Lista de ativos expostos à Internet (NIS2): como preparar até 31 de janeiro de 2027
As entidades abrangidas pela NIS2 em Portugal têm de comunicar ao CNCS, pela plataforma MyCiber, a lista dos seus ativos acessíveis diretamente pela Internet, e mantê-la atualizada. Segundo a imprensa especializada, o prazo é 31 de janeiro de 2027.
Resumo
- Base legal: Regulamento n.º 756/2026 do CNCS, que executa o Decreto-Lei n.º 125/2025.
- Onde se entrega: na MyCiber, a plataforma eletrónica do CNCS.
- Prazo: 31/01/2027, segundo a imprensa especializada; confirme o seu na MyCiber.
- O essencial: tudo o que um atacante consegue alcançar a partir da Internet, com um responsável por cada ativo.
O que é um ativo exposto à Internet
Um ativo exposto é qualquer sistema ou serviço da entidade que pode ser alcançado diretamente a partir da Internet, sem passar primeiro pela rede interna. É a "porta da frente" da organização e, por isso, o primeiro alvo de quem ataca. A NIS2 pede que estes ativos sejam conhecidos, comunicados e mantidos sob controlo.
O que incluir na lista
| Tipo de ativo | Exemplos | Onde encontrar |
|---|---|---|
| Domínios e subdomínios | empresa.pt, loja.empresa.pt, portal.empresa.pt | Registador de domínios e gestão de DNS |
| Endereços IP públicos | IP do router, da firewall, de servidores | Contratos com o operador de telecomunicações, firewall |
| Sites e portais | Site institucional, loja online, portal de clientes | Equipa de marketing, agência web, alojamento |
| Servidores de correio, webmail | Registos MX do DNS, fornecedor de email | |
| Acesso remoto | VPN, ambiente de trabalho remoto, portais de teletrabalho | Equipa de informática, firewall |
| APIs e integrações | Ligações a parceiros, faturação, plataformas | Equipa de desenvolvimento, fornecedores de software |
| Serviços em cloud | Armazenamento partilhado, aplicações SaaS com domínio próprio | Contas de cloud, faturas de fornecedores |
| Equipamentos ligados | Câmaras, controlo industrial, sistemas de edifícios acessíveis de fora | Manutenção, fornecedores de equipamentos |
Para cada ativo, registe pelo menos: o nome ou endereço, a função, o responsável interno, o fornecedor (se houver) e a data da última verificação. O formato exato a entregar é o definido pelo CNCS na MyCiber.
Como levantar a lista, passo a passo
- Comece pelos domínios. Liste todos os domínios registados em nome da entidade e, no DNS de cada um, todos os subdomínios.
- Consulte os registos públicos de certificados. Cada certificado https emitido fica num registo público (Certificate Transparency), consultável em serviços como o crt.sh. É uma boa forma de encontrar subdomínios esquecidos.
- Pergunte aos fornecedores. Agência web, operador de telecomunicações, empresa de informática e fornecedores de cloud gerem muitas vezes ativos em seu nome.
- Reveja a firewall e o router. As regras que abrem portas para o exterior mostram que serviços estão expostos.
- Confirme a lista por fora. Uma verificação externa dos seus próprios endereços confirma o que está realmente acessível. Faça-a apenas a ativos seus, ou com autorização escrita do fornecedor.
- Atribua um responsável a cada ativo e defina de quanto em quanto tempo a lista é revista.
Erros comuns
- Esquecer subdomínios antigos: campanhas, testes e sites descontinuados que continuam ativos.
- Ignorar o que os fornecedores gerem: o ativo continua a ser da entidade, mesmo que outra empresa o mantenha.
- Fazer a lista uma vez e esquecê-la: o regulamento pede que seja mantida atualizada.
- Não ter dono: um ativo sem responsável dificilmente é atualizado ou protegido.
Como manter a lista atualizada
Reveja a lista sempre que entra ou sai um sistema, um domínio ou um fornecedor, e pelo menos periodicamente. A lista de ativos expostos é também uma peça do inventário de ativos e da análise de risco que a NIS2 exige. Veja o guia da NIS2 em Portugal para o quadro completo.
Perguntas frequentes
O que é a lista de ativos acessíveis pela Internet?
É a lista dos ativos de uma entidade abrangida que podem ser alcançados diretamente a partir da Internet. O Regulamento n.º 756/2026 obriga a comunicá-la pela MyCiber e a mantê-la atualizada.
Qual é o prazo?
Segundo a imprensa especializada, 31 de janeiro de 2027. Confirme o prazo aplicável à sua entidade na MyCiber ou junto do CNCS.
Os ativos geridos por fornecedores contam?
Sim, se servem a entidade e estão acessíveis pela Internet. Peça a cada fornecedor a lista do que gere em seu nome.
Gere a lista de ativos de vários clientes?
O Ciberconforme está a ser desenvolvido para consultoras e empresas de TI que acompanham projetos NIS2: ativos, medidas, evidências e prazos de todos os clientes num só painel.
Participar no programa pilotoFontes
- Cuatrecasas – Regulamento n.º 756/2026 (lista de ativos publicamente acessíveis)
- APSEI – Regulamento do novo regime de cibersegurança
- IT Security – Calendário MyCiber (lista de ativos a 31/01/2027)
Informação geral, não aconselhamento jurídico. O Ciberconforme não tem ligação ao CNCS.