Relacionados
Versão Consolidada
Análise Jurídica
Retificado por
Pode sugerir melhorias ou novas consolidações aqui
| Modelo e metodologia para a qualificação dos processos de negócio | |
| O modelo de qualificação de processos permite aplicar níveis graduais de controlo em função da soberania dos processos de negócio, dos dados e dos sistemas de informação que os suportam. Neste contexto, os processos da Administração Pública devem ser qualificados em função do impacto que o comprometimento dos respetivos dados e sistemas tem para o funcionamento do Estado e para a prestação de serviços públicos. Com base em referenciais internacionais e nas melhores práticas nacionais, o Centro Nacional de Cibersegurança (CNCS) e a Agência para a Reforma Tecnológica do Estado, I. P. (ARTE, I. P.), identificaram quatro níveis de qualificação de processos de negócio, aos quais corresponderão diferentes requisitos de soberania e controlo: • Neutro - são processos que não estão sujeitos a requisitos, enquadrando-se no nível 0; | |
| • Corrente - são processos que, não estando sujeitos a requisitos especiais de soberania, podem estar sujeitos a outros requisitos de soberania e segurança decorrentes da demais legislação aplicável, enquadrando-se no nível 1; • Crítico - são processos que requerem o cumprimento de requisitos acrescidos, tanto de soberania como de segurança, podendo enquadrar-se no nível 2, correspondente à soberania de dados e operacional; • Estratégico - são processos de natureza estratégica que exigem o cumprimento dos mais elevados requisitos de segurança e soberania, enquadrando-se no nível 3.a, associado à soberania de software, ou no nível 3.b, que corresponde à soberania de software de âmbito nacional. Este modelo de qualificação de processos permitirá assegurar que os processos das entidades da Administração Pública, bem como os respetivos dados e sistemas que os suportam, são qualificados em função do impacto que o seu comprometimento tem na soberania nacional. Para apoiar a aplicação deste modelo, o CNCS e a ARTE, I. P., procederão: i) à definição de um procedimento de pontuação de processos de negócio; e ii) à qualificação preliminar dos processos de negócio do 2.º nível do Catálogo de Processos de Negócio da Administração Pública, disponibilizado através da Plataforma de Classificação e Avaliação da Informação Pública (CLAV). O procedimento de pontuação de processos de negócio permitirá efetuar a pontuação dos processos do 2.º nível da CLAV com base em três dimensões: 1.1 - Pessoas e vida humana: Sem Impacto, Impacto Moderado ou Impacto Significativo; 1.2 - Estabilidade do Estado: Sem Impacto, Impacto Moderado ou Impacto Significativo; 1.3 - Exposição de Dados: Sem Impacto, Impacto Moderado ou Impacto Significativo. | |
| A tabela de qualificação preliminar resultante deste exercício terá como objetivo acelerar e apoiar a qualificação a efetuar pelas entidades da Administração Pública. Sem prejuízo, as entidades da Administração Pública poderão efetuar a sua própria pontuação dos respetivos processos de negócio, com base no procedimento de pontuação de processos de negócio disponibilizado pelo CNCS e pela ARTE, I. P. Em suma, a metodologia a adotar será: 1) As entidades utilizarão a tabela de pré-qualificação a disponibilizar pelo CNCS e pela ARTE, I. P., para qualificarem os seus processos de negócio, identificando para cada processo qual o nível de soberania correspondente; 2) Na eventualidade de não concordarem com a pré-qualificação apresentada pelo CNCS e pela ARTE, I. P., as autoridades da Administração Pública poderão executar o procedimento de pontuação de processos de negócio, a disponibilizar pelo CNCS e pela ARTE, I. P.; 3) O resultado do processo de qualificação determinará o nível de soberania aplicável aos processos de negócios; e 4) Para cada nível de soberania, o CNCS e a ARTE, I. P., definirão um conjunto de requisitos de soberania e segurança a aplicar aos dados e sistemas que suportam os processos de negócio qualificados. | |
| A experiência internacional demonstra que a grande maioria dos dados da Administração Pública tende a situar-se nos níveis com menores requisitos de soberania, enquanto uma pequena percentagem exige requisitos maiores de soberania e controlo. | |
|
| |
| As percentagens indicadas na imagem acima têm carácter ilustrativo e não vinculativo, destinando-se apenas a evidenciar a lógica subjacente ao modelo de qualificação. Com efeito, a distribuição efetiva dos dados e sistemas pelos diferentes níveis de soberania poderá ser distinta. |
| Modelo e metodologia para a qualificação dos processos de negócio | |
