Módulo 2: Governação partilhada das TIC, segurança e prestação de serviços institucionais da UE | TIC AD7

Visão geral

Arquitetura empresarial, interoperabilidade, governação de serviços, segurança, privacidade, acessibilidade, contratação pública e condicionantes institucionais da UE.

Estado do módulo

•Percurso: Fundamentos comuns de TIC
•Última verificação: 2026-10-27
•Âmbito: Formação independente da EPSOHQ alinhada com as funções descritas no aviso de concurso; prevalecem as fontes oficiais.

Arquitetura antes dos produtos

Um administrador AD7 deve traduzir as necessidades institucionais em serviços que continuem a poder ser mantidos, sejam seguros e interoperáveis. Comece pelas capacidades, fluxos de informação, níveis de serviço, restrições e riscos. A seleção de produtos vem depois da arquitetura-alvo e dos critérios de avaliação. Uma conceção tecnicamente elegante, mas impossível de operar, adquirir, auditar ou abandonar, está incompleta.

As decisões de arquitetura devem registar o contexto, as opções, a decisão tomada, as consequências e os fatores que desencadeiam uma revisão. A reversibilidade é importante. As interfaces e os formatos de dados portáveis reduzem o acoplamento. Um radar tecnológico distingue as tecnologias adotadas, em fase experimental, avaliadas e suspensas, para que a experimentação não se transforme silenciosamente em arquitetura de produção.

Interoperabilidade e condicionantes do setor público

O Regulamento Europa Interoperável cria um quadro para a interoperabilidade transfronteiriça dos sistemas de redes e informação do setor público. A interoperabilidade tem dimensões jurídica, organizacional, semântica e técnica. Uma API, por si só, não resolve diferenças nas bases jurídicas, na responsabilidade pelos processos ou no significado dos dados.

A acessibilidade deve fazer parte dos critérios de aceitação. A segurança e a proteção de dados devem ser integradas na conceção. Os contratos públicos exigem requisitos mensuráveis, uma avaliação equitativa e uma estratégia de saída. Os registos, a transparência e a auditabilidade influenciam os registos de eventos, a conservação e as provas que fundamentam as decisões.

Segurança e privacidade desde a conceção

Utilize o risco para selecionar os controlos. A defesa em profundidade combina identidade, dispositivos terminais, redes, aplicações, dados, monitorização e recuperação. O princípio do privilégio mínimo limita o acesso ao que um sujeito necessita. A segregação de funções reduz a probabilidade de uma única identidade poder iniciar, aprovar e ocultar uma ação sensível.

A proteção de dados desde a conceção implica definir a finalidade, o fundamento jurídico, a minimização, a conservação, o acesso, as transferências e os direitos dos titulares dos dados antes da implementação. A cifragem protege a confidencialidade, mas não estabelece, por si só, a licitude do tratamento. A pseudonimização reduz a possibilidade de associação dos dados, mas continua a constituir um tratamento de dados pessoais quando a reidentificação permanece possível.

Governação de serviços

Defina o responsável pelo serviço, o responsável pelo produto, o responsável técnico e o responsável pelos dados. Estabeleça indicadores de nível de serviço antes de definir objetivos de nível de serviço. Acompanhe os resultados para os utilizadores em paralelo com a disponibilidade. Um serviço pode estar tecnicamente disponível, mas inutilizável devido a falhas na autenticação, na latência ou numa dependência crítica.

Todos os serviços em produção necessitam de monitorização, funções definidas para a gestão de incidentes, evidências de cópias de segurança e restauro, pressupostos de continuidade, procedimentos de escalamento para fornecedores e um plano de desativação. A aprovação de alterações deve ser proporcional ao risco. As alterações normalizadas e de baixo risco podem ser pré-autorizadas; as alterações de emergência continuam a exigir rastreabilidade e uma análise retrospetiva.

Conjunto principal de fontes

•Regulamento Europa Interoperável — Regulamento (UE) 2024/903
•NIS2 — Diretiva (UE) 2022/2555
•RGPD — Regulamento (UE) 2016/679
•Diretiva Acessibilidade da Web — Diretiva (UE) 2016/2102
•Metodologia PM² da Comissão Europeia — Portal PM²

Política digital da UE: identificar o interveniente antes da obrigação

Suplemento verificado a 27 de outubro de 2026. Estas distinções apoiam o juízo técnico e a redação sobre assuntos da UE. São um auxiliar de revisão, não uma previsão das perguntas do EPSO nem do dossiê do EUFTE.

