como preencho a pergunta sobre minimização de dados de dados pessoais

A minimização de dados depende da política de acesso, não da encriptação

A minimização de dados em si não consta como medida separada no artigo 21.º, n.º 2 da NIS2 — essas dez medidas dizem respeito à gestão de riscos, tratamento de incidentes, continuidade empresarial e controlo de acesso, não aos princípios do RGPD sobre recolha de dados. Ainda assim, a pergunta aparece frequentemente no mesmo questionário, porque os clientes combinam as suas avaliações de NIS2 e privacidade. A prova documental adequada não é um registo de tratamento de dados do RGPD, mas a política de acesso: quem pode aceder a que dados, e se isso se limita ao necessário para a função. Isso alinha-se com a política de acesso incluindo a gestão de ativos — se contiver acesso baseado em funções e o princípio "need to know", isso geralmente fornece fundamentação suficiente para um "sim".

Se não tem uma política de minimização de dados separada, mas tem um certificado ISO 27001, o Anexo A é mais forte do que pensa: as medidas de controlo sobre restrição de acesso e classificação de informações cobrem implicitamente a minimização de dados, sem necessidade de usar a palavra. Nesse caso, refira-se a o certificado ISO 27001 e deixe o sistema associar a resposta a isso. Se não tem nenhum dos dois, não responda automaticamente "sim" — preencha o que de facto é correto, mesmo que seja "não, ainda em fase de concepção".

Origem desta informação: artigo 21.º, n.º 2 e Anexo A

O artigo 21.º, n.º 2 da NIS2 menciona política de controlo de acesso e gestão de ativos como duas das dez medidas obrigatórias, sem utilizar o termo minimização de dados; a ISO/IEC 27001 Anexo A desenvolve-o posteriormente através das medidas de controlo sobre restrição de acesso e classificação de informações, e a Lei da Cibersegurança incorpora o texto da NIS2 na íntegra assim que esta entrar em vigor em 15 de agosto de 2026.