A NIS2 n\u00e3o dedica nenhum artigo espec\u00edfico ao SaaS, mas as suas exig\u00eancias sobre ativos, acessos e fornecedores abrangem em cheio estas ferramentas.<\/p>\n
Neste artigo vais ver o que a normativa exige sobre as ferramentas que a tua equipa usa<\/strong>, porque \u00e9 que o shadow IT \u00e9 um dos riscos mais dif\u00edceis de detetar e como manter o controlo sem depender de uma folha de c\u00e1lculo.<\/p>\n Sim. A NIS2<\/a> obriga as entidades essenciais e importantes<\/a> a gerir os riscos que afetam as suas redes e sistemas de informa\u00e7\u00e3o<\/strong>. E isso inclui qualquer aplica\u00e7\u00e3o que trate dados da empresa ou suporte uma opera\u00e7\u00e3o, mesmo que esteja alojada na cloud de terceiros.<\/p>\n O n.\u00ba 2 do artigo 21.\u00ba da Diretiva (UE) 2022\/2555<\/strong>, transposta em Portugal pelo Decreto-Lei n.\u00ba 125\/2025, define as medidas m\u00ednimas de gest\u00e3o de riscos, e v\u00e1rias apontam diretamente ao SaaS. A gest\u00e3o de ativos, o controlo de acessos, a seguran\u00e7a da cadeia de abastecimento ou a seguran\u00e7a na aquisi\u00e7\u00e3o de sistemas aplicam-se da mesma forma a um servidor pr\u00f3prio e a uma subscri\u00e7\u00e3o mensal.<\/p>\n N\u00e3o, e \u00e9 uma das confus\u00f5es mais comuns. A diretiva inclui os prestadores de servi\u00e7os de computa\u00e7\u00e3o em nuvem entre os setores que regula, pelo que muitas empresas SaaS t\u00eam as suas pr\u00f3prias obriga\u00e7\u00f5es<\/strong>. Mas o facto de o teu fornecedor cumprir s\u00f3 resolve a parte dele.<\/p>\n O fornecedor responde pela seguran\u00e7a da plataforma, da infraestrutura e pela disponibilidade do servi\u00e7o. A tua empresa continua a responder por tudo o que acontece dentro da sua conta:<\/p>\n Nenhum fornecedor consegue saber que um colaborador saiu ontem da tua empresa. Essa informa\u00e7\u00e3o est\u00e1 na tua equipa de RH, e agir sobre ela \u00e9 responsabilidade tua. O cumprimento do fornecedor \u00e9 um dado valioso para o avaliares, mas n\u00e3o substitui os teus pr\u00f3prios controlos.<\/p>\n A NIS2 n\u00e3o imp\u00f5e ferramentas concretas nem d\u00e1 uma lista de aplica\u00e7\u00f5es permitidas. Mas, transposto para o SaaS, o que exige resume-se a tr\u00eas obriga\u00e7\u00f5es muito concretas:<\/p>\n A al\u00ednea i) do n.\u00ba 2 do artigo 21.\u00ba<\/strong> fala de gest\u00e3o de ativos e pol\u00edticas de controlo de acessos<\/strong>. No caso do SaaS, isso significa saber que aplica\u00e7\u00f5es se usam na empresa, quem acede a cada uma e com que n\u00edvel de permiss\u00f5es. N\u00e3o \u00e9 poss\u00edvel controlar o acesso a uma ferramenta que n\u00e3o est\u00e1 registada em lado nenhum.<\/p>\n Por isso, as ferramentas SaaS devem fazer parte do invent\u00e1rio de ativos<\/a> tal como o hardware. Para cada uma, conv\u00e9m registar pelo menos estes dados:<\/p>\n O controlo de acessos n\u00e3o termina quando se d\u00e1 acesso \u00e0 pessoa certa. O princ\u00edpio do privil\u00e9gio m\u00ednimo exige que cada utilizador tenha apenas as permiss\u00f5es de que precisa<\/strong>, o que obriga a rev\u00ea-las de tempos a tempos. As permiss\u00f5es v\u00e3o-se acumulando com as mudan\u00e7as de fun\u00e7\u00f5es e quase nunca desaparecem sozinhas.<\/p>\n A al\u00ednea d)<\/strong> do mesmo n\u00famero exige gerir a seguran\u00e7a da cadeia de abastecimento<\/strong>, e o n.\u00ba 3 do artigo 21.\u00ba<\/strong> acrescenta que \u00e9 preciso ter em conta as vulnerabilidades espec\u00edficas de cada fornecedor e a qualidade das suas pr\u00e1ticas de ciberseguran\u00e7a<\/strong>. Para efeitos da NIS2, cada ferramenta SaaS com acesso aos teus dados \u00e9 um fornecedor que tem de ser avaliado.<\/p>\n N\u00e3o \u00e9 preciso auditar a fundo cada aplica\u00e7\u00e3o. O mais sensato \u00e9 priorizar por criticidade e focar nas ferramentas que tratam dados sens\u00edveis ou suportam opera\u00e7\u00f5es-chave. Nessas, conv\u00e9m verificar se t\u00eam certifica\u00e7\u00f5es como a ISO 27001<\/a> ou o SOC 2, onde alojam os dados, como e em que prazo notificam os incidentes e que cl\u00e1usulas de seguran\u00e7a constam do contrato.<\/p>\n A isto soma-se a al\u00ednea e)<\/strong>, que exige seguran\u00e7a na aquisi\u00e7\u00e3o de sistemas<\/strong>. Na pr\u00e1tica, as novas ferramentas deviam passar por um filtro m\u00ednimo antes de serem contratadas, e n\u00e3o depois de meia equipa j\u00e1 as estar a usar.