la hatete. Sira rekuza ho argumentu jenériku hanesan, haruka ba entidade nia análize risku, la ho apresiasaun substansiál ba sira-nia méritu ba futuru. Ne'e mak indikadór klaru liu husi antisipasaun kompara ho kontribuisaun hotu: matéria ne'ebé regulamentu ezekusaun, iha versaun ida-ne'e, hili atu la detalla.

Ha'u aproveita balansu ida-ne'e atu klarifika pontu tolu ne'ebé, iha sira-nia formulasaun ba públiku, merese rigór enjeñaria boot liu. Ha'u halo ho intensaun: kredibilidade téknika mós harii hodi hadi'a an rasik.

Kona-ba OOBM no rekuperasaun (Proposta 3). Rede jestaun Out-of-Band (OOBM, li'ur husi rede prinsipál) la'ós, iha nia an rasik, kapasidade black start (hala'o fali sistema husi zero). Black start mak prosedimentu atu hala'o fali sistema eletrisidade (unidade ne'ebé bele hala'o mesak, illamentu no sinkronizasaun fali ne'ebé kontroladu). Buat ne'ebé OOBM garante mak planu komandu no telemetria ne'ebé ketak, ne'ebé permite ekipa operasaun atu kontinua haree no halo manobra husi dook durante hala'o fali, maski rede produsaun kompromete ona husi ransomware. Nia mak instrumentu ba resposta, la'ós asaun hala'o fali rasik. Formulasaun loos importante, tanba ne'e mak haketak ezijénsia regulatória ne'ebé bele implementa husi promesa nebulozu ida.

Kona-ba automasaun no estabilidade rede nian (Proposta 4 — Human-in-the-Loop). Proposta ida-ne'e la'ós autónoma: nia mak konsekuénsia ne'ebé justifika Proposta 1. Ha'u-nia preokupasaun hatete hanesan senáriu, la'ós hanesan faktu ne'ebé akontese ona: se desizaun mitigasaun automátika iha autoridade atu tesi direta jerasaun síngrona, RoCoF (taxa variasaun frekuénsia nian) ne'ebé sa'e iha rede ho elektrónika poténsia barak bele estraga estabilidade dinámika. Importante atu hatete katak arkitetura zona no kondutu ne'ebé loos (Proposta 1) sei bandu, husi hahú, kontrolu mitigasaun TI ida atu halo komandu destrutivu direta ba TO — tanba ne'e pontu rua ne'e, iha nia abut, mak ida de'it: atu taka kadeia kauza ida-ne'e — pozitivu falsu → tesi → lakon jerasaun → instabilidade dinámika — desizaun destrutiva iha TO labele la iha validasaun husi ema no segmentasaun ne'ebé taka nia. Reguladór nia resposta (medida DE.MC-7, ne'ebé fó fali ba entidade jestaun pozitivu falsu sira) konfirma lakuna: kbiit iha, maibé rai-okos la iha.

Kona-ba vetór kredensiál sira (Proposta 5). Ha'u kontinua defende MFA ne'ebé rezisti phishing (FIDO2/PKI) ba perfíl administrasaun. Ho rigór, ha'u la uza númeru atu hakfodak ema: naton atu hatete katak kompromisu kredensiál nafatin, beibeik, iha vetór asesu inisiál prinsipál sira nia leet ne'ebé telemetria insidente setór nian relata (tuir edisaun oioin husi Verizon DBIR). La presiza persentajen atu justifika medida; enjeñaria risku naton ona.

Konkluzaun: proporsionalidade ne'ebé komprende loos mak dalan, la'ós obstákulu

Regulamentu mak marku ida. Maibé ninia pontu fraku liu la'ós ambisaun — mak eixu ninia diferensiasaun. Bainhira fahe medida sira tuir klasifikasaun entidade no la'ós tuir konsekuénsia siberfízika ativu nian, nia trata Teknolojia Operasionál hanesan kazu partikulár husi rejime TI — no ida-ne'e la tuir prinsípiu proporsionalidade rasik ne'ebé reguladór uza atu justifika nia.

