questionário pergunta se elaboramos um plano de resposta a incidentes

O plano de resposta a incidentes é uma das dez medidas do artigo 21

Sim, este é um componente reconhecível: o artigo 21.º, n.º 2, alínea b) da Diretiva NIS2 menciona "incident handling" como uma das dez medidas obrigatórias. O cliente não pergunta aqui por uma vaga disposição para fazer algo alguma vez perante um ataque, mas por um procedimento documentado: quem notifica um incidente, quem avalia o impacto, quem decide sobre a escalada e comunicação, e em que prazo. Se esse procedimento existe e está documentado por escrito, esta é uma resposta afirmativa com o documento como prova. Se não existe, ou existe apenas nas cabeças das pessoas, então "não" é a resposta honesta — um "sim" parcial sem um documento subjacente causa mais danos numa auditoria do que um não com uma explicação de que está em desenvolvimento.

Atenção à diferença em relação à pergunta sobre deteção e descoberta: um plano de resposta a incidentes diz respeito ao que acontece depois de algo ser identificado, não a como as vulnerabilidades são encontradas — isto último faz parte de o processo de deteção e correção de vulnerabilidades. Algumas listas de questões fazem esta pergunta em separado, outras combinam-na com continuidade ("como recupera o seu serviço"), que é outro assunto e respondido através de a pergunta sobre cópias de segurança e medidas de emergência. É portanto importante manter no dossiê da cadeia a resposta a incidentes e a continuidade como um documento separado, mesmo que na prática estejam num único documento.

Onde consta na directiva e na norma

O artigo 21.º, n.º 2, alínea b) da Diretiva (UE) 2022/2555 menciona "incident handling" literalmente como medida obrigatória além das outras nove desse número. Na ISO/IEC 27001 isto volta a aparecer no Anexo A, nas medidas de controlo sobre gestão de incidentes de segurança da informação — quem já está certificado de acordo com ISO 27001 presumivelmente já tem esta prova disponível. A Lei de Segurança Cibernética implementa o artigo 21 em regras holandesas, mas entra em vigor apenas em 15 de agosto de 2026; até essa data, a diretiva em si é o referencial a observar para quem tem de avaliar se isto já está em ordem.