GDPR.pt: a marca nasceu com a privacidade. O trabalho já vinha de trás, e foi muito mais longe.
Comecei em tecnologias de informação em 1981 e em segurança da informação em 1989, nos meios de pagamento, quando segurança ainda não era palavra de gestão.
Hoje: auditoria, consultoria e formação em privacidade e RGPD, Segurança da Informação, cibersegurança e continuidade, identidade e confiança digital (eIDAS) e inteligência artificial.
porFernando Fevereiro Mendes
O que mudou
O quadro deixou de ser voluntário.
Durante anos, boa parte destas matérias viveu de boas práticas e de adesão voluntária. Quem quisesse, fazia. Deixou de ser assim: há obrigações, há prazos e há autoridades com competência para verificar.
A pergunta já não é se vale a pena. É onde é que a sua organização está.
Domínios
Quatro domínios que, na prática, se atravessam.
Privacidade e protecção de dados
Cumprir o RGPD sem transformar a organização num arquivo de papéis. Avaliação do que existe, correcção do que falta, e a decisão informada sobre o resto.
Auditoria · Consultoria · Formação · Apoio a DPO
Ver em detalhe
Segurança da Informação, cibersegurança e continuidade
Sistemas de gestão que resistem a uma auditoria e a um incidente, e não só à primeira. ISO/IEC 27001, ISO 22301, gestão do risco, e o que a NIS2 passou a exigir.
Auditoria · Consultoria · Formação
Ver em detalhe
Identidade e confiança digital (eIDAS)
Avaliação de conformidade de prestadores de serviços de confiança, segundo o Regulamento (UE) n.º 910/2014 e as normas ETSI aplicáveis.
Auditoria
Ver em detalhe
Inteligência artificial
Governação da inteligência artificial: implementar um sistema de gestão que aguente escrutínio, e saber onde a organização está face ao AI Act antes de alguém lho perguntar.
Consultoria · Análise de lacunas · Auditoria interna
Ver em detalhe
Privacidade e protecção de dados
RGPD · Lei n.º 58/2019 · ISO/IEC 27701
- Auditoria. Avaliação do tratamento de dados face ao RGPD: registos, fundamentos de licitude, contratos com subcontratantes, transferências internacionais, resposta a direitos dos titulares e gestão de violações.
- Consultoria. Construção ou revisão do programa de privacidade, avaliações de impacto sobre a protecção de dados, políticas e procedimentos que as pessoas consigam seguir.
- Formação. Sensibilização de equipas, formação técnica para quem trata dados, e preparação de quem exerce a função de encarregado de protecção de dados.
- Apoio a encarregado de protecção de dados (DPO). Apoio continuado a quem exerce a função noutra organização: segunda opinião, apoio técnico e revisão de trabalho.
Segurança da Informação, cibersegurança e continuidade
Decreto-Lei n.º 125/2025 (NIS2) · DORA · ISO/IEC 27001 · ISO 22301 · ISO 31000 e ISO/IEC 27005 · QNRCS
- Auditoria de sistemas de gestão. Auditoria a sistemas de gestão de segurança da informação e de continuidade de negócio: interna, de fornecedor, ou preparação para a auditoria de certificação.
- Enquadramento, análise de lacunas e avaliação da conformidade face ao regime jurídico da cibersegurança. Determinar se a organização é abrangida, o que isso implica, onde está hoje e o que falta fazer.
- Consultoria de implementação. Do diagnóstico inicial até ao sistema pronto a ser certificado por um organismo independente.
- Gestão do risco. Metodologia, avaliação e tratamento do risco, com critérios que a gestão de topo consiga usar para decidir.
- Continuidade de negócio. Análise de impacto, estratégias de continuidade, planos e exercícios que se testam antes de serem precisos.
- Formação. Cursos de auditor e de implementador, e formação à medida das equipas.
Identidade e confiança digital (eIDAS)
Regulamento (UE) n.º 910/2014 · normas ETSI EN 319
- Avaliação de conformidade de prestadores de serviços de confiança. Auditoria conduzida no âmbito de organismos de avaliação da conformidade, segundo o Regulamento eIDAS e as normas ETSI aplicáveis ao serviço em causa.
Neste domínio a intervenção é exclusivamente de auditoria. A independência do auditor não se reparte: quem avalia a conformidade não pode aconselhar quem vai ser avaliado.
