Existe um procedimento para o tratamento de incidentes de segurança?

O tratamento de incidentes é uma das dez medidas obrigatórias

Sim, e essa pergunta testa especificamente a segunda das dez medidas do artigo 21.º, n.º 2 da NIS2: "tratamento de incidentes" aparece literalmente ao lado da análise de risco como categoria própria. Quem recebe essa pergunta não deve apenas dizer que existe um procedimento, mas também demonstrar o que contém: como um incidente é comunicado, quem o trata, quais são os passos tomados e como é registado o que aconteceu. Um procedimento sem responsável ou sem passos documentados não convence um auditor, mesmo que o documento exista.

A prova concreta é geralmente uma descrição de procedimento ou runbook, que inclua classificação de incidentes (gravidade, impacto), um ponto de comunicação ou pessoa de contacto, e uma etapa de avaliação após conclusão. Essa avaliação não é decorativa: sem uma forma estabelecida de registar e conservar eventos nos sistemas, não há base para reconstruir um incidente ou provar que foi tratado. Se o procedimento ainda não existe, então "não, em desenvolvimento" é uma resposta mais honesta do que inventar um procedimento que não está lá — a lista de questões pergunta pelo que existe, não por uma intenção.

Como isto se relaciona com a continuidade e análise de risco

O artigo 21.º, n.º 2 menciona as dez medidas como um todo, e o tratamento de incidentes não está isolado do resto. Um incidente que afete a prestação de serviços frequentemente ativa o ponto relativo a cópias de segurança e uma medida de contingência para restaurar a prestação de serviços; um procedimento de tratamento de incidentes que não refira o plano de recuperação está incompleto. Além disso, o tratamento de incidentes é a peça final de política de análise de risco e segurança dos sistemas de informação: a análise de risco prevê o que pode correr mal, o tratamento de incidentes regula o que acontece se correr mal de qualquer forma. Um cliente que pergunta pelo procedimento está assim implicitamente a verificar se esses dois aspectos se complementam.