NIS2 e Cibersegurança na WebDig Host

1. Entidade Responsável e Enquadramento Legal

Enquadramento normativo e de boas práticas

• Diretiva (UE) 2022/2555 (NIS2): relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União Europeia.
• Decreto-Lei n.º 125/2025, de 4 de dezembro: aprova o regime jurídico nacional de cibersegurança associado à transposição da Diretiva NIS2.
• Regulamento Geral sobre a Proteção de Dados (RGPD): Regulamento (UE) 2016/679 e legislação nacional complementar, nomeadamente a Lei n.º 58/2019.
• Legislação de comunicações eletrónicas e serviços digitais: na medida em que seja aplicável aos serviços efetivamente prestados.
• Normas e orientações técnicas: ISO/IEC 27001, ISO/IEC 27002, ISO/IEC 27035, ISO 22301 e recomendações da ENISA, utilizadas como referências quando adequadas, sem que tal implique certificação.

A WebDig Host adota uma abordagem baseada no risco, na proporcionalidade e nos princípios de security by design e security by default, procurando adequar as medidas implementadas à natureza, dimensão e complexidade dos serviços prestados.

Acompanhamos as orientações das autoridades nacionais competentes, incluindo o Centro Nacional de Cibersegurança (CNCS), procurando adaptar os procedimentos internos às obrigações efetivamente aplicáveis.

2. Âmbito de Aplicação e Serviços Abrangidos

A abordagem de segurança descrita nesta página abrange, na medida aplicável, os serviços e sistemas utilizados pela WebDig Host, incluindo:

• Serviços de alojamento web partilhado, WordPress e WooCommerce;
• Serviços de gestão de DNS, registo e renovação de domínios;
• Serviços de correio eletrónico e componentes associados ao respetivo funcionamento;
• Serviços de suporte técnico, migração e manutenção;
• Servidores, sistemas de gestão, painéis de controlo, bases de dados e componentes de segurança utilizados na prestação dos serviços.

O enquadramento jurídico deve ser avaliado em função da natureza das atividades efetivamente exercidas, das categorias de serviços abrangidas, dos critérios legais de dimensão e das eventuais disposições especiais aplicáveis.

Determinadas categorias de prestadores de serviços digitais e de infraestrutura podem estar sujeitas a regras específicas, pelo que a dimensão da empresa não constitui necessariamente o único critério de enquadramento.

A avaliação formal da atividade da WebDig Host encontra-se em preparação. Até à sua conclusão, a WebDig Host não declara possuir classificação formal como entidade essencial ou importante, sem prejuízo do cumprimento das obrigações legais que lhe sejam aplicáveis.

3. Definições Relevantes

• Incidente de Segurança: evento ou série de eventos que comprometa ou possa comprometer a confidencialidade, integridade, disponibilidade ou autenticidade dos sistemas de informação ou dos dados tratados.
• Gestão de Risco de Cibersegurança: processo de identificação, análise, avaliação, tratamento e monitorização dos riscos associados aos ativos, serviços e operações.
• Ativos Críticos: sistemas, aplicações, dados ou componentes cuja indisponibilidade ou comprometimento possa causar impactos significativos na prestação dos serviços.
• Medidas Técnicas e Organizativas: controlos, procedimentos, ferramentas e políticas destinados a reduzir a probabilidade e o impacto de incidentes.
• Cadeia de Fornecimento: conjunto de fornecedores, parceiros e prestadores de serviços que suportam direta ou indiretamente a atividade.
• CSIRT/CERT: equipas de resposta a incidentes de cibersegurança que podem apoiar a análise, contenção e resolução de incidentes.

4. Governação e Responsabilidades

A WebDig Host organiza as responsabilidades de cibersegurança de acordo com a dimensão e a estrutura efetiva da sua atividade, procurando assegurar uma atribuição clara de funções.

• Responsável Técnico: coordenação das medidas técnicas, monitorização de sistemas, gestão de vulnerabilidades e resposta a incidentes.
• Função de Conformidade e Segurança: acompanhamento dos requisitos legais aplicáveis, políticas, registos e procedimentos, sem pressupor a existência de um departamento autónomo.
• Encarregado de Proteção de Dados (EPD): a WebDig Host dispõe de um EPD formalmente designado, com as funções previstas nos artigos 38.º e 39.º do RGPD, incluindo aconselhamento, acompanhamento da conformidade e cooperação com a autoridade de controlo.
• Gestão de Topo: aprovação das orientações de segurança, avaliação dos recursos necessários e responsabilidade pelas decisões estratégicas da atividade.

