Serviços
Governance, risco e conformidade, do diagnóstico à operação
Apoiamos a sua organização na conceção, implementação, operação e auditoria das medidas técnicas e organizacionais de segurança da informação exigidas pelas normas, regulamentos e leis que lhe são aplicáveis. Avaliamos onde está, definimos o caminho e operamos consigo o sistema de gestão que o sustenta, ao nível da gestão, das políticas, dos processos e da evidência.
Áreas de serviço
Tudo o que a gestão da segurança e da conformidade exige
Nove áreas que se combinam conforme a sua necessidade: um diagnóstico pontual, um projeto de certificação ou o acompanhamento permanente. Em todas usamos a plataforma Infosec Tools e todas têm a natureza técnica e organizacional descrita no final desta página.
Diagnóstico e gap analysis
Antes de investir, importa saber com rigor onde a organização está. Comparamos as suas práticas, documentos e evidências com cada requisito do referencial escolhido e devolvemos uma imagem clara: o que já cumpre, o que falta, o que é crítico e por onde começar.
Fazemos gap analysis face a qualquer referencial em que trabalhamos: ISO/IEC 27001, ISO 22301, ISO/IEC 27701, ISO/IEC 42001, NIS2 e o regime jurídico da cibersegurança, a Diretiva CER, o Selo de Maturidade Digital, DORA, PCI DSS, SWIFT CSP, SOC 2, AI Act, CRA, RGPD, o Regulamento 303/2019 da ANACOM, NIST CSF ou CIS Controls.
O que entregamos
- Levantamento dos critérios de aplicabilidade de cada regulamento e do papel em que a organização se pode enquadrar (entidade essencial ou importante, entidade crítica, prestador de serviços TIC, fabricante, responsável ou subcontratante), para validação pelos seus assessores jurídicos, e dos requisitos de segurança que daí decorrem
- Gap analysis requisito a requisito, com o estado atual, a evidência encontrada e a lacuna
- Avaliação de maturidade das práticas de segurança e de conformidade
- Roteiro priorizado, com esforço, dependências e ganhos rápidos
- Avaliação de prontidão antes de uma auditoria de certificação ou de uma avaliação externa
- Segunda opinião independente sobre programas em curso
Conformidade regulatória
O número de regulamentos e leis com exigências de segurança da informação não para de crescer, e muitas organizações não sabem ao certo como provar que os cumprem. Construímos e mantemos consigo um registo de requisitos de conformidade: cada requisito de segurança da informação decorrente das normas, dos regulamentos, da legislação e dos contratos aplicáveis, identificado em conjunto com os seus assessores jurídicos, quem é responsável por ele, onde é cumprido, que lacunas tem e quando é revisto.
Depois, ligamos cada requisito aos controlos e à evidência, para que a conformidade se demonstre em vez de se afirmar.
Regulamentos e normas em que trabalhamos
- NIS2 e o Regime Jurídico da Cibersegurança (Decreto-Lei 125/2025, Regulamento 756/2026 e QNRCS): enquadramento como entidade essencial ou importante, registo na plataforma do CNCS, responsável pela segurança e ponto de contacto permanente, matriz de risco, medidas mínimas e notificação de incidentes
- Resiliência das entidades críticas (Diretiva CER e Decreto-Lei 22/2025): avaliação de riscos da entidade, medidas e plano de resiliência, ponto de contacto e notificação de incidentes às autoridades, em articulação com as obrigações da NIS2
- Selo de Maturidade Digital (dimensões de cibersegurança e de privacidade): avaliação face aos requisitos do nível pretendido (bronze, prata ou ouro), implementação e preparação para a certificação, atribuída por um organismo de certificação acreditado
- DORA: resiliência operacional digital das entidades financeiras e requisitos de segurança e de resiliência dos seus prestadores de serviços TIC, incluindo o registo de informação e os requisitos técnicos e organizacionais a refletir nos contratos
- AI Act: inventário de sistemas de IA, apoio à classificação por nível de risco, literacia em IA, governance e documentação de transparência para clientes
- CRA: produtos com elementos digitais, segurança desde a conceção, SBOM, divulgação coordenada de vulnerabilidades, notificação à ENISA e avaliação da conformidade
- PCI DSS: definição do âmbito, redução do ambiente de dados de cartão e preparação do SAQ ou do ROC
- SWIFT Customer Security Programme: avaliação face ao CSCF e preparação da atestação anual
- SOC 2: definição do âmbito e dos critérios de serviços de confiança aplicáveis, desenho e implementação dos controlos, avaliação de prontidão e preparação para o relatório de Tipo I ou de Tipo II, emitido por um auditor independente
- Segurança das redes e serviços de comunicações eletrónicas (Lei 16/2022 e Regulamento 303/2019 da ANACOM): responsável de segurança e ponto de contacto permanente, classificação e inventário dos ativos, análise de risco, programa de exercícios, relatório anual de segurança e notificação de violações de segurança à ANACOM
- RGPD e Lei 58/2019: medidas técnicas e organizacionais de proteção de dados, descritas na área de proteção de dados
- Acompanhamento das alterações às normas e aos regulamentos aplicáveis e do seu impacto nos requisitos e nas medidas implementadas
Sistemas de gestão e governance
Um sistema de gestão é o que transforma um conjunto de controlos em algo que dura: com dono, com ciclo de melhoria e com evidência. Implementamos sistemas de gestão de segurança da informação (ISO/IEC 27001:2022), de continuidade de negócio (ISO 22301) de privacidade (ISO/IEC 27701) e de inteligência artificial (ISO/IEC 42001), isolados ou integrados, preparamo-los para a certificação e acompanhamo-los depois dela. A certificação é emitida por uma entidade certificadora acreditada e independente; o nosso papel é deixar a organização pronta para ela.