| O modelo de qualificação de processos permite aplicar níveis graduais de controlo em função da soberania dos processos de negócio, dos dados e dos sistemas de informação que os suportam. Neste contexto, os processos da Administração Pública devem ser qualificados em função do impacto que o comprometimento dos respetivos dados e sistemas tem para o funcionamento do Estado e para a prestação de serviços públicos. Com base em referenciais internacionais e nas melhores práticas nacionais, o Centro Nacional de Cibersegurança (CNCS) e a Agência para a Reforma Tecnológica do Estado, I. P. (ARTE, I. P.), identificaram quatro níveis de qualificação de processos de negócio, aos quais corresponderão diferentes requisitos de soberania e controlo: • Neutro - são processos que não estão sujeitos a requisitos, enquadrando-se no nível 0; | |
| • Corrente - são processos que, não estando sujeitos a requisitos especiais de soberania, podem estar sujeitos a outros requisitos de soberania e segurança decorrentes da demais legislação aplicável, enquadrando-se no nível 1; • Crítico - são processos que requerem o cumprimento de requisitos acrescidos, tanto de soberania como de segurança, podendo enquadrar-se no nível 2, correspondente à soberania de dados e operacional; • Estratégico - são processos de natureza estratégica que exigem o cumprimento dos mais elevados requisitos de segurança e soberania, enquadrando-se no nível 3.a, associado à soberania de software, ou no nível 3.b, que corresponde à soberania de software de âmbito nacional. Este modelo de qualificação de processos permitirá assegurar que os processos das entidades da Administração Pública, bem como os respetivos dados e sistemas que os suportam, são qualificados em função do impacto que o seu comprometimento tem na soberania nacional. Para apoiar a aplicação deste modelo, o CNCS e a ARTE, I. P., procederão: i) à definição de um procedimento de pontuação de processos de negócio; e ii) à qualificação preliminar dos processos de negócio do 2.º nível do Catálogo de Processos de Negócio da Administração Pública, disponibilizado através da Plataforma de Classificação e Avaliação da Informação Pública (CLAV). O procedimento de pontuação de processos de negócio permitirá efetuar a pontuação dos processos do 2.º nível da CLAV com base em três dimensões: 1.1 - Pessoas e vida humana: Sem Impacto, Impacto Moderado ou Impacto Significativo; 1.2 - Estabilidade do Estado: Sem Impacto, Impacto Moderado ou Impacto Significativo; 1.3 - Exposição de Dados: Sem Impacto, Impacto Moderado ou Impacto Significativo. | |
| A tabela de qualificação preliminar resultante deste exercício terá como objetivo acelerar e apoiar a qualificação a efetuar pelas entidades da Administração Pública. Sem prejuízo, as entidades da Administração Pública poderão efetuar a sua própria pontuação dos respetivos processos de negócio, com base no procedimento de pontuação de processos de negócio disponibilizado pelo CNCS e pela ARTE, I. P. Em suma, a metodologia a adotar será: 1) As entidades utilizarão a tabela de pré-qualificação a disponibilizar pelo CNCS e pela ARTE, I. P., para qualificarem os seus processos de negócio, identificando para cada processo qual o nível de soberania correspondente; 2) Na eventualidade de não concordarem com a pré-qualificação apresentada pelo CNCS e pela ARTE, I. P., as autoridades da Administração Pública poderão executar o procedimento de pontuação de processos de negócio, a disponibilizar pelo CNCS e pela ARTE, I. P.; 3) O resultado do processo de qualificação determinará o nível de soberania aplicável aos processos de negócios; e 4) Para cada nível de soberania, o CNCS e a ARTE, I. P., definirão um conjunto de requisitos de soberania e segurança a aplicar aos dados e sistemas que suportam os processos de negócio qualificados. | |
| A experiência internacional demonstra que a grande maioria dos dados da Administração Pública tende a situar-se nos níveis com menores requisitos de soberania, enquanto uma pequena percentagem exige requisitos maiores de soberania e controlo. | |
|
| |
| As percentagens indicadas na imagem acima têm carácter ilustrativo e não vinculativo, destinando-se apenas a evidenciar a lógica subjacente ao modelo de qualificação. Com efeito, a distribuição efetiva dos dados e sistemas pelos diferentes níveis de soberania poderá ser distinta. |
Iniciativa | Descrição | Início | Entidades |
|---|---|---|---|
I.1 - Modelo de qualificação dos processos de negócio | Definição de um modelo uniforme de qualificação dos processos de negócio da Administração Pública, aplicável aos dados e sistemas de informação associados. Inclui categorias de processos, o respetivo enquadramento normativo, requisitos de soberania, segurança e resiliência por nível de qualificação e, ainda, especificações técnicas associadas a tais requisitos de soberania. | S1 2026 | CNCS, ARTE, I. P., entidades da Administração Pública envolvidas no processo de inventariação |