As responsabilidades de cibersegurança e proteção de dados são distintas, embora possam exigir articulação, especialmente quando um incidente afete simultaneamente a segurança dos sistemas e os dados pessoais.

As necessidades de formação e os procedimentos internos são avaliados de forma proporcional à dimensão da atividade e à criticidade dos sistemas.

5. Gestão de Risco e Medidas de Cibersegurança

Em alinhamento com os princípios de gestão de risco da NIS2, a WebDig Host desenvolve e aperfeiçoa procedimentos destinados a identificar, avaliar e reduzir riscos relevantes para os seus serviços.

Estas atividades podem incluir:

• Identificação de ativos relevantes, como servidores, bases de dados, redes, sistemas de gestão e dados de clientes;
• Avaliação de ameaças e vulnerabilidades, incluindo ataques DDoS, malware, exploração de vulnerabilidades, acessos não autorizados e erros humanos;
• Análise da probabilidade e do impacto dos riscos identificados;
• Definição de medidas de mitigação proporcionais aos riscos;
• Revisão das medidas em função de alterações tecnológicas, novas ameaças e incidentes conhecidos.

5.1. Medidas técnicas e organizativas

Consoante o serviço, a infraestrutura e a respetiva configuração, as medidas adotadas ou em aperfeiçoamento podem incluir:

• Isolamento de contas e ambientes de alojamento;
• Segmentação de redes e separação de funções administrativas, quando aplicável;
• Utilização de firewalls e mecanismos de deteção e mitigação de ameaças;
• Configuração segura de sistemas operativos e serviços;
• Gestão de credenciais, permissões e mecanismos de autenticação;
• Monitorização de registos e alertas de segurança;
• Procedimentos de atualização e correção de vulnerabilidades;
• Cópias de segurança e mecanismos de recuperação, conforme as condições do serviço;
• Controlo de alterações relevantes à infraestrutura.

A existência de uma tecnologia ou mecanismo numa parte da infraestrutura não significa que esteja disponível ou ativo em todos os serviços.

5.2. Tecnologias utilizadas na infraestrutura

A WebDig Host utiliza diferentes componentes técnicos para administrar os serviços e apoiar a proteção dos ambientes alojados.

• Enhance: plataforma de gestão de alojamento utilizada para administrar websites, contas de email, bases de dados e outros recursos, de acordo com as permissões e funcionalidades disponíveis.
• OpenLiteSpeed: servidor web utilizado na infraestrutura, com suporte a HTTP/2 e, quando ativo e operacional, HTTP/3 sobre QUIC.
• cPFence: solução utilizada para apoiar a proteção dos ambientes de alojamento, incluindo mecanismos de deteção e bloqueio de determinadas atividades suspeitas.
• Rspamd: tecnologia utilizada na análise e filtragem de correio eletrónico, incluindo verificações de autenticação e indicadores de reputação.

Estas tecnologias integram a abordagem de proteção da infraestrutura, mas não eliminam integralmente os riscos de segurança.

Por razões de segurança, a WebDig Host não divulga publicamente regras internas de deteção, limiares de bloqueio ou outras configurações sensíveis.

6. Inventário de Ativos e Arquitetura de Segurança

A identificação dos ativos relevantes permite apoiar a gestão de riscos, o planeamento de manutenção e a resposta a incidentes.

A WebDig Host procura manter informação organizada sobre os componentes necessários à prestação dos serviços, incluindo, quando existentes:

• Servidores físicos e virtuais;
• Componentes de rede e mecanismos de proteção;
• Sistemas de gestão de alojamento, faturação e suporte;
• Bases de dados e repositórios de informação;
• Ferramentas de monitorização e segurança;
• Dependências de fornecedores e serviços externos relevantes.

A arquitetura técnica procura aplicar princípios de defesa em profundidade, isolamento de ambientes e limitação de privilégios.

A aplicação destas medidas depende das características dos sistemas e não elimina a possibilidade de falhas ou comprometimento.

7. Gestão de Acessos, Identidade e Registos (Logs)

A gestão de acessos procura respeitar os princípios do menor privilégio e da necessidade de saber.