Ao nível da governance, definimos o modelo: papéis e responsabilidades, comités, estratégia e programa de segurança, quadro de políticas e indicadores para a gestão de topo.
O que entregamos
- Âmbito, contexto, partes interessadas e política de segurança
- Quadro de políticas, normas e procedimentos, escrito para ser usado e não apenas para ser mostrado
- Declaração de aplicabilidade e plano de tratamento do risco
- Programa de auditorias internas e revisão pela gestão
- Preparação para as auditorias da entidade certificadora (fase 1, fase 2 e acompanhamento) e apoio durante as mesmas
- Modelo de governance: funções, comités, estratégia, programa e orçamento de segurança
- Indicadores e relatórios para a administração
- Operação contínua do sistema de gestão, com o apoio da plataforma Infosec Tools
Gestão de risco e terceiros
O risco é o que decide onde investir. Definimos consigo uma metodologia proporcional à organização, alinhada com a ISO/IEC 27005 e a ISO 31000, e conduzimos as avaliações que os regulamentos exigem: do risco de segurança da informação ao risco de terceiros, da avaliação de impacto sobre a proteção de dados ao risco dos sistemas de IA.
A cadeia de fornecimento é hoje a maior fonte de risco e de obrigações em cascata. Ajudamo-lo a conhecer os seus fornecedores, a definir os requisitos de segurança que lhes deve impor e a verificar e provar que são cumpridos.
O que entregamos
- Metodologia de gestão do risco e matriz de risco, incluindo a matriz exigida pelo regime jurídico da cibersegurança
- Avaliações de risco, planos de tratamento e acompanhamento do risco residual
- Análise de impacto no negócio (BIA) e avaliações de impacto sobre a proteção de dados (AIPD)
- Avaliação de risco de sistemas de IA
- Política de segurança de fornecedores, classificação e diligência devida
- Requisitos técnicos e organizacionais de segurança a incluir nos contratos com fornecedores (RGPD, DORA e NIS2), para integração pelos seus assessores jurídicos
- Registo de informação dos acordos contratuais com terceiros TIC (DORA)
- Monitorização e avaliação periódica de fornecedores
Proteção de dados
Tratamos a proteção de dados como parte da segurança da informação. Apoiamos responsáveis e subcontratantes na implementação e na manutenção das medidas técnicas e organizacionais exigidas pelo RGPD e pela Lei 58/2019, em articulação com os seus assessores jurídicos, e asseguramos a função de encarregado de proteção de dados quando a organização não a quer ou não a pode ter internamente.
O que entregamos
- Registo das atividades de tratamento, como responsável e como subcontratante
- Avaliações de impacto sobre a proteção de dados
- Procedimento e fluxo interno de resposta aos pedidos de exercício de direitos dos titulares
- Procedimento de gestão de violações de dados pessoais, incluindo a avaliação do risco e a preparação das notificações à CNPD e aos responsáveis pelo tratamento
- Registo de subcontratantes e de transferências internacionais e das respetivas medidas de segurança
- Políticas internas de proteção de dados, de retenção e de eliminação, e privacidade desde a conceção e por defeito nos projetos e nos sistemas
- Encarregado de proteção de dados em regime de serviço
Resiliência, incidentes e produto
Quando algo corre mal, a diferença está em saber de antemão quem decide, quem comunica e em que prazos. Preparamos a organização para gerir incidentes e crises, para continuar a operar e para cumprir as obrigações de notificação que hoje se acumulam: CNCS, CNPD, ENISA e os clientes do setor financeiro.
