lista de perguntas questiona se examinamos os funcionários antes da contratação

O rastreio de pessoal faz parte da segurança de RH, não do controlo de acesso

A questão do rastreio para contratação enquadra-se na segurança de pessoal, uma das dez medidas do artigo 21.º, n.º 2 da NIS2 — mencionada explicitamente na alínea (g), juntamente com as condições de trabalho e medidas disciplinares em caso de violação. Este é um campo diferente do controlo de acesso: o rastreio diz respeito a quem contrata, política de acesso refere-se ao que alguém pode ver ou fazer depois de entrar. Portanto, não preencha automaticamente "sim" nesta questão só porque existe uma matriz de acesso — esse é um documento diferente.

Aquilo que conta como prova depende do que acontece na prática. Uma obrigação de VOG (declaração de antecedentes) para funções com acesso a sistemas sensíveis é a prova mais concreta. Se não existir, também conta um procedimento estabelecido no processo de recrutamento: verificação de referências, verificação de identidade, e em empresas certificadas pela ISO 27001 a cláusula de rastreio do Anexo A 6.1 (anterior ao vínculo laboral). Sem certificação ISO e sem política de VOG, a resposta é geralmente "não" ou "parcialmente" — e está perfeitamente bem preenchê-la assim. Não invente um processo de rastreio que não existe; se o cliente questionar isto, uma resposta honesta "não, apenas para as funções X e Y" é mais forte do que um sim que não resistiria a uma auditoria.

De onde vem: artigo 21.º, n.º 2, alínea g e Anexo A 6.1

As dez medidas do artigo 21.º, n.º 2 da NIS2 mencionam explicitamente a segurança de pessoal sob a alínea (g), juntamente com o controlo de acesso e a gestão de ativos da empresa. Na prática, isto é frequentemente avaliado juntamente com formação em cibersegurança,, uma vez que ambos se enquadram na mesma política de RH. Para empresas com um certificado ISO 27001, a medida de controlo correspondente encontra-se no Anexo A, sob a cláusula sobre rastreio anterior ao vínculo laboral — verifique portanto se o certificado ISO 27001 da empresa cobre esta cláusula, uma vez que nem todos os certificados têm o mesmo âmbito. Para empresas que apenas se enquadram na Lei da Cibersegurança após 15 de agosto de 2026, isto ainda não é uma obrigação legal, mas os clientes perguntam frequentemente sobre isto antecipando as obrigações na cadeia.