↑ voltar aos domíniosInteligência artificial
AI Act · ISO/IEC 42001
- Consultoria de implementação. Construção de um sistema de gestão de inteligência artificial: inventário dos sistemas em uso, papéis e responsabilidades, avaliação de risco e controlos que se conseguem demonstrar.
- Análise de lacunas face ao AI Act. Onde é que a organização está hoje, o que lhe é exigível, e o que falta, antes de ser um cliente ou um regulador a fazer a pergunta.
- Auditoria interna. Verificação independente do que foi implementado, com o mesmo método das outras normas de sistemas de gestão.
Como trabalho
Auditar, implementar e ensinar são três posturas diferentes.
Auditoria
Auditoria independente, com o distanciamento que a independência exige. O relatório diz o que encontrou, não o que agrada.
Consultoria
Implementar de forma a passar uma certificação conduzida por terceiros. A prova mais forte de que o sistema funciona não é a minha opinião: é a de um organismo acreditado que não tem interesse nenhum em agradar-me.
Formação
Formador certificado pelo Estado português. Ensino o que auditei e implementei, e os formandos são postos à prova em exame de certificação.
Experiência
O que já foi auditado, e o que já foi certificado.
Do lado da auditoria
Centenas de auditorias, em Portugal, Espanha, França, Alemanha, Suíça, Estados Unidos e Brasil. Só num dos organismos de certificação estão registadas mais de 140 entre 2019 e 2026 (119 delas como auditor coordenador), em 32 entidades.
De concessão, de renovação, de acompanhamento, de transição e extraordinárias. Referenciais: ISO/IEC 27001 nas versões de 2013, 2022 e 2025, o Regulamento eIDAS com as normas ETSI de assinaturas electrónicas, selos temporais, selos electrónicos e autenticação de sítios web, e o Selo Digital DNP TS 4577-1.
Auditor de segurança credenciado pela Autoridade Nacional de Segurança, com credenciais de 2009, 2016 e 2019, esta válida até 2022.
Sectores auditados: administração pública · tecnologias de informação · transportes e comunicações · intermediação financeira · energia · educação · outros serviços
Do lado da formação
Formador certificado pelo Estado português e tutor certificado por organismos internacionais. Conduziu em Portugal as primeiras formações da BSI em segurança da informação (primeiro em BS 7799-2, depois em ISO/IEC 27001:2005), em cursos de cinco dias em regime de retiro e com exame final.
Entre elas, duas edições dedicadas a auditores coordenadores do Gabinete Nacional de Segurança.
Deu ainda formação em Angola e Moçambique, e acções de segurança e redes em vários países da Europa Ocidental. Em português, inglês e francês.
Foi docente convidado de sistemas de gestão de segurança da informação e continuidade de negócio na pós-graduação em Segurança da Informação da Royal Holloway, University of London (edições de 2010 e 2011, em Portugal), no Curso Avançado em Segurança da Informação da Academia Militar (2009 e 2010) e na Universidade Autónoma de Lisboa (2006).
Do lado da implementação
Sistemas de gestão implementados e depois certificados por organismos independentes, em grandes empresas, em médias e em pequenas, em sectores de actividade muito diferentes entre si.
É a diferença entre dizer que um sistema funciona e ter quem o comprove sem interesse nenhum em agradar.
Formação sectorial da BSI Assurance Academy em ISO/IEC 27001 e ISO 22301: serviços financeiros · comunicações · tecnologias de informação · energia · saúde e saúde pública · indústria crítica · química · alimentar
Credenciais
Qualificações que se verificam, não que se afirmam.
Actividade corrente
Auditor da BSI: ISO/IEC 27001, ISO 22301, ISO/IEC 27701, HDS (Hébergement de Données de Santé) e CSA STAR. Auditor da APCER: ISO/IEC 27001 e eIDAS. Auditor da IMQ: ISO/IEC 27001.