Para quem desenvolve software ou produtos com elementos digitais, levamos a segurança para o ciclo de desenvolvimento e preparamos o que o CRA exige.
O que entregamos
- Política e procedimento de gestão de incidentes, com os fluxos de notificação e os prazos de cada regime (24 horas, 72 horas, relatório final)
- Gestão de crise e exercícios de simulação para a gestão de topo
- Programa de continuidade de negócio: estratégias, planos, testes e lições aprendidas
- Política de desenvolvimento seguro e requisitos de segurança ao longo do ciclo de vida
- Gestão de vulnerabilidades e divulgação coordenada de vulnerabilidades
- Inventário de componentes de software (SBOM) e resposta a incidentes de segurança do produto
- Avaliação da conformidade e documentação técnica para o CRA
- Política de governance de IA e documentação de transparência para clientes
Auditoria
Uma auditoria só é útil se for independente, pragmática e disser o que importa. Auditamos o seu ambiente de controlo face à norma, ao regulamento ou ao contrato em causa, identificamos o que é crítico e recomendamos práticas que resolvam o problema, e não apenas que fechem a não conformidade.
Tipos de auditoria
- Auditorias internas ISO/IEC 27001, ISO 22301, ISO/IEC 27701 e ISO/IEC 42001
- Auditorias de conformidade com requisitos regulamentares e contratuais de segurança
- Auditorias de preparação antes da certificação ou da avaliação externa
- Auditorias a fornecedores e a terceiros
- Avaliações para o PCI DSS e para o SWIFT CSP e avaliações de prontidão para o SOC 2
- Apoio técnico na preparação e no acompanhamento de auditorias externas, de inspeções e de pedidos de informação das autoridades, incluindo o exercício dos direitos de auditoria previstos no DORA
Funções em regime de serviço
Nem todas as organizações têm dimensão para um CISO, um encarregado de proteção de dados ou um responsável pela segurança a tempo inteiro, mas todas precisam de alguém que responda por essas funções com continuidade. Assumimos essas funções em regime de serviço, com horas definidas, presença regular e responsabilidade perante a gestão.
Funções que asseguramos
- CISO em regime de serviço: estratégia, programa, reporte à administração e interlocução com clientes e auditores
- Encarregado de proteção de dados (DPO), designado junto da CNPD
- Responsável pela segurança da informação e ponto de contacto permanente previstos no regime jurídico da cibersegurança
- Responsável de conformidade para a segurança da informação e a privacidade
- Apoio ao responsável interno: mentoria, segunda linha e substituição em ausências
Formação e sensibilização
Fornecemos programas de formação e de sensibilização em segurança da informação que endereçam os comportamentos humanos que permitem melhorar a segurança e reduzir o risco.
Os regulamentos passaram a exigir formação: a NIS2 obriga os órgãos de gestão a formar-se, o AI Act exige literacia em IA a quem opera sistemas de IA e o RGPD e o DORA exigem programas de sensibilização. Desenhamos programas adaptados ao contexto e à maturidade da organização, para a gestão de topo, para as equipas e para todos os colaboradores.
Programas disponíveis
- Sensibilização geral em segurança da informação e proteção de dados
- Formação para órgãos de gestão exigida pela NIS2
- Literacia em IA exigida pelo AI Act
- Formação de equipas: gestão de risco, gestão de incidentes, auditoria interna e desenvolvimento seguro
- Campanhas de phishing simuladas
- E-learning e conteúdos multimédia personalizados
Como trabalhamos
Infosec Tools: a plataforma onde tudo isto vive
Os serviços acima não produzem apenas documentos. O registo de requisitos, a declaração de aplicabilidade, as políticas, os riscos e os seus planos de tratamento, os fornecedores, os incidentes e as suas notificações, as auditorias e as não conformidades, a continuidade de negócio e a formação ficam na Infosec Tools, a plataforma SaaS desenvolvida pela PFC Consulting, para que o sistema de gestão continue a funcionar depois do projeto e a evidência esteja pronta para qualquer auditoria.
Usamo-la em todos os projetos de implementação e de operação. O cliente continua a usá-la connosco, em regime de serviço, ou de forma autónoma.