As medidas aplicáveis podem incluir:

• Utilização de contas individuais para pessoas autorizadas;
• Atribuição de permissões de acordo com as funções desempenhadas;
• Proteção reforçada de contas administrativas e privilegiadas;
• Autenticação multifator quando suportada e configurada;
• Revisão e revogação de acessos que deixem de ser necessários;
• Registo de eventos relevantes para segurança e administração.

7.1. Registos de atividade

Os sistemas podem produzir registos técnicos relacionados com autenticação, administração, funcionamento dos serviços e eventos de segurança.

Estes registos podem ser utilizados para:

• Identificação de tentativas de acesso indevido;
• Investigação de incidentes;
• Diagnóstico de falhas técnicas;
• Verificação de alterações relevantes;
• Cumprimento de obrigações legais aplicáveis.

O acesso aos registos deve ser limitado às pessoas autorizadas. Os períodos de conservação dependem da natureza dos dados, das finalidades do tratamento, dos requisitos técnicos e das obrigações legais aplicáveis.

7.2. Bloqueios de segurança

Determinados comportamentos suspeitos podem originar bloqueios automáticos de endereços IP ou outras medidas de proteção.

A duração dos bloqueios pode variar consoante a gravidade da atividade detetada e a eventual reincidência.

Os pedidos de análise ou desbloqueio devem ser encaminhados através do Suporte Técnico.

Os bloqueios automáticos não implicam necessariamente o envio de uma notificação individual ao utilizador afetado.

8. Gestão de Vulnerabilidades e Atualizações

A WebDig Host acompanha informação relevante sobre vulnerabilidades de segurança e procura aplicar medidas corretivas proporcionais aos riscos identificados.

As práticas de gestão de vulnerabilidades incluem:

• Acompanhamento de boletins de segurança e comunicações de fabricantes e fornecedores;
• Avaliação do impacto das vulnerabilidades nos sistemas utilizados;
• Planeamento e aplicação de atualizações e correções de segurança;
• Priorização de vulnerabilidades críticas, especialmente quando exista exploração ativa conhecida;
• Verificação do funcionamento dos serviços após alterações relevantes;
• Registo de intervenções técnicas, quando adequado.

As atualizações são planeadas tendo em conta a urgência da correção, a compatibilidade técnica e o impacto potencial na disponibilidade dos serviços.

Quando uma vulnerabilidade possa afetar diretamente os serviços de clientes, a WebDig Host procurará comunicar a informação relevante e, quando necessário, as medidas adicionais que devam ser adotadas pelos próprios clientes.

9. Continuidade de Negócio e Recuperação de Desastres

A continuidade dos serviços e a recuperação após falhas são componentes relevantes da gestão de risco.

A WebDig Host desenvolve e revê medidas proporcionais à criticidade dos serviços e às condições da infraestrutura, incluindo, quando aplicável:

• Procedimentos de cópia de segurança e recuperação;
• Utilização de mecanismos de redundância disponíveis;
• Identificação de dependências críticas de fornecedores;
• Planeamento de resposta a falhas de servidores, rede, DNS ou outros componentes;
• Verificação dos mecanismos de recuperação, de acordo com as condições técnicas aplicáveis.

Podem ser definidos objetivos internos de recuperação, incluindo RTO (Recovery Time Objective) e RPO (Recovery Point Objective), quando adequados.

Em caso de interrupção significativa, a WebDig Host procurará comunicar pelos canais oficiais disponíveis o impacto conhecido, as medidas em curso e, quando possível, informações sobre a recuperação dos serviços.

10. Gestão e Notificação de Incidentes de Cibersegurança

A WebDig Host desenvolve e aplica procedimentos de resposta a incidentes proporcionais aos riscos e às obrigações legais aplicáveis.

Estes procedimentos contemplam as seguintes fases:

• Deteção e Registo: identificação de eventos anómalos através de monitorização, alertas ou comunicações de clientes e terceiros.
• Classificação: avaliação da natureza, gravidade, alcance e impacto do incidente.
• Contenção: adoção de medidas destinadas a limitar a propagação e os efeitos do incidente.
• Erradicação e Recuperação: identificação e correção das causas, recuperação dos sistemas e normalização dos serviços.
• Análise Pós-Incidente: avaliação das causas, identificação de melhorias e atualização dos procedimentos de segurança.

10.1. Notificação de incidentes de cibersegurança

Quando exista obrigação legal de notificação de incidentes de cibersegurança, a WebDig Host procederá às comunicações exigidas perante as autoridades competentes, nos termos, condições e prazos previstos no regime jurídico aplicável.

