Seis domínios regulatórios, um único sistema de conformidade
Tratar cada regime de forma isolada produz duplicação, contradições internas e custo desnecessário. O modelo que aplicamos identifica os instrumentos comuns aos vários regimes e constrói uma única infraestrutura de conformidade sobre a qual assentam todas as obrigações específicas.
Porque não faz sentido um projecto por regulamento
Uma organização abrangida simultaneamente pelo RGPD, pelo Regime Jurídico da Cibersegurança e pelo Regulamento da Inteligência Artificial tem de manter registos de actividades, inventários de sistemas, avaliações de risco, procedimentos de notificação de incidentes, políticas de conservação, programas de formação e mecanismos de supervisão. Se cada regime for tratado autonomamente, estes instrumentos multiplicam-se e divergem.
O resultado é conhecido: três inventários incompatíveis, dois procedimentos de notificação com prazos diferentes e nenhuma visão consolidada do risco. Quando a autoridade pergunta, a organização não sabe responder.
O modelo integrado inverte a lógica. Construímos primeiro a infraestrutura comum e depois acrescentamos as camadas específicas de cada regime.
Camada comum
Inventário único de activos, tratamentos e sistemas; matriz única de risco; procedimento único de gestão de incidentes com escalamento por regime; repositório único de evidência.
Camadas específicas
Obrigações próprias de cada regime, construídas por referência à camada comum: avaliações de impacto, documentação técnica, relatórios de transparência e comunicações às autoridades.
Âmbito de cada área e enquadramento principal
| Área | Instrumento principal | Autoridade de controlo | Estado |
|---|---|---|---|
| Proteção de Dados | Regulamento (UE) 2016/679; Lei n.º 58/2019, de 8 de agosto | Comissão Nacional de Proteção de Dados | Aplicável desde 2018 |
| Cibersegurança | Decreto-Lei n.º 125/2025, de 4 de dezembro (Diretiva NIS2) | Centro Nacional de Cibersegurança e autoridades sectoriais | Em vigor desde 3 de abril de 2026 |
| Inteligência Artificial | Regulamento (UE) 2024/1689 | ANACOM, em articulação com autoridades sectoriais | Aplicável quase integralmente desde 2 de agosto de 2026 |
| Serviços Digitais | Regulamento (UE) 2022/2065; Lei n.º 12-A/2026, de 15 de abril | ANACOM (coordenadora), ERC e CNPD | Aplicável desde 2024; execução nacional em 2026 |
| Dados e Cloud | Regulamento (UE) 2023/2854; Regulamento (UE) 2022/868 | Autoridades a designar e CNPD | Data Act aplicável desde 12 de setembro de 2025 |
| Identidade Digital | Regulamento (UE) 2024/1183 | Gabinete Nacional de Segurança e AMA | Em implementação progressiva |
Os oito instrumentos que servem todos os regimes
Inventário integrado
Registo único de activos de informação, tratamentos de dados pessoais, sistemas de IA e serviços digitais prestados, com atributos por regime.
Matriz de risco
Avaliação de risco com metodologia única, permitindo comparabilidade entre riscos de segurança, de privacidade e de conformidade.
Procedimento de incidentes
Um único fluxo de detecção, classificação e escalamento, com ramificação para os prazos legais aplicáveis a cada tipo de notificação.
Corpo de políticas
Conjunto coerente de políticas e procedimentos, com hierarquia definida, controlo de versões e ciclo de revisão.
Modelo de governação
Atribuição formal de funções e responsabilidades, incluindo as funções cuja designação é legalmente obrigatória.
Programa de capacitação
Plano anual de formação por função, com registo de participação e avaliação, satisfazendo os deveres de formação de vários regimes.
Dossier de prova
Repositório organizado da evidência de conformidade, estruturado para resposta a pedidos das autoridades e a auditorias.
Ciclo de revisão
Calendário de obrigações periódicas, auditorias internas e alerta regulatório, com reporte ao órgão de gestão.
Cada área tem página própria com obrigações detalhadas
Proteção de Dados e RGPD
Governo de dados pessoais, encarregado de proteção de dados, avaliações de impacto e resposta a violações.
Cibersegurança e NIS2
Regime Jurídico da Cibersegurança, medidas de gestão de risco e notificação de incidentes significativos.
Governança de IA e AI Act
Classificação de risco, documentação técnica, literacia e supervisão humana.
DSA, DMA e Plataformas
Obrigações dos prestadores intermediários, moderação de conteúdos e transparência.
Dados, Cloud e Data Act
Acesso e partilha de dados, comutação de prestadores e cláusulas contratuais.
Identidade Digital e eIDAS
Carteira europeia de identidade digital e serviços de confiança qualificados.
Um sistema, não seis projectos
O diagnóstico integrado identifica todos os regimes aplicáveis à sua organização numa única intervenção e produz um plano de acção consolidado.