Soluções · Indústria e construção mecânica
Na construção mecânica, os requisitos vêm normalmente do cliente: uma gestão da qualidade segundo a ISO 9001, um questionário sobre segurança da informação, uma cláusula no contrato-quadro. A isto junta-se a NIS2 para fabricantes de média e grande dimensão. O Sightadel organiza tudo numa só plataforma, distribui as tarefas pela qualidade, pela TI e pela produção e regista o que está comprovado.
Ponto de partida
Muitos fabricantes de média dimensão têm há anos um certificado ISO 9001. A gestão da qualidade está consolidada, o manual atualizado, a auditoria de acompanhamento é rotina. A segurança da informação, pelo contrário, andou muito tempo em segundo plano. O departamento de TI ocupa-se da firewall, das cópias de segurança e das contas de utilizador; a produção, dos seus sistemas de comando. Uma visão de conjunto comum é rara.
Isto está a mudar a partir de três direções. Os grandes clientes, sobretudo da indústria automóvel, exigem aos seus fornecedores evidências de segurança da informação e enviam questionários extensos. Desde dezembro de 2025, a lei alemã de transposição da NIS2 (NIS2UmsuCG) abrange também fabricantes de máquinas, componentes para veículos e eletrónica a partir da média dimensão. E, com o Regulamento de Ciber-Resiliência, surgem obrigações para produtos com elementos digitais, ou seja, para máquinas ligadas em rede e o respetivo software.
A boa notícia: uma empresa com uma gestão da qualidade efetivamente aplicada já tem as bases. O controlo de documentos, a auditoria interna, a revisão pela gestão e as ações corretivas funcionam segundo o mesmo modelo também para a segurança da informação. Quem gere ambos num só sistema mantém estes processos uma única vez.
Porquê agora
Um OEM ou um grande fornecedor envia um questionário sobre segurança da informação ou exige uma avaliação segundo uma norma setorial. As respostas têm de poder ser comprovadas, e a data normalmente já está fixada.
A construção mecânica, a construção de veículos e a eletrónica fazem parte da indústria transformadora no anexo 2 da lei alemã do BSI (BSIG). A partir de 50 trabalhadores ou de mais de 10 milhões de euros de volume de negócios anual e de balanço total, os fabricantes são, em regra, entidades importantes. Daí decorrem o registo, a gestão de riscos e as obrigações de notificação.
Um software malicioso paralisa os computadores de projeto ou a sala de comando, e a produção para. Depois, a seguradora, os clientes e a gestão de topo perguntam que medidas existiam e por que razão a rede administrativa e a rede de produção não estavam separadas.
Em setembro de 2026 foi publicada uma nova versão da ISO 9001. Para as empresas certificadas, decorre um período de transição. É uma boa altura para arrumar a gestão da qualidade e incluir logo a segurança da informação.
Máquinas com manutenção remota, aplicações ou ligação à nuvem são consideradas produtos com elementos digitais. O Regulamento de Ciber-Resiliência impõe requisitos próprios aos seus fabricantes. As primeiras obrigações de notificação já se aplicam.
Nas empresas familiares, os compradores e os bancos verificam hoje também a segurança da informação e os riscos da cadeia de abastecimento. Um nível de evidências organizado evita perguntas adicionais e reduções de preço.
Frameworks relevantes
Resumido por palavras nossas, não constitui aconselhamento jurídico. Prevalece o texto original na versão em vigor.
Não é exigida por lei, mas na indústria é normalmente condição para contratos-quadro e aprovações de fornecedores. A nova versão de 2026 mantém a estrutura habitual. Os certificados existentes mantêm-se válidos durante o período de transição, e a migração é feita no âmbito de uma auditoria do organismo de certificação.
Ver framework →O certificado de segurança da informação reconhecido internacionalmente. Muitos clientes aceitam-no como evidência ou como base. As avaliações setoriais que os fabricantes automóveis exigem aos fornecedores assentam, em termos de conteúdo, na ISO 27001. Um SGSI segundo a ISO 27001 cria uma base sólida para isso, mas não substitui essa avaliação.
Ver framework →Os fabricantes de máquinas, veículos, componentes para veículos, equipamento elétrico e eletrónica estão referidos no anexo 2 da BSIG. A partir da média dimensão são considerados entidades importantes. O decisivo é a atividade efetivamente exercida, e não a inscrição no registo comercial. Os fabricantes mais pequenos são muitas vezes alcançados pelos requisitos na mesma, porque os clientes abrangidos têm de avaliar a sua cadeia de abastecimento.