<\/p>\n A al\u00ednea i)<\/strong> refere tamb\u00e9m a seguran\u00e7a dos recursos humanos<\/strong>, e poucas situa\u00e7\u00f5es a p\u00f5em tanto \u00e0 prova como uma sa\u00edda. Cada conta que continua ativa depois de um colaborador sair \u00e9 uma porta aberta para os dados da empresa.<\/p>\n O problema \u00e9 que desativar o e-mail corporativo n\u00e3o chega. Muitas aplica\u00e7\u00f5es t\u00eam o seu pr\u00f3prio utilizador e palavra-passe, ou mant\u00eam a sess\u00e3o aberta, e continuam a funcionar mesmo com a conta principal bloqueada. Se ningu\u00e9m sabe que ferramentas essa pessoa usava, ningu\u00e9m sabe que acessos ficam por fechar.<\/p>\n Al\u00e9m de revogar, \u00e9 preciso conseguir demonstr\u00e1-lo. Numa auditoria NIS2<\/a> n\u00e3o basta dizer que as sa\u00eddas s\u00e3o bem geridas. \u00c9 preciso um registo com a data em que cada acesso foi retirado.<\/p>\n O shadow IT s\u00e3o as aplica\u00e7\u00f5es usadas na empresa sem que a equipa de IT saiba ou as tenha aprovado<\/strong>. Uma ferramenta de design paga com o cart\u00e3o da empresa, uma vers\u00e3o de teste gratuita que ficou esquecida, uma app em que algu\u00e9m se registou com a conta Google corporativa, uma extens\u00e3o do browser com permiss\u00f5es para ler o e-mail.<\/p>\n Quase nunca h\u00e1 m\u00e1 inten\u00e7\u00e3o por tr\u00e1s. Uma equipa precisa de resolver algo depressa e encontra a ferramenta que o resolve. Mas, do ponto de vista da NIS2, o efeito \u00e9 o mesmo. Uma ferramenta que n\u00e3o est\u00e1 inventariada n\u00e3o tem respons\u00e1vel, n\u00e3o \u00e9 avaliada, ningu\u00e9m rev\u00ea os seus acessos e ningu\u00e9m a fecha quando algu\u00e9m sai. Todas as obriga\u00e7\u00f5es que viste antes falham ao mesmo tempo.<\/p>\n O shadow IT tamb\u00e9m complica a resposta a incidentes. Se houver uma fuga de dados, a primeira coisa a saber \u00e9 onde estavam os dados. E com ferramentas fora do radar, essa pergunta n\u00e3o tem resposta r\u00e1pida.<\/p>\n Para come\u00e7ar a traz\u00ea-lo \u00e0 luz, estas fontes costumam dar muita informa\u00e7\u00e3o:<\/p>\n P\u00f4r ordem no SaaS \u00e9 mais uma quest\u00e3o de m\u00e9todo do que de grandes projetos. Com estes passos, podes passar de n\u00e3o saber que ferramentas se usam para ter um sistema que se mant\u00e9m praticamente sozinho.<\/p>\n Se a tua empresa j\u00e1 trabalha com a ISO 27001, boa parte deste m\u00e9todo encaixa em controlos que j\u00e1 tens implementados. O que a NIS2 te pede, sobretudo, \u00e9 que consigas demonstrar que funcionam.<\/p>\n O Factorial IT<\/a> liga a gest\u00e3o das apps SaaS aos dados de RH, que \u00e9 precisamente onde o controlo de acessos costuma falhar. Quando algu\u00e9m entra, muda de fun\u00e7\u00f5es ou sai da empresa, os seus acessos ajustam-se automaticamente, sem depender de tickets nem de listas manuais.<\/p>\n Com a gest\u00e3o de SaaS do Factorial IT podes:<\/p>\n Tudo isto faz parte de um invent\u00e1rio unificado em que cada dispositivo, app e licen\u00e7a est\u00e1 associado ao respetivo colaborador<\/strong>, para que a fotografia dos teus ativos esteja sempre atualizada.<\/p>\n Conv\u00e9m ser claro quanto ao alcance. O Factorial IT resolve o invent\u00e1rio de apps, o controlo de acessos e a sua rastreabilidade, mas n\u00e3o substitui a avalia\u00e7\u00e3o contratual dos teus fornecedores nem a an\u00e1lise de riscos, que continuam a precisar de outras pe\u00e7as. Se quiseres ver o encaixe completo, podes ler o artigo sobre como o Factorial IT ajuda a cumprir a NIS2<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"A NIS2 aplica-se \u00e0s ferramentas SaaS que a tua empresa usa?<\/h2>\n
Se o teu fornecedor cumpre a NIS2, a tua empresa tamb\u00e9m cumpre?<\/h3>\n
\n
O que exige a NIS2 sobre as ferramentas SaaS?<\/h2>\n
1. Invent\u00e1rio de apps e controlo de acessos<\/h3>\n
\n
2. Avalia\u00e7\u00e3o dos fornecedores SaaS<\/h3>\n
3. Revoga\u00e7\u00e3o de acessos quando um colaborador sai da empresa<\/h3>\n
O risco do shadow IT<\/h2>\n
\n
Como controlar as apps SaaS da tua empresa para cumprir a NIS2?<\/h2>\n
\n
Como \u00e9 que o Factorial IT te ajuda?<\/h2>\n
\n
![\"gest\u00e3o](\"https:\/\/factorialhr.com\/wp-content\/uploads\/2026\/09\/14121115\/gestion-accesos-factorial-it-1024x499.png\")
<\/p>\n\n
![\"vis\u00e3o](\"https:\/\/factorialhr.com\/wp-content\/uploads\/2026\/09\/14122024\/compliance-overview-factorial-it-1024x498.png\")
<\/p>\n\n