A identificação da autoridade competente, dos critérios de notificação e dos prazos depende do enquadramento legal da atividade e da natureza do incidente.

10.2. Violações de dados pessoais

Quando um incidente envolva uma violação de dados pessoais, são igualmente aplicáveis as disposições do RGPD, incluindo os artigos 33.º e 34.º, quando preenchidos os respetivos pressupostos.

Quando a WebDig Host atue como subcontratante, comunicará ao cliente responsável pelo tratamento as violações de dados pessoais de que tome conhecimento sem atrasos injustificados.

Quando a WebDig Host atue como responsável pelo tratamento, avaliará as obrigações de notificação à Comissão Nacional de Proteção de Dados (CNPD) e de comunicação aos titulares afetados.

10.3. Comunicação aos clientes

Quando um incidente afete os serviços de clientes, a WebDig Host procurará disponibilizar informação relevante sobre a situação, os impactos conhecidos e as medidas adotadas, sem prejuízo dos deveres legais específicos de notificação.

A comunicação terá em consideração a segurança dos sistemas, a confidencialidade da informação e eventuais instruções legalmente vinculativas das autoridades competentes.

Para informação adicional, consulta os Procedimentos de Incidentes.

11. Obrigações e Cooperação com Clientes

A segurança dos serviços digitais constitui uma responsabilidade partilhada entre a WebDig Host e os respetivos clientes.

Na medida em que as operações estejam sob o seu controlo, os clientes devem:

• Manter atualizados os websites, sistemas de gestão de conteúdos, temas, plugins e aplicações;
• Utilizar credenciais robustas e mecanismos adicionais de autenticação quando disponíveis;
• Gerir adequadamente as permissões e os acessos aos sistemas;
• Comunicar prontamente suspeitas de incidentes relacionados com os serviços contratados;
• Respeitar a legislação aplicável aos conteúdos alojados e aos dados tratados;
• Evitar atividades que comprometam a segurança, integridade ou disponibilidade da infraestrutura ou de terceiros.

A WebDig Host pode disponibilizar orientações e mecanismos de proteção relacionados com malware, utilização abusiva dos serviços, reputação de endereços IP e outras ameaças, de acordo com as funcionalidades e condições aplicáveis.

12. Cadeia de Fornecimento e Subprocessadores

A WebDig Host procura avaliar os riscos associados aos fornecedores e prestadores de serviços que suportam a sua infraestrutura e operações.

Esta avaliação pode considerar:

• Dependências de datacenters, conectividade, DNS, serviços de email e outras tecnologias críticas;
• Condições contratuais relevantes para segurança e proteção de dados;
• Disponibilidade e continuidade dos serviços fornecidos;
• Informação sobre incidentes, alterações relevantes e riscos conhecidos;
• Garantias de proteção de dados aplicáveis às operações realizadas por subprocessadores.

12.1. Subprocessadores e proteção de dados

A WebDig Host mantém uma Lista de Subprocessadores destinada a identificar as entidades relevantes que tratem dados pessoais por conta dos clientes, nos termos aplicáveis do RGPD.

As obrigações aplicáveis aos subprocessadores não devem ser confundidas com as relações comerciais com fornecedores que não tratem dados pessoais por conta dos clientes.

13. Formação, Sensibilização e Cultura de Cibersegurança

A WebDig Host procura promover práticas de sensibilização e formação adequadas às pessoas que intervêm na administração e operação dos serviços.

Estas práticas podem incluir:

• Orientação sobre phishing, engenharia social e proteção de credenciais;
• Atualização de conhecimentos técnicos relacionados com sistemas e serviços administrados;
• Divulgação de alertas e recomendações de segurança;
• Análise de lições aprendidas com incidentes ou situações de risco;
• Boas práticas de utilização de equipamentos, acessos remotos e sistemas de administração.

A natureza e a periodicidade das ações dependem das funções desempenhadas, da dimensão da atividade e dos riscos identificados.

14. Auditorias, Testes e Melhoria Contínua

A WebDig Host procura melhorar continuamente as suas medidas de segurança, recorrendo, de acordo com o risco e os recursos disponíveis, a mecanismos de avaliação técnica e organizativa.

Estes mecanismos podem incluir:

• Revisão de políticas, procedimentos e configurações relevantes;
• Verificações técnicas de segurança;
• Avaliação de vulnerabilidades conhecidas;
• Testes de segurança, quando tecnicamente adequados e devidamente autorizados;
• Análise de incidentes e de medidas corretivas;
• Atualização dos controlos de acordo com a evolução das ameaças.