Ver framework →Aplica-se a todas as empresas, mesmo quando o foco está em dados técnicos. Dados de pessoal, contactos de clientes, controlo de acessos físicos e videovigilância na fábrica são os temas típicos. As medidas técnicas podem ser comprovadas com as mesmas provas que no SGSI.
Ver framework →Para fabricantes com clientes ou empresa-mãe nos EUA, é uma linguagem muito usada para apresentar o grau de maturidade da cibersegurança. Não é um certificado, mas é um quadro útil para o reporte à gestão de topo.
Ver framework →Ordem recomendada
Primeiro, verifique se a sua empresa, pela atividade e pela dimensão, está abrangida pela NIS2. Em paralelo, reúna o que os seus principais clientes exigem contratualmente. Daí resulta qual o objetivo prioritário e até quando.
Locais, fábricas, redes de produção, projeto, vendas e assistência: o que entra no âmbito do SGSI? Com uma gestão da qualidade existente, aproveita o contexto, as partes interessadas e o mapa de processos e acrescenta a perspetiva da segurança da informação.
A TI conhece os servidores, os postos de trabalho e os serviços de nuvem. Os sistemas de comando, os computadores de operação, os acessos de manutenção remota e os sistemas antigos sem atualizações muitas vezes só a produção os conhece. As duas listas têm de ser juntas; caso contrário, a maior superfície de ataque fica por avaliar.
As perguntas de controlo são respondidas e acompanhadas de provas. Os pontos em aberto tornam-se medidas com prazo e responsáveis. Os blocos típicos são a separação de redes, a manutenção remota, os testes de recuperação e a avaliação dos fornecedores.
A auditoria interna e a revisão pela gestão são feitas em conjunto com a gestão da qualidade. Ao abrigo da NIS2, a gestão de topo aprova ainda, com data, a implementação das medidas, supervisiona-a e recebe formação.
A auditoria de certificação fica a cargo de um organismo acreditado à sua escolha. Depois, as auditorias de acompanhamento, as formações e os testes funcionam como ciclos recorrentes, para que o ponto de situação ainda esteja correto no próximo questionário de cliente.
Foco
Três temas distinguem a construção mecânica de outros setores. Merecem desde o início um lugar próprio no sistema.
Os sistemas de comando e os computadores de operação funcionam muitas vezes durante muitos anos, alguns com sistemas operativos sem suporte do fabricante. Substituí-los raramente é possível de imediato. Um SGSI não exige então uma compra nova, mas uma avaliação consciente: separação de redes, acessos restritos, exceções documentadas com fundamentação e data de validade.
Muitas instalações recebem manutenção remota, pela assistência própria ou pelo fornecedor de um componente. Quem pode aceder e quando, como é o acesso autorizado e registado? Estas perguntas constam de quase todos os questionários de clientes e das medidas exigidas pela NIS2.
Avalia os seus próprios fornecedores, por exemplo de software, serviços de nuvem, componentes eletrónicos e produção subcontratada. Ao mesmo tempo, os seus clientes avaliam-no a si. Uma lista de fornecedores mantida em dia e um Trust Center respondem aos dois lados com os mesmos dados.
O Regulamento (UE) 2024/2847 diz respeito aos fabricantes de produtos com elementos digitais. Desde 11 de setembro de 2026 aplicam-se obrigações de notificação de vulnerabilidades ativamente exploradas e de incidentes graves; a maioria das restantes obrigações aplica-se a partir de 11 de dezembro de 2027. O Sightadel não tem um módulo próprio para isso. Mas os requisitos podem ser criados como framework próprio, e muito do SGSI serve também aí, como a gestão de vulnerabilidades e os canais de notificação.
Como o Sightadel ajuda
A ISO 9001, a ISO 27001 e a NIS2 são trabalhadas pergunta de controlo a pergunta de controlo. Onde os requisitos coincidem, como no controlo de documentos, na auditoria interna e na revisão pela gestão, uma prova serve vários frameworks.
Saber mais →As lacunas tornam-se tarefas com prazo e responsáveis. A qualidade, a TI e a produção veem a sua parte. Prestadores externos, como quem gere as redes de produção, colaboram diretamente como Contributor.
Saber mais →Fornecedores de software, serviços de nuvem, subcontratados de produção e parceiros de manutenção remota são geridos com criticidade, questionário e evidências com data de validade. Os certificados expirados saltam à vista antes de o cliente perguntar por eles.
