A conformidade não se declara. Prova-se.
O Provanis2 recolhe a prova técnica dos seus sistemas, liga-a aos controlos do QNRCS e guarda-a à prova de adulteração, com carimbo temporal externo. Quando o CNCS perguntar, a resposta é a prova, não uma folha de cálculo.
Primeiro prazo com data: a lista de ativos publicamente acessíveis, até 31 de janeiro de 2027 para quem foi qualificado em 2026, ou seis meses após a notificação da qualificação, o que ocorrer primeiro (artigo 32.º do Regulamento n.º 756/2026).
As redes e os sistemas de informação estão sob monitorização para detetar potenciais incidentes.
- OrigemWazuh · agent-07 · rule 5710 (sshd)
- Recolhido2026-09-14 04:12:07 WEST
- Impressão digitalsha256:c25d3e294b468337007db161f12b46442bb7c0202c518d3f3b71e1a301279c03
- RetençãoSelado, encadeado por hash, ancorado em carimbo temporal
Cada afirmação de conformidade liga ao artefacto que a sustenta. Um auditor clica e vê o registo original.
Uma certificação dá presunção. A prova mantém-a.
Não há um «selo NIS2». Há a presunção de cumprimento que o artigo 27.º do Regulamento n.º 756/2026 reconhece a quem apresente certificação acreditada — EC QNRCS, ou ISO/IEC 27001 com âmbito integral — e há a prova diária que a sustenta.
O RJC é um regime de supervisão. O CNCS qualifica a entidade, atribui-lhe um nível de conformidade a partir do setor, da dimensão e da matriz de risco do Anexo II, e depois supervisiona. Quem atesta é a entidade, através do seu responsável de cibersegurança.
O Provanis2 não assina por si. Reúne a prova, liga-a a cada controlo e mantém o rasto íntegro, para que a assinatura de quem atesta seja defensável perante um inspetor.
O que o Provanis2 faz
Não substitui o seu SOC nem a sua consultora. Trata da camada que ninguém trata: a prova.
Registo de prova
Um registo acrescentável e encadeado por hash, com carimbo temporal externo. Nada se apaga; o que muda fica registado. É isto que torna a prova credível dois anos depois.
Mapeamento de controlos
Liga o que os seus sistemas já produzem aos controlos do QNRCS aplicáveis ao seu nível. Um alerta de integridade de ficheiros não diz qual o controlo que evidencia. Aqui, diz.
Relógios de incidente
Os quatro relógios do RJC: alerta inicial 24 horas após a verificação do incidente, atualização às 72 horas, notificação de fim de impacto, e relatório final 30 dias úteis após essa notificação. Rascunhos em português pela ordem dos artigos 42.º a 44.º. Envia sempre uma pessoa.
Inventário e lista de ativos
Inventário de ativos a partir do GLPI e do Wazuh, a lista de ativos publicamente acessíveis nos nove campos do artigo 32.º, pronta a entregar, e a posição de conformidade controlo a controlo: o que está evidenciado, o que falta, até quando.
Cadeia de fornecimento
A avaliação anual dos fornecedores (GR.CA-7, nível básico) regista-se como qualquer outra prova documental. Registo de fornecedores e questionários: em desenvolvimento.
O SOC deteta. A prova é outra camada.
Um SOC gerido, um EDR ou um pacote de segurança de operador respondem a uma pergunta: está a acontecer alguma coisa agora? O supervisor faz outra: mostre que este controlo estava em vigor em março, e prove-o. São artefactos diferentes, e é do segundo que quase ninguém trata.
O que a monitorização lhe dá
Vigilância contínua e reação. É indispensável, e é onde já está a maior parte do orçamento de segurança.
- Deteção e resposta em endpoints e na rede
- Alguém a olhar para alertas fora de horas
- Aviso quando alguma coisa acontece
O que o supervisor pede
Prova datada, ligada ao controlo, e que continua íntegra muito depois de o alerta ter passado.
- Que controlo do QNRCS é que este alerta evidencia
- Prova de que a medida estava em vigor na data em causa
- Um rasto que ainda verifica dois anos depois
O Provanis2 assenta sobre o que já tem. Consome a telemetria que o seu SOC, o seu MSSP ou o seu operador já produzem — Wazuh, GLPI ou equivalente — e transforma-a em prova ligada a controlos. Não substitui a monitorização nem pretende substituí-la.
NIS2, RJC e QNRCS não são a mesma coisa
A NIS2 é a diretiva europeia e diz o que tem de alcançar. O RJC (Decreto-Lei n.º 125/2025) é a transposição portuguesa e diz quem está abrangido. O QNRCS é o referencial do CNCS e diz quais os controlos concretos, organizados em seis funções.