Conhecer a Infosec ToolsO que fica na plataforma
- Registo de requisitos de conformidade e declaração de aplicabilidade, com ISO/IEC 27001 e NIS2 lado a lado
- Políticas e procedimentos com histórico de versões e confirmações de leitura
- Riscos, oportunidades, planos de tratamento e matriz de risco
- Fornecedores e terceiros, com a sua avaliação e acompanhamento
- Incidentes, com os fluxos de notificação regulatória (NIS2, RGPD, AI Act)
- Programa de auditorias, não conformidades, revisões de segurança e exceções
- Continuidade de negócio e análise de impacto no negócio
- Ativos, acessos, entradas e saídas de colaboradores e formação
- Trilho de auditoria completo e ambiente isolado por cliente
Referenciais
Normas, regulamentos e legislação em que trabalhamos
Normas e frameworks
- ISO/IEC 27001Sistemas de gestão de segurança da informação
- ISO/IEC 27002Controlos de segurança da informação
- ISO/IEC 27005Gestão do risco de segurança da informação
- ISO/IEC 27701Gestão da informação de privacidade
- ISO/IEC 42001Sistemas de gestão de inteligência artificial
- ISO/IEC 27017 e 27018Controlos para serviços em nuvem e proteção de dados pessoais em nuvens públicas
- ISO 22301Sistemas de gestão de continuidade de negócio
- ISO 31000Gestão do risco: princípios e linhas de orientação
- NIST CSFCybersecurity Framework do NIST
- CIS ControlsCritical Security Controls do Center for Internet Security
- PCI DSSPayment Card Industry Data Security Standard
- SWIFT CSPCustomer Security Programme e o seu Customer Security Controls Framework
- SOC 2Relatórios de controlos sobre os critérios de serviços de confiança (AICPA)
Regulamentos da União Europeia
- RGPDRegulamento (UE) 2016/679, Regulamento Geral sobre a Proteção de Dados
- NIS2Diretiva (UE) 2022/2555, segurança das redes e dos sistemas de informação
- Regulamento de Execução (UE) 2024/2690Requisitos técnicos e metodológicos das medidas NIS2 para os prestadores de serviços digitais
- Diretiva CERDiretiva (UE) 2022/2557, resiliência das entidades críticas
- DORARegulamento (UE) 2022/2554, resiliência operacional digital do setor financeiro
- AI ActRegulamento (UE) 2024/1689, regras harmonizadas em matéria de inteligência artificial
- CRARegulamento (UE) 2024/2847, Cyber Resilience Act, requisitos de cibersegurança dos produtos com elementos digitais
Legislação nacional
- Decreto-Lei 125/2025Regime Jurídico da Cibersegurança, que transpõe a NIS2
- Regulamento 756/2026Regulamento do Regime Jurídico da Cibersegurança: plataforma MyCiber, notificação de incidentes, QNRCS, matriz de risco e medidas mínimas
- Selo de Maturidade DigitalCertificação nas dimensões de cibersegurança e de privacidade, níveis bronze, prata e ouro
- Decreto-Lei 22/2025Resiliência das entidades críticas, que transpõe a Diretiva CER
- Lei 58/2019Execução do RGPD na ordem jurídica nacional
- Lei 16/2022Lei das Comunicações Eletrónicas
- Regulamento 303/2019 da ANACOMSegurança e integridade das redes e serviços de comunicações eletrónicas
Natureza dos serviços
Apoio técnico e organizacional
Os serviços prestados pela PFC Consulting, Lda. têm natureza técnica e organizacional. Consistem no apoio à conceção, implementação, operação, avaliação e auditoria das medidas técnicas e organizacionais de segurança da informação, cibersegurança, continuidade de negócio e proteção de dados previstas nas normas, nos regulamentos e na legislação referidos nesta página, e no exercício das funções de responsável pela segurança da informação, de encarregado de proteção de dados e das demais funções aqui indicadas, nos termos em que essas normas e regulamentos as preveem.
A PFC Consulting, Lda. não é uma sociedade de advogados nem de solicitadores e os seus serviços não compreendem a prática de atos próprios dos advogados e dos solicitadores, tal como definidos na Lei n.º 49/2004, de 24 de agosto, designadamente a consulta jurídica, a elaboração de contratos e a prática dos atos preparatórios tendentes à constituição, alteração ou extinção de negócios jurídicos, e o mandato forense. A determinação do regime jurídico aplicável a cada organização, a interpretação da lei e a redação de instrumentos contratuais competem aos assessores jurídicos do cliente, com os quais a PFC Consulting articula o seu trabalho. Os serviços da PFC Consulting não substituem o aconselhamento jurídico.
Precisa de apoio em segurança da informação?
Contacte-nos para discutirmos como podemos ajudar a sua organização.
Fale connosco