Formação NIS2: três cursos, para colaboradores, gestão e equipas técnicas.

O que exige a lei portuguesa em formação?

O Decreto-Lei n.º 125/2025, de 4 de Dezembro, transpõe a Directiva (UE) 2022/2555, conhecida como NIS2, e aprova em anexo o regime jurídico da cibersegurança. Entrou em vigor 120 dias depois da publicação (artigo 11.º). A formação aparece em dois artigos do regime.

«Asseguram a realização, com uma periodicidade regular, de ações de formação em cibersegurança, de forma a promover uma cultura de gestão interna sobre práticas de gestão dos riscos de cibersegurança.»

«Práticas básicas de ciber-higiene e formação em cibersegurança, incluindo os titulares de órgãos máximos de gestão e trabalhadores»

Os titulares dos órgãos de gestão, direcção e administração podem responder por acção ou omissão, com dolo ou culpa grave, pelas infracções previstas (artigo 25.º, n.º 2). Estas obrigações só podem ser delegadas num dos titulares desses órgãos (artigo 25.º, n.º 3).

Atenção às datas: os n.os 1 e 2 do artigo 27.º só produzem efeitos 24 meses depois de publicada a regulamentação prevista no regime (artigo 10.º, n.º 2, do decreto-lei). O artigo 25.º não está nessa lista.

Na própria Directiva NIS2, o artigo 20.º, n.º 2, manda os Estados-Membros garantir que os membros do órgão de direcção frequentam acções de formação e incentivar as entidades a oferecer regularmente formação semelhante aos trabalhadores. Se não sabe se a sua organização é uma entidade essencial ou importante, confirme junto do Centro Nacional de Cibersegurança.

Porque uma sessão por ano não chega

Uma sessão anual cumpre o calendário, mas o que lá se ouve perde-se depressa se não voltar a ser usado, como mostra a curva do esquecimento. E um ataque de phishing chega num dia qualquer, não no dia da formação.

O MicroPlay faz o contrário: poucas perguntas, muitas vezes, durante semanas. Cada pessoa treina o que está a esquecer, e o grupo fica com hábitos e não só com uma presença registada. É o princípio do micro-learning e da repetição espaçada.

Três cursos NIS2, um para cada função que a lei distingue

A lei portuguesa não pede a mesma formação a todos. Pede sensibilização periódica a todo o pessoal, formação periódica aos membros dos órgãos de gestão e formação adequada a quem tem funções especializadas em cibersegurança. O MicroPlay tem um curso para cada um destes públicos, escrito a partir do Decreto-Lei n.º 125/2025 e do Regulamento n.º 756/2026 do Centro Nacional de Cibersegurança, com cenários portugueses e o tratamento por você.

NIS2 para todos: cibersegurança no dia-a-dia

150 perguntas em 9 níveis, com 140 imagens de situações reais em Portugal. Exemplos de temas:

• reconhecer phishing e engenharia social por email, SMS, mensagem, chamada, código QR e páginas falsas;
• proteger as credenciais: não partilhar contas, defender a autenticação multifactor e bloquear o ecrã;
• decidir bem com dispositivos e redes fora do escritório: pens desconhecidas, redes abertas, perda ou roubo;
• tratar dados pessoais com sigilo e usar só os canais da organização;
• reportar um incidente ao canal interno sem apagar provas e sem o divulgar.

Para o phishing, o jogo tem também perguntas de texto tocável: mostra um email ou uma SMS e pede para tocar no pormenor que denuncia a burla, como o domínio falso ou o prazo apertado. Depois marca o trecho certo e explica porquê.

NIS2 para a gestão

100 perguntas em 8 níveis, com cenários de decisão de administração em Portugal. Exemplos de temas:

• o que o artigo 25.º pede aos órgãos de gestão e porque não se delega na informática;
• risco, níveis de conformidade e as medidas que a gestão aprova e supervisiona;
• fornecedores, continuidade e gestão de crise;
• decidir num incidente significativo: 24 horas, comunicação a clientes e às autoridades;
• fraude do CEO, ransomware e pedidos de resgate dirigidos à administração;
• supervisão, coimas e responsabilidade dos titulares.

NIS2 para responsáveis e TI

100 perguntas em 8 níveis, com cenários técnicos e de notificação. Exemplos de temas:

• funções do responsável de cibersegurança e do ponto de contacto permanente;
• notificação inicial, actualização, fim de impacto e relatório final;
• autenticação multifactor, menor privilégio, cópias de segurança e registos;
• gestão de vulnerabilidades e da cadeia de fornecimento;
• provas para a auditoria e para a autoridade.

«A entidade deve garantir que o pessoal é sensibilizado em matéria de cibersegurança e que os mesmos participam em ações de sensibilização periodicamente.»

O relatório do MicroPlay mostra quem jogou, quando e o que reteve em cada tema. Serve de registo documentado da participação que os controlos PR.FC-1 e PR.FC-2 pedem, e os dados de retenção podem alimentar os indicadores de eficácia que o nível elevado do PR.FC-1 exige. Nenhum curso substitui as outras medidas da lei: a formação é uma das áreas, não a única.

Quanto às datas: o regulamento produz efeitos sem prejuízo do diferimento de 24 meses do artigo 10.º, n.º 2, do decreto-lei (artigo 35.º, n.º 1, do regulamento), e os controlos do anexo III concretizam as medidas do artigo 27.º. O dever dos órgãos de gestão de assegurar formação regular (artigo 25.º) não está nesse diferimento.

Os cursos também existem para Angola, adaptados à Lei n.º 9/26: veja a página de formação em cibersegurança em Angola.

O que mostra o relatório do formador

Cada equipa, departamento ou local entra com o seu código e passa a ser uma turma. O formador vê os resultados de todos ou de uma turma, e exporta um relatório Excel com:

• participação: inscritos, activos nos últimos 7 e 30 dias e quem nunca jogou;
• acerto e retenção média do grupo, e o progresso por nível;
• horas de treino;
• por pessoa: jogadas, respostas, acerto, tempo médio por resposta e perguntas dominadas;
• as perguntas mais difíceis e a resposta errada mais escolhida em cada uma, que mostram onde reforçar;
• uma capa com os indicadores, conclusões e um gráfico, e uma folha que explica como ler o relatório.

O relatório ajuda a documentar que a formação está a acontecer e onde há lacunas. Não substitui o registo de formação da organização.

Como funciona no dia-a-dia

Cada jogo tem a marca da organização (logótipo, cores, tipo de letra) e trata as pessoas por tu ou por você. As perguntas podem ser geradas com inteligência artificial a partir de texto, PDF, documentos, páginas de um site ou digitalizações, ou importadas de um modelo Excel, mas são sempre revistas por pessoas antes de entrarem no jogo. Veja como funciona em detalhe.

Perguntas frequentes