O que há de novo.

A sua organização pode agora registar quais de entre a NIS2, o RGPD, o AI Act e o Cyber Resilience Act se lhe aplicam, com as pessoas designadas para cada um. Cada incidente abre uma linha por regime aplicável, onde a pessoa designada confirma, com a base legal ao lado, se o regime se aplica, e cada submissão é preparada na estrutura do próprio formulário da autoridade, com lembretes antes de cada prazo: NIS2 (artigo 23.º) através do Decreto-Lei n.º 125/2025, RGPD (artigos 33.º e 34.º), AI Act (artigo 73.º) e Cyber Resilience Act (Regulamento (UE) 2024/2847, artigo 14.º). Os prazos de comunicação do DORA e do Customer Security Programme da Swift são também acompanhados. O desempenho é medido face às metas da organização, e uma violação de dados pessoais é registada uma única vez, para os incidentes e para a privacidade. Alinhado com os controlos A.5.5 (Contacto com as autoridades), A.5.26 e A.5.31 da ISO/IEC 27001.

Cada mudança tem agora um revisor de segurança independente e segue o circuito adequado: decisão do comité consultivo de mudanças, mudança standard pré-aprovada, mudança de baixo risco decidida pelo seu responsável, ou circuito de emergência acelerado ratificado depois. Uma revisão pós-implementação estruturada fecha o ciclo com ações corretivas atribuídas, os riscos e oportunidades podem ser registados diretamente a partir de uma mudança, e a aprovação e a aceitação formais de um cliente ficam guardadas com as respetivas evidências. Alinhado com o controlo A.8.32 da ISO/IEC 27001 (Gestão de mudanças).

Um registo central mostra agora quem tem acesso a que sistema, com que nível, desde a atribuição até à revogação, tanto para aplicações como para edifícios e salas. Os acessos são pedidos e aprovados na plataforma, as entradas, mudanças de função e saídas determinam o que é atribuído e retirado, e as campanhas de certificação pedem aos revisores certos que confirmem o que ainda é necessário, terminando com um conjunto de evidências pronto para auditoria. As listas de contas exportadas de cada sistema podem ser importadas para reconciliar o registo. Apoia as medidas de controlo de acessos da NIS2 (artigo 21.º, n.º 2, alínea i)). Alinhado com os controlos A.5.15, A.5.16, A.5.18, A.7.2 e A.8.2 da ISO/IEC 27001.

Cada política e procedimento guarda agora todas as suas versões. Uma nova versão passa por revisão e aprovação antes de substituir a que está em vigor, os revisores e aprovadores veem exatamente o que mudou, quaisquer duas versões podem ser comparadas e um documento que deixou de se aplicar é retirado mantendo o seu texto em registo. Alinhado com a cláusula 7.5 da ISO/IEC 27001 (Informação documentada) e com o controlo A.5.37 (Procedimentos operacionais documentados).

Qualquer pessoa da sua organização pode agora comunicar um evento de segurança, e a equipa de resposta transforma-o em incidente quando se justifica. Cada incidente guarda o seu ciclo de vida, as ações de resposta, as evidências com cadeia de custódia e os prazos de notificação às autoridades. Uma biblioteca de guias de resposta, um por tipo de incidente, transforma os passos aplicáveis em ações a atribuir e acompanhar. Apoia os deveres de notificação de incidentes da NIS2 (artigo 23.º) e do Decreto-Lei n.º 125/2025. Alinhado com os controlos A.5.24 a A.5.28 e A.6.8 (Comunicação de eventos de segurança da informação) da ISO/IEC 27001.

A sua organização pode agora planear cada auditoria com o seu âmbito, auditor líder e datas, e associar cada constatação à auditoria que a originou. As constatações são acompanhadas ao longo do tempo com notas datadas, mantendo sempre o prazo original, e podem ser promovidas ao registo de riscos ou de oportunidades quando precisam de tratamento. Alinhado com a cláusula 9.2 da ISO/IEC 27001 (Auditoria interna) e com o controlo A.5.35 (Revisão independente da segurança da informação).

A sua organização pode agora indicar à plataforma as normas que segue, e os menus e os requisitos ajustam-se para mostrar apenas o que é relevante. A gestão da qualidade segundo a ISO 9001 junta-se à ISO/IEC 27001, à Diretiva NIS2 (UE) 2022/2555 e à sua transposição portuguesa, o Decreto-Lei n.º 125/2025, pelo que o contexto, os objetivos, as auditorias internas e as ações de melhoria são reutilizados nas duas certificações em vez de serem mantidos duas vezes.

