Cibersegurança em contratos TIC: requisitos, certificações e proposta técnica

A cibersegurança tornou-se um requisito substantivo nos cadernos de encargos de contratos de tecnologias de informação e comunicação (TIC) do setor público português. A entrada em vigor do DL 33/2026 sobre aquisição de bens e serviços TIC, o reforço das obrigações da Lei n.º 46/2018 e a progressiva implementação do quadro europeu de certificação de cibersegurança impõem às empresas licitadoras neste setor um nível de preparação técnica e documental que vai muito além da demonstração genérica de capacidade técnica. Para as empresas tecnológicas que concorrem a contratos públicos em Portugal, conhecer este quadro e antecipar os requisitos que surgem nos cadernos de encargos é, em muitos procedimentos de maior dimensão, um fator diferenciador decisivo.

O quadro normativo português para a cibersegurança em contratos TIC articula-se a partir da Lei n.º 46/2018 (Lei de Cibersegurança), das orientações do Centro Nacional de Cibersegurança (CNCS), dos padrões internacionais de referência como a norma ISO/IEC 27001 e, no plano europeu, do Regulamento (UE) 2019/881 (Regulamento de Cibersegurança da UE). A empresa que entra num concurso TIC do Estado sem conhecer este quadro corre o risco de ver a sua proposta excluída na fase de habilitação por não satisfazer requisitos que nunca foram identificados como eliminatórios.

O quadro normativo da cibersegurança nos contratos TIC em Portugal

Lei n.º 46/2018 e o papel do CNCS

A Lei n.º 46/2018, de 13 de agosto (Lei de Cibersegurança) é o diploma estruturante do regime nacional de cibersegurança em Portugal. Estabelece o Centro Nacional de Cibersegurança (CNCS) como a autoridade nacional competente, define as obrigações dos operadores de serviços essenciais e prestadores de serviços digitais e fixa os princípios orientadores da política nacional de cibersegurança. As entidades adjudicantes que operam em setores críticos estão diretamente sujeitas a esta lei, e os fornecedores de serviços TIC a essas entidades veem frequentemente refletidas as obrigações correspondentes nos cadernos de encargos dos respetivos procedimentos. O texto consolidado da lei está disponível no Diário da República Eletrónico.

O CNCS publica orientações e recomendações técnicas que, embora não tenham valor regulatório autónomo, são habitualmente incorporadas pelos serviços técnicos das entidades adjudicantes na elaboração dos cadernos de encargos de contratos TIC. Estas orientações abrangem domínios como a gestão da segurança da informação, o controlo de acessos, a continuidade de serviço, a gestão de incidentes e os requisitos de segurança em soluções cloud. Para aprofundar o cruzamento entre segurança, inteligência artificial e setor público português, o artigo sobre segurança de IA no setor público e RGPD analisa em detalhe as implicações normativas deste cruzamento.

O DL 33/2026 e as implicações de segurança nos contratos TIC

O DL 33/2026 introduziu a obrigatoriedade de parecer prévio da Agência para a Modernização Administrativa (AMA) para contratos de bens e serviços TIC acima de determinados limiares. Este parecer avalia a conformidade técnica das aquisições com as orientações estratégicas do Estado para a transformação digital, incluindo requisitos de interoperabilidade, segurança e proteção de dados. As entidades adjudicantes sujeitas a este diploma tendem a traduzir nos cadernos de encargos os requisitos definidos pela AMA, o que uniformiza em certa medida as exigências de cibersegurança nos grandes contratos TIC da Administração Pública central.

Para as empresas licitadoras, o DL 33/2026 representa um sinal claro de que os requisitos de segurança passarão a ser escrutinados de forma mais estruturada nos procedimentos de maior valor. A conformidade com normas reconhecidas de gestão da segurança da informação e a capacidade de demonstrar arquiteturas técnicas seguras são progressivamente condição de admissão, e não apenas fator de avaliação, em contratos de software, cloud, manutenção e desenvolvimento de sistemas para entidades adjudicantes sujeitas a este regime.

Certificações mais exigidas nos cadernos de encargos TIC

ISO/IEC 27001 como referência principal

A norma ISO/IEC 27001 (Sistema de Gestão da Segurança da Informação) é a certificação mais frequentemente exigida ou valorizada nos cadernos de encargos de contratos TIC do setor público português. A sua acreditação por organismo de certificação reconhecido pelo IPAC (Instituto Português de Acreditação) demonstra que a empresa dispõe de um sistema de gestão da segurança da informação implementado, auditado e certificado, cobrindo políticas, procedimentos e controlos técnicos de segurança. Nos cadernos de encargos que a exigem como condição de admissão, a sua ausência determina a exclusão automática da proposta; quando funciona como critério de adjudicação, uma certificação válida proporciona pontuação técnica adicional face a concorrentes não certificados.

