o questionário pergunta se tivemos um incidente cibernético nos últimos anos

Uma pergunta sobre incidentes diz respeito a fatos, não a imagem

A pergunta sobre se tiveste um incidente cibernético nos últimos anos quer uma resposta factual: sim ou não, e em caso afirmativo geralmente com uma breve explicação sobre a natureza, o impacto e a resolução. Não existe uma resposta certa ou errada — um "sim" com uma resolução adequada é mais credível para muitos clientes do que um "não" não fundamentado de um fornecedor que não consegue demonstrar nada mais sobre a sua segurança. O que importa: consegues fundamentar a resposta?

Se houve um incidente, o documento comprobatório não é o próprio incidente, mas a sua resolução: foi comunicado, investigado e acompanhado de acordo com um procedimento estabelecido? É precisamente isto que o procedimento para o tratamento de incidentes de segurança pergunta, e os clientes frequentemente combinam esta pergunta com essas duas. Se não houve incidente, então "não" é a resposta, eventualmente com uma referência às medidas de detecção que o demonstram — ver o processo de deteção e correção de vulnerabilidades. Sem um registo ou registo de incidentes, "não" continua a ser uma resposta válida, mas sem um documento comprobatório subjacente; podes mencionar isto na explicação em vez de inventar uma prova que não existe.

Por que isto se enquadra nas dez medidas

O tratamento de incidentes ("incident handling") é uma das dez medidas concretas que o artigo 21, n.º 2 da Diretiva NIS2 (Diretiva (UE) 2022/2555) menciona como parte da política de segurança de uma entidade. Na transposição holandesa através da Lei de Cibersegurança — que entra em vigor em 15 de agosto de 2026 — o mesmo requisito volta a aparecer para entidades abrangidas por essa lei. Com isto, uma pergunta sobre incidentes anteriores é frequentemente, na prática, um teste indireto sobre a questão de saber se a organização tem um processo de incidentes, não apenas sobre o próprio incidente. Quem aplica ISO/IEC 27001 reconhece o mesmo tema no Anexo A, sob as medidas de controlo para "information security incident management".