Formulário NIS2 Readiness Check

1. Os Órgãos de Direção participam ativamente, controlam, monitorizam e aprovam políticas e processos de tecnologia da informação e comunicação?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

2. Os Órgãos de Direcção participam periodicamente de formações de segurança da informação, cibersegurança, principais ameaças e riscos de TIC, entre outros?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

3. A organização possui Política e Processos de Segurança da Informação e Cibersegurança?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

4. A organização possui um Responsável Dedicado (CISO) ou um Comité de Segurança da Informação e Cibersegurança?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

5. A organização realiza a Revisão Periódica de Políticas, Processos e Procedimentos de TIC?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

6. A organização realiza Avaliações Independentes (Auditorias Externas) com foco em Identificar Melhorias nas Políticas, Processos e Procedimentos de TIC?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

7. A organização possui indicadores chaves de desempenho (KPI's) que são reportados para os Órgãos de Direção de forma periódica e com foco em melhoria contínua do ecossistema de TIC?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

8. A organização já possui certificações na área da Segurança ou Cibersegurança (p.ex. ISO27001, ISO22301, Selo Digital, QNRCS, etc.)?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

9. A organização possui Política e Processos de Gestão de Ativos Tecnológicos?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

10. A organização possui Política e Processos de Gestão de Entidades e Acessos Físicos, Lógicos e Remotos e Teletrabalho?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

11. A organização possui Política e Processos de Segurança das Comunicações?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

12. A organização possui Procedimentos de Autenticação Multifator (2FA, MFA) para colaboradores e fornecedores de TIC?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

13. A organização possui Política e Processos de Gestão de Riscos de TIC?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

14. A organização possui Quadro de Gestão de Riscos de TIC?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

15. A organização possui Política e Processos de Gestão de Vulnerabilidades Tecnológicas?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

16. A organização possui Política e Processos de Configuração Segura de TIC?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

17. A organização possui Política e Processos de Gestão de Criptografia e Gestão de Passwords?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

18. A organização possui Política e Processos de Privacidade de Dados?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

19. A organização possui Política e Processos de Classificação de Informação?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

20. A organização possui Política e Processos de Transferência de Informação?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

21. A organização possui Procedimentos e Controlos de Formação e Consciencialização para os colaboradores e fornecedores de TIC?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

22. A organização possui Política e Processos de Recursos Humanos?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

23. A organização possui Polítca e Procedimentos Desenvolvimento Seguro e Gestão de Alterações?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

24. A organização possui Polítca e Procedimentos de Uso Aceitável e Tomada de Conhecimento de Utilizadores?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

25. A organização possui Mecanismos que detetam, notificam e registam atividades suspeitas, anómalas, falhas e erros relacionado com as redes, dispositivos e sistemas críticos de TIC?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

26. A organização possui Política e Processos de Gestão de Incidentes de Segurança da Informação e Cibersegurança?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

27. A organização possui Procedimentos Definidos para Comunicar Incidentes Críticos de Segurança da Informação e Cibersegurança?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

28. A organização possui Processos e Procedimentos de Registo de Lições Aprendidas?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

29. A organização possui Política e Processos de Gestão de Mudanças de TIC?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

30. A organização participa (ou tem planos para participar) em mecanismos de partilha de informações sobre ciberameaças e vulnerabilidades de TIC?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

31. A organização possui Política e Processos de Gestão de Continuidade de Negócios?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

32. A organização possui Política e Processos de Gestão de Backup?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

33. A organização realiza Testes de Penetração (Pentest) nos Sistemas e/ou Aplicações Críticos de TIC?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

34. A organização realiza de forma periódica testes de resiliência operacioal de TIC?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

35. A organização possui Política e Processos de Gestão de Fornecedores e Prestadores de Serviços Tecnológicos?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

36. São realizadas avaliações de risco de segurança aos prestadores de serviços de TIC/fornecedores críticos antes da contratação e de forma periódica?

• Não implementado (Nenhum controlo ou processo implementado)
• Parcialmente implementado (Implementação documentada, mas não totalmente consistente)
• Totalmente implementado  (Implementação totalmente documentada, integrada, automatizada e continuamente melhorada)

Para mais informações sobre o tratamento de dados pessoais, consulte a Política de Proteção de Dados Pessoais da MEO.

• Li e aceito a Política de Privacidade.
• Autorizo o tratamento dos meus dados pessoais para as finalidades acima indicadas.