Ver a lista completa de credenciais
- Segurança da Informação
- BSI, APCER e IMQ International Registered Lead Auditor ISO/IEC 27001 · PECB International Registered Master ISO/IEC 27001 (válido até 2028) · BSI International Registered Lead Implementer ISO/IEC 27001 · ISACA CISM
- Continuidade de negócio
- BSI International Registered Lead Auditor ISO 22301 · BSI International Registered Lead Implementer ISO 22301 · BCI GPG Practitioner
- Privacidade
- BSI International Registered Lead Auditor ISO/IEC 27701 e HDS (Hébergement de Données de Santé, o regime francês de alojamento de dados de saúde) · DPO certificado (Maastricht University ECPC-B e EIPA)
- Identidade e confiança digital
- APCER International Registered Lead Auditor eIDAS (organismo de avaliação da conformidade) · Auditor do Selo Digital DNP TS 4577-1, níveis Prata e Ouro
- Cibersegurança nacional
- Aproveitamento na prova de conhecimentos do EC QNRCS (Centro Nacional de Cibersegurança, 2024) · Curso NIS2 e DORA, 28 horas (CIIWA, 2025) · T05 Telecomms & IT Assessor (BSI Assurance Academy, 2025)
- Risco, nuvem, forense e infra-estrutura
- ISO 31000 e ISO/IEC 27005 Implementer · CSA CCM Cloud Security · ISO/IEC 27041, 27042 e 27037 Digital Forensics · ICOR Certified Datacentre Expert e CDCP - Certified Data Center Professional · PKI e ISO/IEC 17025 · MVS/ESA V5 Technical Overview (Promosoft, 1995)
- Formação
- Formador profissional certificado pelo Estado português: Certificado de Competências Pedagógicas (CCP), IEFP
Percurso
Estive na segurança da informação antes de ela ter esse nome.
1981
O princípio
Aprendi a programar aos 17 anos, num curso da NCR. Programei em CP/M, MBasic e FABS, primeiro em Commodore e depois num Xerox 820. Ainda tenho as máquinas no sótão.
Unicre · 1989–1997
A escola
Segurança lógica e meios de pagamento. Os projectos SET com a VISA e a MasterCard, criptografia, PIN e CVV, a gestão do datacenter, as comunicações em NCP, os sistemas MVS e VSE, o monitor transaccional CICS e a programação em COBOL e DE/RPG: tudo aprendido directamente com a IBM. É onde a segurança deixou de ser assunto de informática e passou a ser assunto de risco.
Certipor · 2000–2002
A certificação digital, no princípio
CEO da primeira autoridade de certificação comercial e privada de venda ao público em Portugal, a emitir certificados digitais X.509 quando quase ninguém por cá sabia o que isso era. É a raiz directa do trabalho eIDAS de hoje.
Normalização
As normas, do lado de dentro
Revisor principal da NP ISO/IEC 27001:2013, a versão portuguesa da norma. Membro e antigo secretário da Comissão Técnica 163 (CT 163, Segurança em sistemas de informação), o espelho português do ISO/IEC JTC 1/SC 27. Membro do comité da BSI para a revisão da BS 10012. Especialista convidado para a primeira versão e para a revisão em curso do DNP TS 4577-1:2021, «Maturidade digital · Selo digital · Parte 1: Cibersegurança · Requisitos», na comissão técnica CTA 041, Selos Digitais. Conduziu a primeira auditoria ao Selo Digital realizada em Portugal.
Comunidade profissional
A construir o que ainda não existia
Co-fundador da APDSI. Co-autor de «Repensar a Sociedade da Informação e do Conhecimento no Início do Século XXI - 10 Anos de Fóruns da Arrábida» (Edições Sílabo, 2012), com uma contribuição para o Fórum de 2002. Orador no C-Days do Centro Nacional de Cibersegurança em 2015 e convidado do podcast do mesmo Centro em 2023.
Conselho da Europa · 2016–2019
Formação em cibercrime e prova electrónica
Tutor principal do curso de forense digital do Conselho da Europa em Tagaytay, nas Filipinas, para o programa GLACY, em 2016. Revisão e correcção da versão portuguesa dos cursos judiciais de base e avançado, em 2019. Na Praia, em Cabo Verde, no programa GLACY+, em 2019, duas formações distintas: em Maio, a formação judicial de base para juízes e procuradores, com formação de formadores; em Outubro, a formação judicial avançada para juízes e procuradores.
Desde 2018
Hoje
CategoryParticle, com trabalho em Portugal, Europa, África e América Latina.
Contacto
Se tem um problema concreto, diga qual.
Uma auditoria a preparar, uma certificação a alcançar, uma equipa a formar, ou apenas a dúvida de por onde começar. Respondo eu.
Falar comigo