- Gerir
- Identificar
- Proteger
- Detetar
- Responder
- Recuperar
O nível é atribuído pelo CNCS na plataforma MyCiber, a partir do setor, da dimensão e da matriz de risco do Anexo II. O trabalho começa depois disso, e é aí que o Provanis2 entra.
Onde estamos no calendário
Prazos do Regime Jurídico da Cibersegurança para entidades já em atividade.
- 2026-04-03RJC entra em vigorDecreto-Lei n.º 125/2025 entra em vigor, 120 dias após a publicação.
- 2026-06-23MyCiber abreRegulamento n.º 756/2026 operacionaliza o registo e o QNRCS.
- 2026-09-15Prazo de autoidentificaçãoJanela de 60 dias úteis encerrada. Quem não registou continua abrangido; o CNCS diz que a obrigação de registo não se extingue com o prazo.
- 2027-01-31Lista de ativos publicamente acessíveisAté 31 de janeiro de 2027 para quem foi qualificado em 2026, ou seis meses após a notificação de qualificação, o que ocorrer primeiro (artigo 32.º, n.º 3).
- 2028-06-22Medidas mínimas e relatório anualFim da janela de 24 meses contada da publicação do Regulamento n.º 756/2026 (artigo 10.º, n.º 2 do Decreto-Lei n.º 125/2025). As medidas mínimas e as respetivas coimas produzem efeitos; as entidades essenciais passam a entregar o relatório anual até ao último dia útil de janeiro (artigo 13.º do Regulamento n.º 756/2026).
Os seus dados em bruto não saem de sua casa
Concentrar os artefactos em bruto e as vulnerabilidades de centenas de entidades numa só base de dados cria um alvo de dimensão nacional. Por isso não o fazemos: esses ficam na sua infraestrutura.
Fica consigo
Os coletores correm dentro da sua infraestrutura e os artefactos originais nunca a deixam.
- Registos, alertas e ficheiros de configuração
- Resultados de análises e os documentos originais
- Nenhum modelo de IA toca nos seus dados: a política por defeito é «nenhum»
Vem para nós
Apenas o que é necessário para manter a posição de conformidade.
- Achados normalizados e mapeamentos de controlo
- Impressões digitais criptográficas dos artefactos, não o seu conteúdo
- O inventário de ativos tal como os coletores o reportam, com responsável, endereços IP e números de série pseudonimizados à entrada
- A lista de ativos publicamente acessíveis do artigo 32.º, que uma pessoa preenche no painel: IP e FQDN em claro, informação classificada de grau reservado, guardada na base de dados do plano de controlo em servidores na União Europeia, com acesso limitado por papel no painel e cada exportação registada na cadeia de auditoria
- Alojamento na União Europeia, instância dedicada
Para quem é
Responsável de Cibersegurança
Quem assina. Precisa de chegar à assinatura com a prova reunida e não com uma folha de cálculo.
Gerência e administração
Responde pessoalmente ao abrigo do RJC. Precisa de uma página que diga onde está a entidade, o que falta e qual é o próximo prazo.
Direção de sistemas
Já corre Wazuh, GLPI ou equivalente. Aqui essa telemetria passa a valer como prova.
Ponto de contacto permanente
Quem atende quando algo acontece às três da manhã. Os relógios e os rascunhos já estão prontos.
Consultoras e MSSP
Hoje, uma conta por entidade acompanhada. Consola multicliente: em desenvolvimento.
Fornecedores sob pressão
Recebeu um questionário de segurança de um cliente abrangido. Responde-o com a prova registada: exporta-se e junta-se à resposta. O questionário em si, hoje, preenche-o a sua equipa.
Relatório de lacunas QNRCS
Para quem já fez a avaliação gratuita e quer um documento que possa pôr em cima da mesa da gerência.
O que recebe: a sua posição, medida a medida, no nível que lhe foi atribuído, com o critério de verificação de cada uma; o que já está evidenciado e o que falta; e um plano de melhoria por ordem das funções do QNRCS, pronto para o responsável de cibersegurança assinar.
Como funciona: envia-nos as respostas da avaliação e a notificação de qualificação; marcamos uma sessão remota de duas a quatro horas; entregamos o relatório em PDF e, se quiser, carregamo-lo como primeira prova no Provanis2.
De 349 € (nível básico) a 899 € (nível elevado), mais IVA.
O relatório é uma posição, não uma auditoria nem uma qualificação. Quem atesta é a entidade.
Comece por saber onde está
A avaliação é gratuita, corre no seu navegador e não pede email. Ajuda a perceber se está abrangido e com que categoria, aplica a regra de agregação de empresas ligadas e devolve a lacuna por função do QNRCS para o nível que indicar. Não calcula o seu nível: isso é o CNCS que faz.