Testes de intrusão na NIS2 e no DORA: o que é exigido e o que é um TLPT

Resumo: a NIS2 (Diretiva (UE) 2022/2555) obriga entidades essenciais e importantes a avaliar a eficácia das suas medidas de cibersegurança — na prática, testes de segurança regulares, incluindo testes de intrusão. O DORA (Regulamento (UE) 2022/2554), aplicável desde 17 de janeiro de 2025 ao setor financeiro, é mais explícito: programa de testes anual (art.º 24.º–25.º) e, para as entidades designadas pela autoridade, TLPT — testes de intrusão orientados por ameaças — pelo menos de três em três anos (art.º 26.º–27.º).

Este guia explica o que cada regulamento pede, o que é um TLPT e como montar um programa de testes que satisfaça a auditoria sem se tornar teatro.

A NIS2 numa página

Quem está abrangido: entidades "essenciais" e "importantes" em setores como energia, transportes, saúde, banca, infraestruturas digitais, prestadores de serviços de cloud e de serviços geridos, fabrico de produtos críticos, entre outros — em regra, médias e grandes empresas desses setores. Em Portugal, a transposição é feita pelo novo regime jurídico da cibersegurança, supervisionado pelo Centro Nacional de Cibersegurança (CNCS); confirme os prazos e as obrigações específicas aplicáveis à sua organização.

O que pede sobre testes: o artigo 21.º enumera medidas mínimas de gestão do risco, incluindo segurança na aquisição, desenvolvimento e manutenção de sistemas (com tratamento de vulnerabilidades) e políticas e procedimentos para avaliar a eficácia das medidas. A diretiva não prescreve "um pentest por ano", mas testes periódicos e após alterações relevantes são a forma mais direta de demonstrar essa eficácia.

Porque importa: as coimas chegam a 10 milhões de euros ou 2% do volume de negócios anual mundial para entidades essenciais (7 milhões ou 1,4% para importantes), e a diretiva responsabiliza os órgãos de gestão. A NIS2 exige ainda atenção à segurança da cadeia de abastecimento.

O DORA numa página

Quem está abrangido: praticamente todo o setor financeiro da UE — bancos, instituições de pagamento e de moeda eletrónica, seguradoras, sociedades gestoras, prestadores de serviços de criptoativos — e, indiretamente, os seus prestadores terceiros críticos de TIC.

O que pede sobre testes:

• Art.º 24.º — programa de testes de resiliência operacional digital, proporcional à dimensão e ao risco, com testes pelo menos anuais dos sistemas que suportam funções críticas ou importantes.
• Art.º 25.º — tipos de teste: avaliações de vulnerabilidades, análise de código-fonte quando viável, testes baseados em cenários, testes de compatibilidade e de desempenho, testes de intrusão, entre outros.
• Art.º 26.º — TLPT: as entidades identificadas pelas autoridades devem realizar testes de intrusão orientados por ameaças pelo menos de três em três anos, em sistemas de produção, abrangendo funções críticas — incluindo as subcontratadas.
• Art.º 27.º — requisitos dos testadores: idoneidade, competência técnica comprovada, certificação ou código de conduta e seguro de responsabilidade profissional.

O que é um TLPT (e o que não é)

O TLPT (Threat-Led Penetration Testing) é um exercício de red team orientado por informação sobre ameaças, alinhado com o quadro TIBER-EU. Uma equipa de threat intelligence descreve adversários realistas para a instituição; o red team executa esses cenários contra produção, de forma controlada; a blue team, idealmente, não sabe que o teste decorre; no fim há uma fase de purple teaming e um plano de remediação acompanhado pela autoridade.

O TLPT não é um teste de intrusão aplicacional alargado: mede a capacidade de prevenção, deteção e resposta da organização como um todo. O teste a aplicações, APIs e sistemas de IA continua a ser a base do programa anual dos art.º 24.º–25.º — e é o que encontra as falhas que o red team depois explora.

Como montar um programa de testes que resiste à auditoria

1. Inventário de funções críticas. Ligue cada sistema a uma função de negócio; o âmbito dos testes nasce daqui.
2. Calendário por risco. Teste anual a tudo o que suporta funções críticas; ciclos adicionais após alterações significativas.
3. Profundidade adequada. Grey box com contas por perfil e documentação para aplicações e APIs; testes específicos para sistemas de IA expostos a clientes.
4. Rastreabilidade. Cada achado com responsável, prazo, evidência de correção e reteste.
5. Cadeia de fornecedores. Exija relatórios recentes aos prestadores de TIC que suportam funções críticas — e esteja pronto a fornecer o seu.
6. Qualificação documentada dos testadores, tal como o DORA exige.

Para o setor de pagamentos, veja também o que o auditor espera do relatório de pentest no PCI DSS 4.0. Sobre orçamento, quanto custa um teste de intrusão.

Perguntas frequentes

A NIS2 obriga a fazer testes de intrusão?

A diretiva exige avaliar a eficácia das medidas de segurança e gerir vulnerabilidades. Os testes de intrusão periódicos são a evidência mais aceite por autoridades e auditores, e a legislação nacional de transposição tende a detalhar o requisito.

Com que frequência o DORA exige testes?

Testes aos sistemas que suportam funções críticas ou importantes pelo menos uma vez por ano (art.º 24.º) e, para as entidades designadas, TLPT pelo menos de três em três anos (art.º 26.º).

Um pentest automático cumpre o DORA?

As ferramentas automáticas ajudam no programa anual, mas o DORA trata o teste de intrusão como tipo próprio e exige testadores qualificados. Para TLPT, é indispensável uma equipa humana de red team.

Sou prestador de TIC de um banco. Isto aplica-se a mim?

Sim, por via contratual: o banco tem de demonstrar à autoridade que gere o risco dos seus prestadores e vai pedir-lhe evidências, incluindo relatórios de teste recentes.