Levantamento e inventariação dos processos e infraestruturas tecnológicas da Administração Pública, nomeadamente através da identificação e catalogação das dependências tecnológicas, vulnerabilidades e riscos. Aplicação do modelo de qualificação dos processos de negócio aos dados e sistemas inventariados. | |||
I.2 - Desenvolvimento da Oferta de Nuvem Soberana, incluindo inteligência artificial (IA) | Desenvolvimento, pelo Estado, de infraestrutura nacional soberana de nuvem, incluindo capacidades de IA soberana. Criação de um catálogo unificado de serviços de nuvem que permita a consulta das ofertas de nuvem disponíveis para a Administração Pública. | S1 2026 | ARTE, I. P, CNCS, Entidade de Serviços Partilhados da Administração Pública, I. P. (ESPAP, I. P.) e IP Telecom, Serviços de Telecomunicações, S. A., entidades da Administração Pública utilizadoras da infraestrutura soberana do Estado |
I.3 - Plano de Adoção da Nuvem Soberana | Revisão do Framework de Adoção na Nuvem, enquanto componente do MOSAICO, incorporando os princípios do PNCS. Definição de orientações práticas para apoiar as entidades da Administração Pública na tomada de decisão sobre migração, modernização ou manutenção de sistemas. Elaboração de planos de adoção setoriais para cada área governativa, estabelecendo projetos, atividades, responsabilidades, calendarização e metas para a adoção da arquitetura tecnológica de soberania definida no PNCS. Execução e acompanhamento dos planos de adoção setoriais. | S2 2026 | ARTE, I. P., CNCS, áreas governativas e respetivas entidades sob sua tutela |
I.4 - Definição de um acordo-quadro para serviços de nuvem | Análise comparativa aos modelos de contratação pública para serviços de nuvem adotados a nível internacional. Definição de princípios, diretrizes e modelos de aquisição comuns para serviços de nuvem aplicáveis a todas as entidades da Administração Pública. Definição de cláusulas-tipo, requisitos de segurança, níveis de serviço exigidos (SLAs) e guias operacionais. | S1 2027 | ARTE, I. P., ESPAP, I. P., CNCS |
Iniciativa | Descrição | Início | Entidades |
|---|---|---|---|
I.1 - Modelo de qualificação dos processos de negócio | Definição de um modelo uniforme de qualificação dos processos de negócio da Administração Pública, aplicável aos dados e sistemas de informação associados. Inclui categorias de processos, o respetivo enquadramento normativo, requisitos de soberania, segurança e resiliência por nível de qualificação e, ainda, especificações técnicas associadas a tais requisitos de soberania. | S1 2026 | CNCS, ARTE, I. P., entidades da Administração Pública envolvidas no processo de inventariação |
Levantamento e inventariação dos processos e infraestruturas tecnológicas da Administração Pública, nomeadamente através da identificação e catalogação das dependências tecnológicas, vulnerabilidades e riscos. Aplicação do modelo de qualificação dos processos de negócio aos dados e sistemas inventariados. | |||
I.2 - Desenvolvimento da Oferta de Nuvem Soberana, incluindo inteligência artificial (IA) | Desenvolvimento, pelo Estado, de infraestrutura nacional soberana de nuvem, incluindo capacidades de IA soberana. Criação de um catálogo unificado de serviços de nuvem que permita a consulta das ofertas de nuvem disponíveis para a Administração Pública. | S1 2026 | ARTE, I. P, CNCS, Entidade de Serviços Partilhados da Administração Pública, I. P. (ESPAP, I. P.) e IP Telecom, Serviços de Telecomunicações, S. A., entidades da Administração Pública utilizadoras da infraestrutura soberana do Estado |
I.3 - Plano de Adoção da Nuvem Soberana | Revisão do Framework de Adoção na Nuvem, enquanto componente do MOSAICO, incorporando os princípios do PNCS. Definição de orientações práticas para apoiar as entidades da Administração Pública na tomada de decisão sobre migração, modernização ou manutenção de sistemas. Elaboração de planos de adoção setoriais para cada área governativa, estabelecendo projetos, atividades, responsabilidades, calendarização e metas para a adoção da arquitetura tecnológica de soberania definida no PNCS. Execução e acompanhamento dos planos de adoção setoriais. | S2 2026 | ARTE, I. P., CNCS, áreas governativas e respetivas entidades sob sua tutela |
I.4 - Definição de um acordo-quadro para serviços de nuvem | Análise comparativa aos modelos de contratação pública para serviços de nuvem adotados a nível internacional. Definição de princípios, diretrizes e modelos de aquisição comuns para serviços de nuvem aplicáveis a todas as entidades da Administração Pública. Definição de cláusulas-tipo, requisitos de segurança, níveis de serviço exigidos (SLAs) e guias operacionais. | S1 2027 | ARTE, I. P., ESPAP, I. P., CNCS |
Iniciativa | Descrição | Início | Entidades |
|---|---|---|---|