Os documentos controlados pelo seu SGSI estão agora reunidos num único registo, cada um com a sua versão, aprovador, data de aprovação e próxima revisão. Os documentos mantidos fora da plataforma podem ser acrescentados manualmente, e o registo completo pode ser exportado em PDF para os auditores. Alinhado com a cláusula 7.5 da ISO/IEC 27001 (Informação documentada).

Novo módulo de Privacidade & RGPD — uma área única para tudo o que o RGPD exige à sua organização: Avaliações de Impacto, Atividades de Tratamento, violações de dados pessoais e pedidos de titulares. Cada artefacto tem uma revisão estruturada que cobre âmbito, base legal, categorias de dados e salvaguardas, assinada pelos responsáveis. Concebido para demonstrar, em auditoria, que o conjunto das obrigações RGPD é gerido num único local, com um rasto imutável para a autoridade de controlo. Alinhado com ISO/IEC 27001 A.5.34 (Proteção da privacidade e PII), A.5.24 e A.5.26 (Gestão de incidentes de segurança da informação).

O módulo de Gestão de Projetos existente foi melhorado para suportar a segurança da informação ao longo do ciclo de vida do projeto, garantindo que os requisitos de segurança são identificados, avaliados, aprovados e monitorizados desde o início do projeto até à entrega. A melhoria introduz uma governance estruturada de segurança nos projetos, ajudando as organizações a demonstrar que a segurança da informação é integrada de forma consistente nas atividades e nos processos de decisão dos projetos. Foi desenhada para apoiar a conformidade com o controlo A.5.8 (Segurança da informação na gestão de projetos) da ISO/IEC 27001, suportando também práticas seguras de aplicação e desenvolvimento quando aplicável.

Novo módulo de Revisões de Desenvolvimento — um local dedicado ao registo da revisão de segurança de cada tarefa de desenvolvimento interno. Cada tarefa tem uma revisão estruturada que cobre desenvolvimento seguro, acessos e autorizações, registos e rastreabilidade, e testes, assinada pelos responsáveis. Concebido para demonstrar, em auditoria, que a postura de segurança de cada alteração ao código da equipa foi avaliada, aprovada e arquivada. Alinhado com ISO/IEC 27001 A.8.26 (Requisitos de segurança para aplicações) e A.8.28 (Desenvolvimento seguro).

Novo módulo de Revisões de Aplicação — um local dedicado ao registo da revisão de segurança de cada aplicação que a sua organização adquire ou opera. Cada aplicação tem uma revisão estruturada que cobre requisitos de segurança, acessos e dados, desenvolvimento seguro e operação, assinada pelos responsáveis. Concebido para demonstrar, em auditoria, que a postura de segurança de cada aplicação no seu âmbito foi avaliada, aprovada e arquivada. Alinhado com ISO/IEC 27001 A.8.26 (Requisitos de segurança para aplicações) e A.8.28 (Desenvolvimento seguro).

A sua organização pode agora adotar processos COBIT no seu ISMS. Uma nova área de Governance apresenta cada processo de ponta a ponta e exporta-o em PDF para um dossier de auditoria.

Está agora disponível um módulo dedicado de Procedimentos em paralelo com Políticas, partilhando a mesma experiência estruturada de redação mas com o seu próprio ciclo de vida — elaboração, aprovação, confirmação e lembretes — para que os procedimentos operacionais existam como documentos de primeira ordem em vez de anexos de políticas. Alinhado com o controlo A.5.37 (Procedimentos operacionais documentados) da ISO/IEC 27001.

Módulo dedicado ao ciclo de vida completo de contas privilegiadas — pedido, aprovação em vários passos, revisão periódica e revogação automática quando o acesso excede o período aprovado. Alinhado com os controlos A.5.18 (Direitos de acesso) e A.8.2 (Direitos de acesso privilegiado) da ISO/IEC 27001.

Cada release da Avaliação de Riscos e da Declaração de Aplicabilidade passa a ser registada como um snapshot imutável, encriptado em repouso e com verificação criptográfica de integridade. Suporta os controlos A.5.31 e A.8.34 da ISO/IEC 27001, fornecendo evidência inviolável da posição da organização em qualquer momento.

Análise de Impacto no Negócio alinhada com a ISO 22301 — catálogos configuráveis para processos, dependências e critérios de impacto; avaliações por ativo com registo de RTO e RPO; relatórios drill-down; e manual de utilizador integrado.

Autenticação multifator com Time-based One-Time Password (TOTP) através de aplicações autenticadoras móveis. Alinhada com o controlo A.8.5 (Autenticação segura) da ISO/IEC 27001.

Pedidos de direito ao apagamento (GDPR Art. 17 / Lei 58/2019) são geridos end-to-end — registo, rastreabilidade e resolução — através da anonimização dos dados pessoais e desativação permanente da conta, preservando o histórico de auditoria necessário para fins de prestação de contas.