Instrumento	Questão principal	Provas práticas a solicitar	Armadilha de âmbito
Regulamento da IA	Qual é a finalidade prevista do sistema, a sua classificação de risco e o papel da organização?	Inventário de casos de utilização, fundamentação da classificação, registos de supervisão e de avaliação	O rótulo «conforme com a IA» de um fornecedor não resolve todas as implementações
NIS2	A organização é uma entidade abrangida pelo âmbito da diretiva e pelas regras nacionais aplicáveis?	Gestão de riscos, processo de gestão de incidentes, controlos da cadeia de abastecimento e governação	Não aplique por defeito uma diretiva dirigida aos Estados-Membros a todas as instituições da UE
Regulamento (UE, Euratom) 2023/2841	Que obrigações de cibersegurança dizem respeito às instituições, órgãos e organismos da União?	Quadro institucional de gestão de riscos, responsabilidades e coordenação de incidentes	O regime institucional exige a sua própria análise de âmbito
DORA	Trata-se de uma entidade financeira abrangida ou de um acordo relevante com um terceiro prestador de serviços de TIC?	Controlos de risco de TIC, registo de informação contratual, testes de resiliência e estratégias de saída	O DORA é setorial; não é a regra geral para todos os projetos informáticos do setor público
Regulamento de Ciber-Resiliência	Estão abrangidos um produto com elementos digitais e um operador económico?	Gestão de vulnerabilidades, informações de suporte e provas de conformidade	Um controlo de segurança operacional e a conformidade de um produto respondem a perguntas diferentes
RGPD / Regulamento (UE) 2018/1725	Que regime de dados pessoais e que papéis de responsável pelo tratamento/subcontratante se aplicam?	Registos de finalidade, fundamento jurídico, minimização, conservação e acesso	A localização na nuvem ou uma configuração de cifragem, por si só, não torna o tratamento lícito
Regulamento dos Dados	Que regra de acesso aos dados ou de mudança de serviço de tratamento de dados é relevante?	Formatos de exportação, dependências, saída contratual e testes de transição	Portabilidade não significa que todas as aplicações migrem sem adaptação
Regulamento da Governação de Dados / Diretiva Dados Abertos	A questão diz respeito à reutilização de dados protegidos do setor público, a um intermediário de partilha ou a informação do setor público reutilizável?	Condições de autorização, salvaguardas de acesso e classificação dos conjuntos de dados	Estes instrumentos não transformam todos os dados detidos em dados abertos sem restrições
Programa Década Digital	Que capacidade ou resultado de serviço para 2030 se pretende alcançar?	Indicadores de competências, conectividade, empresas ou serviços públicos	Uma meta política não é o certificado de segurança de um sistema concreto

Leia o texto aplicável e as alterações em vigor antes de memorizar uma data de aplicação. A entrada em vigor, a aplicação geral, as obrigações faseadas e as obrigações efetivas de comunicação de uma entidade podem diferir. Por exemplo, a Comissão distingue as obrigações de comunicação do CRA das suas obrigações principais, aplicáveis mais tarde. Trate as obrigações jurídicas, os objetivos políticos, as normas técnicas e os quadros de governação voluntários como tipos distintos de autoridade.

O Gaia-X pode fornecer contexto sobre a nuvem e os ecossistemas de dados. Não é um regulamento da UE nem uma certificação jurídica geral. Uma alegação de soberania continua a exigir provas sobre o controlo das chaves, o acesso, os subcontratantes, a portabilidade e a exposição jurídica. O Regulamento Europeu dos Circuitos Integrados diz respeito à capacidade em semicondutores e à resiliência do abastecimento; não certifica uma carga de trabalho individual na nuvem. Faça corresponder o instrumento à decisão a tomar.

Quatro decisões originais de âmbito

Infraestruturas: um fabricante oferece um equipamento conectado com marcação CE. Isso não demonstra uma recuperação testada do serviço da instituição. Solicite separadamente provas relativas ao produto e provas de recuperação local.
Gestão de projetos: um fornecedor promete «conformidade com toda a regulamentação da UE». Peça um mapa de âmbito por interveniente e por instrumento, os responsáveis, as provas de aceitação e as dependências por resolver antes de aprovar o requisito.
Nuvem e redes: dois fornecedores utilizam serviços diferentes de identidade e de bases de dados geridas. Uma exportação de dados, por si só, não prova que exista um plano de saída executável. Testee as dependências, o tempo de recuperação, o acesso e a integridade dos dados.
Ciência de dados: um indicador de referência de exatidão não demonstra uma utilização lícita dos dados nem uma supervisão adequada. Pergunte separadamente pela finalidade prevista, pelas regras aplicáveis, pela proveniência dos dados, pelo desempenho por subgrupo e pelas decisões humanas.

Governação partilhada das TIC, segurança e prestação de serviços institucionais da UE