Hadi'a ne'e la ezije atu loke fali lei. Nia ezije instrusaun téknika ida ne'ebé fó autonomia ba rejime TO, ne'ebé hamriik iha IEC 62443-3-2 no iha lójika zona no kondutu ho nivel seguransa ne'ebé kalibra tuir konsekuénsia fízika falla nian. Ne'e mak proporsionalidade — dala ida-ne'e aplika, la'ós adia.

Rezisténsia la deklara iha surat-tahan ida; harii ho rigór no enjeñaria iha terrenu. Proposta sanulu la simu. Diagnóstiku ne'ebé apoia sira, nafatin hamriik.

Ha'u disponível kompletu ba aprofundamentu tékniku ne'ebé ema konsidera oportunu.

— Gaspar do Amaral

Referénsia normativa sira

• Diretiva (UE) 2022/2555 (NIS 2)
• Decreto-Lei n.º 125/2025, de 4 de dezembro (Dekretu-Lei Portugál N.º 125/2025, rejime jurídiku siberseguransa)
• Relatóriu Konsulta Públika ba regulamentu ezekusaun RJC (rejime jurídiku siberseguransa), CNCS (Juñu 2026)
• ISA/IEC 62443-3-2 — Security risk assessment for system design (zona, kondutu no SL-T)
• NIST SP 800-207 — Zero Trust Architecture
• ANSI/TIA-942 — redundánsia infraestrutura sentru dadus, inklui dalan distribuisaun redundante (Tier III/IV)
• ISO 22301 / NIST SP 800-34 — kontinuidade negósiu no planu kontinjénsia (diversidade dalan no rekuperasaun)
• Verizon Data Breach Investigations Report (DBIR) — vetór asesu inisiál

Proposta sanulu orijinál aprezenta ba konsulta públika iha 14 Abríl 2026. Testu ida-ne'e mak balansu tékniku husi desizaun ne'e.

Nota metodolójika

Saida mak pájina ida-ne'e. Tradusaun husi artigu ne'ebé autór publika iha LinkedIn iha 25 Juñu 2026; versaun kompletu iha lian portugés iha website ida-ne'e.

Tabela no figura. Tabela rua no figura ida husi orijinál mak imajen ho testu iha lian portugés; sira dezeña fali ho konteúdu hanesan, tradús ona. Sira hatudu autór nia leitura kona-ba Relatóriu Konsulta Públika CNCS nian (Juñu 2026), la'ós agregasaun ofisiál husi reguladór. Parágrafu «Saida mak Tabela 1 hatudu», «Saida mak Tabela 2 hatudu» no «Saida mak Figura 1 hatudu» aumenta iha tradusaun atu esplika imajen ida-idak, tuir autór nia regra ba ninia artigu sira; sira la aumenta faktu foun.

Naran lei no etiketa sira. Instrumentu Portugál nian ne'ebé la iha tradusaun ofisiál (Decreto-Lei n.º 125/2025, Código do Procedimento Administrativo, projetu regulamentu no QNRCS) hela iha lian portugés ho esplikasaun. Desizaun CNCS nian sita iha lian portugés («Não acolhido», la simu) ho tradusaun. Kódigu hanesan PR.FC-2, PR.GA-3, GR.CA-7, ID.GA-2 no DE.MC-7 mak kontrolu iha Anexu III regulamentu nian no hela hanesan iha orijinál. TI/TO = teknolojia informasaun / teknolojia operasionál (IT/OT iha orijinál).

Referénsia sira

1. Gaspar do Amaral — Husi konformidade normativa ba rezisténsia operasionál: proposta 10 ba rejime siberseguransa foun (14/04/2026) — proposta sanulu ne'ebé aprezenta iha konsulta públika
2. Centro Nacional de Cibersegurança — Regulamento do Regime Jurídico da Cibersegurança (consulta pública) — Relatóriu Konsulta Públika no dokumentu prosesu nian (iha lian portugés)

Gaspar do Amaral · Orijinál iha lian portugés husi 25 Juñu 2026, publika iha website ida-ne'e; tradusaun emite iha 27 Outubru 2026 · Figura no tabela sira © Aprecisa.com · Ho apoiu IA