A referência a normas internacionais e a práticas de auditoria não significa que a WebDig Host disponha de certificações ou auditorias externas específicas, salvo quando expressamente indicado.

15. Articulação com o RGPD e Proteção de Dados

As medidas de cibersegurança e as obrigações de proteção de dados pessoais são complementares, mas possuem fundamentos e requisitos legais próprios.

A WebDig Host procura assegurar que:

• As medidas de segurança contribuem para proteger a confidencialidade, integridade e disponibilidade dos dados pessoais;
• As funções de responsável pelo tratamento e subcontratante são identificadas de acordo com as operações efetivamente realizadas;
• O Acordo de Tratamento de Dados estabelece as obrigações aplicáveis ao tratamento efetuado por conta dos clientes;
• As violações de dados pessoais são avaliadas e tratadas nos termos do RGPD;
• O Encarregado de Proteção de Dados desempenha as funções legalmente previstas no âmbito da sua designação formal.

Para questões relacionadas com proteção de dados, os clientes podem utilizar o canal do Encarregado de Proteção de Dados.

16. Cooperação com Autoridades Competentes e CSIRTs

A WebDig Host coopera com as autoridades competentes em matéria de cibersegurança e proteção de dados, nos termos das obrigações legais aplicáveis.

Esta cooperação pode incluir:

• Resposta a pedidos de informação legalmente fundamentados;
• Comunicação de incidentes sujeitos a notificação obrigatória;
• Colaboração na investigação e mitigação de incidentes;
• Adoção de medidas legalmente exigidas ou tecnicamente justificadas;
• Articulação com equipas CSIRT/CERT relevantes, quando necessário.

A cooperação com autoridades respeita os direitos fundamentais, a confidencialidade da informação, a proteção de dados pessoais e as demais obrigações legais aplicáveis.

17. Documentação, Registos e Evidências de Segurança

Para apoiar a gestão da segurança e a avaliação do cumprimento das obrigações aplicáveis, a WebDig Host procura organizar documentação e registos relevantes.

Consoante a natureza das operações, estes elementos podem incluir:

• Políticas e procedimentos internos de segurança;
• Registos de incidentes e das medidas adotadas;
• Informação sobre vulnerabilidades e atualizações relevantes;
• Documentação de avaliação de riscos;
• Registos de alterações técnicas significativas;
• Relatórios de verificações e testes, quando realizados;
• Registos de comunicações relevantes com clientes e autoridades.

O conteúdo, a conservação e o acesso a estes registos dependem das finalidades, das necessidades operacionais e das obrigações legais aplicáveis.

18. Limitações, Exclusões e Partilha de Responsabilidade

Embora a WebDig Host adote medidas de cibersegurança destinadas a reduzir riscos, não é possível garantir proteção absoluta contra todas as ameaças.

A segurança depende das medidas aplicadas pela WebDig Host, das práticas dos clientes e dos sistemas e serviços de terceiros envolvidos na prestação dos serviços.

Nada nesta página deve ser interpretado como garantia absoluta de disponibilidade ininterrupta, ausência de falhas, recuperação integral de dados ou proteção contra todas as formas de ataque.

As responsabilidades da WebDig Host e dos clientes são determinadas pelos contratos e pela legislação imperativa aplicável, que não pode ser afastada pelo conteúdo desta página.

Os clientes mantêm a responsabilidade pela segurança das aplicações, conteúdos, credenciais e configurações sob o seu controlo, salvo quando determinadas operações sejam expressamente assumidas pela WebDig Host no âmbito de um serviço contratado.

19. Revisão Periódica e Atualização desta Política

A presente página será revista quando ocorram alterações relevantes no enquadramento legal, nos serviços prestados ou nas medidas de segurança aplicáveis.

A avaliação formal do enquadramento da WebDig Host no regime NIS2 encontra-se em preparação.

As alterações a esta página destinam-se a manter a informação atualizada e não constituem, por si só, certificação, reconhecimento oficial ou validação externa de conformidade.

20. Contactos e Comunicação de Incidentes

Para pedidos de assistência, comunicação de incidentes ou questões relacionadas com proteção de dados, estão disponíveis os canais oficiais da WebDig Host indicados abaixo.

As comunicações devem incluir informação suficiente para permitir a identificação e análise da situação, evitando a divulgação desnecessária de dados pessoais ou credenciais de acesso.