A obtenção da certificação ISO 27001 é um processo que envolve a implementação de um Sistema de Gestão de Segurança da Informação (SGSI), a realização de auditorias internas e externas e a manutenção de um ciclo de melhoria contínua. Empresas que ainda não a possuam mas que pretendam concorrer a contratos TIC públicos de maior dimensão devem antecipar o processo, dado o tempo típico de implementação, e avaliar se a cobertura atual do seu sistema de gestão é compatível com os âmbitos habitualmente exigidos nos cadernos de encargos do Estado.

O Regulamento de Cibersegurança da UE e os esquemas europeus de certificação

O Regulamento (UE) 2019/881 (Regulamento de Cibersegurança da UE) estabeleceu a base legal para a criação de esquemas europeus de certificação de cibersegurança, geridos pela Agência da UE para a Cibersegurança (ENISA). Estes esquemas, ainda em fase de desenvolvimento e implementação progressiva, visam criar um sistema harmonizado de avaliação e certificação de produtos, serviços e processos TIC em toda a União Europeia. O mais avançado é o EUCC (EU Common Criteria based cybersecurity certification scheme), destinado a produtos TIC, que coexistirá com os esquemas nacionais existentes. À medida que estes esquemas se tornem operacionais, é expectável que cadernos de encargos de maior complexidade comecem a exigir ou a valorizar certificações ao abrigo deste quadro europeu.

A Diretiva NIS 2 (Diretiva (UE) 2022/2555), que reforçou as obrigações de cibersegurança para operadores de serviços essenciais e entidades importantes, também influenciará progressivamente os requisitos que as entidades adjudicantes impõem aos seus fornecedores TIC. Os cadernos de encargos de entidades sujeitas à NIS 2 tenderão a incluir requisitos de cadeia de abastecimento segura, impondo obrigações de segurança a fornecedores de software, serviços cloud e infraestrutura digital que, até ao momento, não eram sistematicamente exigidas.

Como responder aos requisitos de cibersegurança numa proposta técnica TIC

Identificação dos requisitos no caderno de encargos

Os requisitos de cibersegurança num caderno de encargos TIC podem surgir em três localizações distintas: como condições de admissão (certificações obrigatórias ou declarações de conformidade), como fatores de avaliação técnica com ponderação específica (arquitetura de segurança, plano de gestão de incidentes, medidas de controlo de acessos) ou como obrigações de execução contratual (notificação de incidentes, submissão a auditorias de segurança, conformidade permanente com o RGPD). Distinguir estas três categorias é o primeiro passo para construir uma proposta técnica que responda adequadamente a cada uma sem omitir requisitos que podem ser eliminatórios.

O Tendios facilita a análise de cadernos de encargos TIC, permitindo extrair automaticamente os requisitos técnicos de segurança, os critérios de adjudicação relacionados com cibersegurança e os prazos de cada chamada. Para uma explicação detalhada da metodologia de extração automática de requisitos técnicos a partir de peças procedimentais complexas, o artigo sobre análise de cadernos de encargos com RAG e IA descreve o processo e os seus limites práticos.

Estruturação da proposta técnica com componente de segurança

A proposta técnica num concurso TIC com exigências de cibersegurança deve cobrir, de modo explícito e verificável, cada requisito de segurança identificado no caderno de encargos. A arquitetura proposta deve descrever as medidas de controlo implementadas (autenticação multifator, encriptação de dados em trânsito e em repouso, segregação de redes, gestão de identidades e acessos), referenciando os padrões internacionais seguidos. O plano de gestão de incidentes e a política de notificação ao cliente e ao CNCS devem ser igualmente explicitados, dado que são habitualmente objeto de avaliação autónoma nos procedimentos de maior complexidade técnica.

A documentação probatória da conformidade não deve ser deixada para uma fase pós-adjudicação: certificados válidos, relatórios de auditoria, declarações de conformidade e referências de contratos anteriores com requisitos de segurança equivalentes devem ser incorporados na proposta como suporte às afirmações técnicas apresentadas. O Tendios disponibiliza funcionalidades de inteligência de mercado que permitem identificar adjudicações anteriores em contratos TIC semelhantes e analisar padrões de adjudicação, facilitando o posicionamento competitivo da proposta antes da submissão.

