{"id":43901,"date":"2026-07-23T12:47:14","date_gmt":"2026-07-23T10:47:14","guid":{"rendered":"https:\/\/smartfense.com\/?p=43901"},"modified":"2026-07-23T12:47:22","modified_gmt":"2026-07-23T10:47:22","slug":"ens-espanhol-sensibilizacao-formacao-pessoal","status":"publish","type":"post","link":"https:\/\/smartfense.com\/pt-pt\/blog-pt-pt\/ens-espanhol-sensibilizacao-formacao-pessoal\/","title":{"rendered":"O que exige o Esquema Nacional de Seguran\u00e7a espanhol em sensibiliza\u00e7\u00e3o e como demonstr\u00e1-lo"},"content":{"rendered":"

O Real Decreto 311\/2022, de 3 de maio, regula o Esquema Nacional de Seguran\u00e7a espanhol (Esquema Nacional de Seguridad, ENS) e fixou um prazo de vinte e quatro meses para que os sistemas j\u00e1 existentes alcan\u00e7assem plena conformidade. Esse prazo expirou em maio de 2024. A conformidade com o ENS deixou de ser um horizonte e passou a ser um estado exig\u00edvel, verific\u00e1vel em auditoria para os sistemas de categoria m\u00e9dia e alta.<\/p>\n

Dentro deste quadro, a sensibiliza\u00e7\u00e3o e a forma\u00e7\u00e3o do pessoal n\u00e3o s\u00e3o um acr\u00e9scimo opcional. O ENS inclui-as como medidas de seguran\u00e7a com nome e n\u00famero pr\u00f3prios, e trata-as como qualquer controlo t\u00e9cnico: t\u00eam de ser aplicadas e t\u00eam de poder ser demonstradas.<\/p>\n

Este artigo n\u00e3o explica o que \u00e9 a administra\u00e7\u00e3o eletr\u00f3nica nem como se implementa o ENS de in\u00edcio a fim. Assume esse terreno coberto. Foca-se em algo mais delimitado, ou seja, o que exige o Esquema Nacional de Seguran\u00e7a sobre a sensibiliza\u00e7\u00e3o e a forma\u00e7\u00e3o do pessoal, como essa exig\u00eancia cresce com a categoria do sistema, e que evid\u00eancia uma entidade tem de poder p\u00f4r sobre a mesa quando o auditor come\u00e7a a perguntar.<\/p>\n

A quem obriga o Esquema Nacional de Seguran\u00e7a?<\/h2>\n

O Esquema Nacional de Seguran\u00e7a \u00e9 o quadro que estabelece a pol\u00edtica de seguran\u00e7a na utiliza\u00e7\u00e3o de meios eletr\u00f3nicos das entidades do setor p\u00fablico espanhol. Obriga toda a administra\u00e7\u00e3o, seja estatal, auton\u00f3mica ou local, e os organismos e entidades de direito p\u00fablico a ela vinculados ou dela dependentes.<\/p>\n

A fronteira relevante para o setor privado est\u00e1 na cadeia de fornecimento. O Real Decreto 311\/2022 estende o seu alcance \u00e0s entidades privadas quando prestam servi\u00e7os ou fornecem solu\u00e7\u00f5es a entidades p\u00fablicas para o exerc\u00edcio das suas compet\u00eancias. Na pr\u00e1tica, essa exig\u00eancia entra pelos cadernos de encargos: um fornecedor tecnol\u00f3gico que queira trabalhar com uma administra\u00e7\u00e3o tem de comprovar conformidade com o ENS na parte dos seus sistemas que sustenta esse servi\u00e7o. A obriga\u00e7\u00e3o deixa de ser um assunto apenas do setor p\u00fablico e alcan\u00e7a o seu ecossistema de fornecedores.<\/p>\n

O que exige o ENS em mat\u00e9ria de sensibiliza\u00e7\u00e3o e forma\u00e7\u00e3o?<\/h2>\n

O ENS separa duas medidas dentro do grupo de gest\u00e3o do pessoal do Anexo II. A medida mp.per.3, \u00abConcienciaci\u00f3n\u00bb, obriga a manter o pessoal atento ao seu papel na seguran\u00e7a da informa\u00e7\u00e3o atrav\u00e9s de lembretes peri\u00f3dicos e a\u00e7\u00f5es de sensibiliza\u00e7\u00e3o. A medida mp.per.4, \u00abFormaci\u00f3n\u00bb, exige garantir a forma\u00e7\u00e3o regular de todo o pessoal nas mat\u00e9rias de que necessita para desempenhar a sua fun\u00e7\u00e3o de forma segura, de maneira proporcional a essa fun\u00e7\u00e3o.<\/p>\n

