como preencho que os funcionários podem reportar um incidente de segurança

Rota interna de comunicação é a prova, não uma intenção

Esta pergunta diz respeito ao canal de comunicação em si: se os colaboradores conseguem reportar um incidente internamente e se isso realmente acontece. Isto é diferente da questão de saber se a organização regista ou trata incidentes — isso faz parte de o procedimento para o tratamento de incidentes de segurança. Aqui o cliente quer saber especificamente se existe uma via de fácil acesso e conhecida através da qual um colaborador pode comunicar algo: um endereço de e-mail, um sistema de tickets, um nome na intranet. A prova não é, portanto, o procedimento no seu conjunto, mas sim o canal concreto mais algo que demonstre que os colaboradores conhecem esse canal — uma captura de ecrã da intranet, uma passagem do documento de integração ou um slide de formação.

Se não o tiver documentado separadamente, então "não" ou "parcialmente" é a resposta honesta, mesmo que exista uma procedura de incidentes utilizada apenas pela equipa de TI. Não preencha "sim" com base apenas no procedimento; a pergunta avalia consciência e acessibilidade, não apenas processo. Se existir formação de sensibilização que cubra o canal de comunicação, esse é muitas vezes o elemento de prova mais forte — verifique isso em relação a à formação em práticas básicas de cibersegurança, pois estas duas respostas devem ser internamente consistentes. Se não corresponderem uma à outra, isso é mais facilmente detetado numa amostra de auditoria do que um único elemento de prova em falta.

Origem desta informação: artigo 21.º, n.º 2 e Anexo A

Este requisito provém do artigo 21.º, n.º 2 da Diretiva NIS2, onde a gestão de incidentes é uma das dez medidas obrigatórias; a Lei da Cibersegurança transpõe-o para a legislação portuguesa a partir de 15 de agosto de 2026. A ISO/IEC 27001 desenvolve-o no Anexo A até ao nível dos canais de comunicação e sensibilização, e os clientes que utilizam um questionário ISO questionam frequentemente diretamente esse ponto de controlo do Anexo A. Se a organização estiver certificada, esta prova está geralmente já disponível — consulte o certificado ISO 27001 para saber como o tornar demonstrável.