II.1 - Matriz de competências para a Nuvem Soberana | Identificação dos perfis técnicos e funcionais necessários para a implementação, operação e manutenção da Nuvem Soberana na Administração Pública. Construção de uma matriz para cada perfil, que identifique as competências técnicas e funcionais necessárias à sua função, nível de proficiência exigido, bem como formações e certificações recomendadas. | S2 2026 | ARTE, I. P., Instituto Nacional de Administração, I. P. (INA, I. P.), Direção-Geral da Administração e do Emprego Público (DGAEP) |
II.2 - Plano de Capacitação em Soberania Digital | Definição de um programa de formação em soberania digital para a Administração Pública, dirigido aos perfis técnicos e funcionais mapeados na iniciativa I.1. Formação de, pelo menos, 10 % dos especialistas de informática da Administração Pública em soberania digital até 2028. Formação de, pelo menos, 1000 dirigentes e gestores de projeto da Administração Pública em soberania digital até 2030. Definição de um plano de iniciativas de partilha de conhecimento, incluindo sessões regulares de capacitação e troca de experiências entre entidades públicas que utilizem a Nuvem Soberana. | S2 2026 | ARTE, I. P., INA, I. P., Agência para a Investigação e Inovação (AI²), E. P. E., instituições de ensino superior, outras entidades relevantes |
Iniciativa | Descrição | Início | Entidades |
|---|---|---|---|
II.1 - Matriz de competências para a Nuvem Soberana | Identificação dos perfis técnicos e funcionais necessários para a implementação, operação e manutenção da Nuvem Soberana na Administração Pública. Construção de uma matriz para cada perfil, que identifique as competências técnicas e funcionais necessárias à sua função, nível de proficiência exigido, bem como formações e certificações recomendadas. | S2 2026 | ARTE, I. P., Instituto Nacional de Administração, I. P. (INA, I. P.), Direção-Geral da Administração e do Emprego Público (DGAEP) |
II.2 - Plano de Capacitação em Soberania Digital | Definição de um programa de formação em soberania digital para a Administração Pública, dirigido aos perfis técnicos e funcionais mapeados na iniciativa I.1. Formação de, pelo menos, 10 % dos especialistas de informática da Administração Pública em soberania digital até 2028. Formação de, pelo menos, 1000 dirigentes e gestores de projeto da Administração Pública em soberania digital até 2030. Definição de um plano de iniciativas de partilha de conhecimento, incluindo sessões regulares de capacitação e troca de experiências entre entidades públicas que utilizem a Nuvem Soberana. | S2 2026 | ARTE, I. P., INA, I. P., Agência para a Investigação e Inovação (AI²), E. P. E., instituições de ensino superior, outras entidades relevantes |
Iniciativa | Descrição | Início | Entidades |
|---|---|---|---|
III.1 - Simplificação e revisão do processo de aquisição de serviços nuvem | Eliminação de barreiras burocráticas associadas à aquisição de serviços nuvem, promovendo a agilidade na contratação e a abertura do mercado a fornecedores mais diversificados e a soluções de nuvem, com impacto positivo na qualidade e eficiência dos serviços prestados. Análise da possibilidade de reenquadramento orçamental das compras de serviços de nuvem. | S1 2026 | Governo de Portugal |
III.2 - Elegibilidade financeira dos serviços de computação em nuvem | Estabelecimento de condições e critérios claros para garantir que serviços de computação em nuvem possam ser elegíveis para linhas de financiamento nacionais e europeias. Análise de implicações em matéria de tratamento contabilístico dos serviços de computação em nuvem, permitindo a sua classificação como investimentos produtivos, quando associados à transformação tecnológica e à criação de valor público. | S2 2026 | Governo de Portugal |
Iniciativa | Descrição | Início | Entidades |
|---|---|---|---|
III.1 - Simplificação e revisão do processo de aquisição de serviços nuvem | Eliminação de barreiras burocráticas associadas à aquisição de serviços nuvem, promovendo a agilidade na contratação e a abertura do mercado a fornecedores mais diversificados e a soluções de nuvem, com impacto positivo na qualidade e eficiência dos serviços prestados. Análise da possibilidade de reenquadramento orçamental das compras de serviços de nuvem. | S1 2026 | Governo de Portugal |
III.2 - Elegibilidade financeira dos serviços de computação em nuvem | Estabelecimento de condições e critérios claros para garantir que serviços de computação em nuvem possam ser elegíveis para linhas de financiamento nacionais e europeias. Análise de implicações em matéria de tratamento contabilístico dos serviços de computação em nuvem, permitindo a sua classificação como investimentos produtivos, quando associados à transformação tecnológica e à criação de valor público. | S2 2026 | Governo de Portugal |