Saber mais →Os seus clientes veem certificados, políticas aprovadas e medidas de segurança numa página própria. Muitas perguntas dos questionários de fornecedores ficam assim respondidas antes de serem feitas.
Saber mais →Catálogos de requisitos específicos de clientes, normas internas de fábrica ou os requisitos do Regulamento de Ciber-Resiliência são criados como framework próprio, também por importação de Excel ou Word.
Saber mais →O Sightadel verifica a superfície de ataque dos seus domínios visível de fora, como o site, o servidor de correio e o portal de clientes. O que qualquer atacante vê, vê-o primeiro.
Saber mais →Visão de fora
Os questionários dos OEM perguntam cada vez mais por análises de vulnerabilidades e pelo tratamento das constatações. Em conjunto com a veyrisk, verificamos os seus sistemas acessíveis a partir do exterior, como acessos de manutenção remota, VPN e portais de clientes. Os resultados ficam guardados como evidência no Sightadel e respondem às perguntas correspondentes do questionário.
Fabricantes de média dimensão com manutenção remota, portais de clientes ou obrigações NIS2
Para separar a rede administrativa da rede de produção, oferecemos também firewalls de hardware da Valar. O que se adequa esclarecemos numa breve conversa.
Pedir consultoriaEsforço e duração
Os intervalos refletem a experiência e não constituem um compromisso. O que mais pesa é o número de locais, o estado das redes de produção e o tempo que a TI e a produção conseguem dedicar além do trabalho do dia a dia.
O que licencia · tipicamente Professional
Uma PME típica gere a ISO 9001 e a ISO 27001 em conjunto na edição Professional. Esta inclui dez utilizadores, 25 fornecedores e três frameworks próprios, o suficiente para a qualidade, a TI, a produção e um catálogo de cliente. A ISO 9001 e a ISO 27001 em si ficam no preço de tabela. Se a NIS2 for acrescentada quando necessário, tem um desconto permanente.
Licença por framework, duração mínima de um ano, pagamento mensal ou anual. Todos os preços, descontos e uma calculadora estão na página de preços. Os custos de um organismo de certificação ou de auditoria acrescem à parte.
Perguntas e respostas
Mais nas nossas perguntas frequentes ou diretamente através do nosso formulário de contacto.
Não. O Sightadel não realiza avaliações setoriais da indústria automóvel nem prepara especificamente para elas. Mas um SGSI segundo a ISO 27001 cobre muitos dos temas que essas avaliações verificam e cria assim uma boa base. Que verificação o seu cliente exige concretamente deve esclarecer diretamente com ele.
Não. As duas normas partilham a estrutura de base. O contexto, a liderança, o controlo de documentos, a auditoria interna, a revisão pela gestão e a melhoria são geridos em conjunto. No Sightadel, uma evidência fica associada aos dois frameworks. As novidades são sobretudo a análise de risco de segurança da informação e as medidas do Anexo A.
Se fabrica máquinas, veículos, componentes para veículos, equipamento elétrico ou eletrónica e tem pelo menos 50 trabalhadores ou mais de 10 milhões de euros de volume de negócios anual e de balanço total, há muitos indícios de que sim. Seria então uma entidade importante. Em grupos de empresas e com várias atividades, a análise torna-se minuciosa. O enquadramento final é uma questão jurídica para a sua assessoria.
Documentando com honestidade. Nenhum referencial exige que instalações em funcionamento sejam substituídas de imediato. Espera-se que conheça, avalie e limite o risco, por exemplo através da separação de redes e de acessos restritos. No Sightadel regista essas exceções com fundamentação, responsável e data de validade.
O seu certificado mantém-se válido durante o período de transição. A migração é verificada pelo seu organismo de certificação, normalmente em conjunto com uma auditoria de acompanhamento ou de recertificação. As datas exatas são acordadas com ele. Compensa não esperar pelo último ano, porque a capacidade de auditoria fica então escassa.
Não, de momento não. Pode criar os requisitos como framework próprio e trabalhar com perguntas de controlo, responsáveis e evidências como em qualquer outro referencial. Se e como os seus produtos estão abrangidos pelo regulamento deve ser esclarecido com a sua assessoria jurídica.
Sim. O Sightadel tem seis funções. Os colaboradores da produção ou um prestador de serviços para as redes de produção trabalham nas suas tarefas como Contributor, a gestão de topo acompanha como Viewer e o seu auditor recebe a função Auditor, sem permissão para apagar. O registo de atividade mostra quem fez o quê e quando.
14 dias, acesso completo, sem dados de pagamento. Tudo o que configurar mantém-se no plano pago.