Cibersegurança como critério de adjudicação: implicações estratégicas

Em contratos TIC de maior dimensão, a cibersegurança surge frequentemente como subfactor autónomo na avaliação da proposta economicamente mais vantajosa ao abrigo do artigo 74.º do CCP. A ponderação atribuída pode variar consoante a criticidade do sistema a contratar: contratos de cloud soberana, sistemas de informação de saúde ou plataformas de identidade digital do Estado tendem a atribuir maior peso à componente de segurança do que contratos de software administrativo genérico. Uma proposta com certificações reconhecidas, arquitetura documentada e plano de gestão de incidentes estruturado consegue uma pontuação técnica significativamente superior a uma proposta que se limite a cumprir os requisitos mínimos.

A análise dos procedimentos pré-contratuais previstos no CCP para contratos TIC mostra que o concurso limitado por prévia qualificação é frequentemente usado quando os requisitos técnicos são exigentes: neste procedimento, a fase de qualificação prévia pode já incluir a verificação de certificações de segurança, reduzindo o número de operadores habilitados a apresentar proposta. As empresas que investem em certificações e arquiteturas de segurança documentadas antes de cada procedimento têm uma taxa de acesso à fase de proposta sistematicamente superior.

Perguntas frequentes sobre cibersegurança em contratos TIC

Portugal tem um esquema de certificação de cibersegurança obrigatório para contratos públicos TIC?

Portugal não dispõe de um esquema de certificação de cibersegurança obrigatório e transversal para todos os contratos TIC do setor público. O quadro nacional assenta na Lei n.º 46/2018, nas orientações do CNCS e nos padrões internacionais como a ISO/IEC 27001. No plano europeu, o Regulamento (UE) 2019/881 prevê a criação progressiva de esquemas europeus de certificação que, quando operacionais, poderão ser incorporados nos requisitos de cadernos de encargos de contratos TIC.

O DL 33/2026 impõe certificações de cibersegurança específicas?

O DL 33/2026 introduz a obrigatoriedade de parecer prévio da AMA para contratos TIC acima de determinados limiares, mas não fixa por si só certificações de cibersegurança específicas. As exigências concretas dependem das peças de cada procedimento e das orientações que a AMA emite por categoria de aquisição TIC. A verificação em cada caderno de encargos é sempre obrigatória antes de qualquer decisão sobre a candidatura.

A ISO 27001 é sempre exigida em concursos TIC do setor público português?

Não é uma exigência universal, mas é a certificação mais frequentemente incluída nos cadernos de encargos de contratos TIC de maior dimensão. A sua presença como requisito de admissão ou critério de avaliação depende da entidade adjudicante, do tipo de contrato e da criticidade dos dados e sistemas envolvidos. Para contratos cloud, sistemas críticos de informação ou plataformas com acesso a dados pessoais, a probabilidade de ser exigida é significativamente superior.

Como identificar os requisitos de cibersegurança num caderno de encargos TIC?

Os requisitos de cibersegurança surgem distribuídos pelas especificações técnicas, pelos critérios de adjudicação e pelas condições especiais de execução. A análise deve identificar: (a) requisitos de habilitação relacionados com segurança (certificações, declarações de conformidade); (b) subfactores de avaliação técnica com componente de segurança e respetivas ponderações; (c) obrigações de execução relacionadas com segurança (notificação de incidentes, auditorias, conformidade regulatória). Ferramentas de análise documental, como as disponibilizadas pelo Tendios, permitem automatizar parte significativa desta triagem.

Conclusões sobre cibersegurança em contratos TIC em Portugal

A cibersegurança consolidou-se como uma dimensão estrutural dos contratos TIC do setor público português, presente tanto nos requisitos de habilitação como nos critérios de avaliação e nas condições de execução. O enquadramento normativo, ancorado na Lei n.º 46/2018 e progressivamente reforçado pelo DL 33/2026 e pelo quadro europeu do Regulamento (UE) 2019/881, aponta para uma formalização crescente das exigências de segurança nos procedimentos de contratação TIC.

Para as empresas tecnológicas que concorrem ao mercado público português, a antecipação é a estratégia mais eficaz: investir em certificações reconhecidas como a ISO 27001, documentar claramente a arquitetura de segurança das soluções propostas e acompanhar sistematicamente a evolução dos requisitos publicados nos cadernos de encargos são práticas que determinam a diferença entre uma proposta competitiva e uma proposta excluída na fase de habilitação. Num mercado que em 2024 movimentou 18,4 mil milhões de euros e mais de 222.000 contratos, o setor TIC representa uma das áreas de maior crescimento e de requisitos técnicos mais exigentes.