A distin\u00e7\u00e3o n\u00e3o \u00e9 cosm\u00e9tica. Sensibilizar \u00e9 sustentar a aten\u00e7\u00e3o sobre os riscos no dia a dia; formar \u00e9 dar a cada pessoa o conhecimento concreto que o seu posto requer. O ENS pede as duas coisas, e pede-as de forma cont\u00ednua, n\u00e3o como um ato \u00fanico no momento da integra\u00e7\u00e3o.<\/p>\n

O pr\u00f3prio decreto refor\u00e7a esta linha a partir da sua primeira disposi\u00e7\u00e3o adicional, que incumbe o Centro Criptol\u00f3gico Nacional (CCN) e o Instituto Nacional de Administra\u00e7\u00e3o P\u00fablica (INAP) de desenvolver programas de sensibiliza\u00e7\u00e3o e forma\u00e7\u00e3o dirigidos ao pessoal do setor p\u00fablico. A norma n\u00e3o exige apenas a atividade: reconhece que sustent\u00e1-la necessita de um programa por tr\u00e1s.<\/p>\n

As exig\u00eancias crescem com a categoria do sistema<\/h2>\n

O ENS n\u00e3o aplica uma bitola \u00fanica. Classifica cada sistema numa de tr\u00eas categorias de seguran\u00e7a, b\u00e1sica, m\u00e9dia ou alta, consoante o impacto que um incidente teria sobre as dimens\u00f5es de confidencialidade, integridade, rastreabilidade, autenticidade e disponibilidade. Quanto maior a categoria, mais estritas s\u00e3o as medidas e, com elas, a profundidade esperada do programa de sensibiliza\u00e7\u00e3o e forma\u00e7\u00e3o.<\/p>\n\n\n\n\n\n\n\n
Categoria<\/th>\nComo se comprova a conformidade<\/th>\nExig\u00eancia sobre o pessoal<\/th>\n<\/tr>\n<\/thead>\n
B\u00e1sica<\/td>\nAutoavalia\u00e7\u00e3o e declara\u00e7\u00e3o de conformidade<\/td>\nSensibiliza\u00e7\u00e3o e forma\u00e7\u00e3o proporcionadas \u00e0 fun\u00e7\u00e3o<\/td>\n<\/tr>\n
M\u00e9dia<\/td>\nAuditoria de certifica\u00e7\u00e3o<\/td>\nMaior formaliza\u00e7\u00e3o e rastreabilidade do programa<\/td>\n<\/tr>\n
Alta<\/td>\nAuditoria de certifica\u00e7\u00e3o<\/td>\nPrograma refor\u00e7ado, revisto e evidenciado em profundidade<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

A diferen\u00e7a operacional mais importante est\u00e1 em como se verifica. Os sistemas de categoria m\u00e9dia ou alta necessitam de uma auditoria para certificar a sua conformidade; na categoria b\u00e1sica basta uma autoavalia\u00e7\u00e3o com declara\u00e7\u00e3o de conformidade. Para quem gere um sistema de categoria m\u00e9dia ou alta, isso significa que a sensibiliza\u00e7\u00e3o ter\u00e1 de resistir ao olhar de um terceiro que pede provas, n\u00e3o apenas \u00e0 boa vontade interna.<\/p>\n

A dist\u00e2ncia entre a pol\u00edtica declarada e o comportamento real<\/h2>\n

O ponto onde mais programas se quebram n\u00e3o \u00e9 a falta de atividade, mas a dist\u00e2ncia entre o que a pol\u00edtica declara e o que o pessoal faz. Uma entidade pode ter aprovada uma pol\u00edtica de seguran\u00e7a impec\u00e1vel, um curso anual e uma folha de presen\u00e7as, e ainda assim n\u00e3o poder demonstrar que essa forma\u00e7\u00e3o mudou algo na conduta quotidiana.<\/p>\n

\u00c9 a\u00ed que uma auditoria do ENS encontra a criticidade. O auditor n\u00e3o avalia as boas inten\u00e7\u00f5es, mas contrasta o conhecimento declarado com o comportamento efetivo. Um programa que apenas acredita a presen\u00e7a responde \u00e0 pergunta errada. A pergunta que importa \u00e9 se o pessoal reconhece uma tentativa de phishing quando a tem \u00e0 frente, se sabe a quem reportar um incidente e se essa rea\u00e7\u00e3o melhora com o tempo. \u00c9 o terreno que o ENS partilha com outros quadros, como analis\u00e1mos ao desdobrar o controlo 6.3 da ISO 27001:2022<\/a> e as exig\u00eancias de sensibiliza\u00e7\u00e3o da Diretiva NIS2<\/a>.<\/p>\n

Como se evidencia o cumprimento numa auditoria do ENS?<\/h2>\n

Para as medidas mp.per.3 e mp.per.4, a evid\u00eancia que sustenta a conformidade costuma apoiar-se nestes elementos:<\/p>\n