Portal Base.Gov: transparência pública ou mapa para atacantes?

Em Portugal, todos os contratos públicos celebrados ao abrigo do Código dos Contratos Públicos são obrigatoriamente publicados no Portal BASE (base.gov.pt). Qualquer cidadão pode aceder à informação detalhada sobre quem contrata o quê, com quem, por quanto e em que condições.

O princípio é nobre: transparência, combate à corrupção e prestação de contas ao cidadão. Mas será que estamos a pensar suficientemente nos riscos de cibersegurança que esta exposição sistemática de informação pública representa - em especial à luz da nova Diretiva NIS2, agora em vigor em Portugal?

O que é o Base.Gov e o que expõe

O Portal BASE centraliza toda a informação sobre contratos públicos celebrados em Portugal. Quem consultar o portal pode aceder a:

• Identidade completa de adjudicantes e adjudicatários
• Valor dos contratos e preço contratual
• Objeto e âmbito dos serviços contratados
• Documentos do contrato (incluindo cadernos de encargos)
• Histórico de relações contratuais entre entidades
• Entre outras informações conexas

É, em essência, uma base de dados de inteligência aberta (OSINT) sobre o ecossistema de fornecedores e parceiros tecnológicos do Estado português, disponível a qualquer utilizador, incluindo atores maliciosos.

O que um atacante consegue fazer com esta informação?

O que um atacante consegue fazer com esta informação Aqui reside o problema que raramente é discutido. Um agente de ameaça - seja um grupo de Cibercriminosos, um Estado adversário ou um concorrente desleal - pode usar o Base.Gov para:

• Mapear a cadeia de fornecimento de entidades críticas
  • Saber que o Ministério X contratou a empresa Y para gerir a sua infraestrutura de rede, ou que o hospital Z adquiriu determinado sistema clínico, é informação estratégica. O atacante não precisa de atacar o Estado diretamente - pode visar o fornecedor menos protegido.
• Identificar tecnologias instaladas
  • Os cadernos de encargos e objetos de contrato frequentemente descrevem as tecnologias, versões de software e arquiteturas técnicas utilizadas. Esta é precisamente a informação que precede um ataque direcionado.
• Detetar padrões de despesa e vulnerabilidades operacionais
  • Contratos de manutenção com validade expirada, ausência de renovações em áreas críticas, ou outsourcing de funções sensíveis a fornecedores específicos - tudo isto é legível no portal.
• Construir campanhas de spear phishing altamente credíveis
  • Conhecendo o fornecedor oficial de uma entidade pública, um atacante pode personificá-lo com elevada precisão para enganar colaboradores e obter credenciais ou acesso a sistemas.

A NIS2 chegou - e muda as regras do jogo

A Diretiva NIS2 (Diretiva (UE) 2022/2555) foi transposta para o ordenamento jurídico português através do Decreto-Lei n.º 125/2025, publicado a 4 de dezembro de 2025. Após um período de 120 dias de transição, entrou oficialmente em vigor a 3 de abril de 2026, sob supervisão do Centro Nacional de Cibersegurança (CNCS).

A NIS2 não é mais uma recomendação. É lei. E traz implicações diretas para o contexto da contratação pública:

• Responsabilidade da cadeia de abastecimento
  • As entidades classificadas como essenciais, importantes ou públicas relevantes, ficam obrigadas a garantir que os seus fornecedores cumprem critérios mínimos de cibersegurança. Os contratos publicados no Base.Gov expõem precisamente esta cadeia de abastecimento, tornando-a alvo privilegiado.
• Gestão de risco proporcional e baseada em evidências
  • A NIS2 introduz o princípio da proporcionalidade. As medidas devem basear-se no risco real e focar-se nos ativos críticos. Ignorar que a publicação sistemática de contratos constitui um vetor de risco OSINT é, por si só, uma lacuna de gestão de risco.
• Responsabilidade direta da gestão de topo
  • Pela primeira vez, a cibersegurança deixa de ser responsabilidade exclusivamente técnica. Os órgãos de gestão, direção e administração das entidades abrangidas são responsabilizados pessoalmente por dolo ou culpa grave. Não conhecer os riscos derivados de obrigações legais como a publicação no Base.Gov deixou de ser uma desculpa aceitável.
• Notificação obrigatória de incidentes
  • Incidentes resultantes de ataques que exploram informação do Base.Gov - como comprometimento de fornecedores ou ataques à cadeia de abastecimento - poderão acionar obrigações de notificação ao CNCS.

O paradoxo regulatório

Estamos perante um paradoxo: a lei obriga à publicação de informação no Base.Gov por razões de transparência e combate à corrupção; mas a NIS2 obriga a proteger os ativos e infraestruturas cuja exposição essa mesma publicação potencia.

Não se trata de abolir a transparência - esse seria um retrocesso democrático grave. Trata-se de reconhecer que transparência e cibersegurança precisam de coexistir de forma inteligente.

O que as organizações devem fazer agora

Independentemente da resposta regulatória, há ações que as entidades públicas e os seus fornecedores devem considerar hoje:

• Auditar a própria exposição no Base.Gov - o que está publicado sobre a vossa organização? Que informações técnicas estão acessíveis?
• Incluir o risco OSINT na avaliação de risco de cibersegurança - exigida pela NIS2, com atenção especial à cadeia de fornecimento.
• Rever os contratos com fornecedores - para incluir cláusulas de cibersegurança alinhadas com os requisitos da NIS2.
• Sensibilizar as equipas - para o risco de spear phishing baseado em informação pública disponível sobre contratos ativos.

A transparência na contratação pública é um valor inegociável numa democracia, mas a transparência sem consciência do risco é ingenuidade. O Base.Gov, tal como está concebido, é simultaneamente um instrumento de cidadania e uma fonte de inteligência para atacantes.

A NIS2, dá-nos o enquadramento legal para exigir uma abordagem mais madura. O próximo passo é ter a coragem de aplicá-la - mesmo quando isso implica questionar práticas que existem há anos.

Artigo escrito para o Pplware por Nuno Pires