Comece pelo que pode verificar sozinho, antes de falar com alguém. A lista pública de PME Líder do IAPMEI, o histórico de contratos públicos no portal Base, o código aberto que a empresa publica, e as contas depositadas. Quatro fontes independentes do discurso comercial.
Depois avalie o que mudou em 2026. Portugal transpôs a NIS2 através do Decreto-Lei n.º 125/2025, de 4 de dezembro, que aprovou o Regime Jurídico da Cibersegurança e entrou em vigor a 3 de abril de 2026. As obrigações recaem sobre a entidade abrangida, o que significa que a postura de segurança de quem constrói e mantém o seu software passou a fazer parte da sua própria exposição. As contra-ordenações muito graves chegam aos 10 milhões de euros.
A segunda data é 11 de setembro de 2026, quando as obrigações de reporte do artigo 14 do Cyber Resilience Act começaram a aplicar-se a quem coloca produtos com elementos digitais no mercado europeu, incluindo quem integra componentes de código aberto. Abordámos o que isso exige em reporte de vulnerabilidades em 24 horas ao abrigo do CRA e em ciber-resiliência com código aberto e secure by design. O efeito prático é simples: a pergunta sobre quem se escreve no contrato deixou de ser só comercial.
O que pode verificar antes da primeira reunião?
Mais do que a maioria dos compradores tenta. Quatro verificações, todas em fontes públicas, todas independentes do que a empresa diz sobre si.
Nenhuma destas verificações lhe diz se a empresa é boa a escrever software. Dizem-lhe se é uma empresa a sério, o que elimina uma parte considerável do mercado antes de gastar uma reunião.
Uma nota sobre o PME Líder: é um estatuto financeiro, não técnico. Na edição de 2025 foram reconhecidas 14.133 empresas em todos os sectores, por isso não é raro nem distintivo por si. O que vale é o contrário. Se uma empresa com dez anos de actividade não o tem, valem duas perguntas sobre porquê.
O que é que a NIS2 obriga a exigir a um fornecedor de software?
A obrigação de gestão da cadeia de fornecimento recai sobre a entidade abrangida. Ou seja, sobre o cliente. Se está abrangido e o seu fornecedor não consegue demonstrar a sua postura de segurança, o achado é seu. Oito cláusulas valem uma revisão contratual na próxima renovação.
E há uma consequência que quase ninguém antecipa. Contratos assinados antes de abril de 2026 não contêm nada disto, porque não existia obrigação. Não é falha de ninguém. É trabalho por fazer.
Que perguntas separam fornecedores que parecem iguais?
Todas as propostas dizem que a equipa é sénior e que a metodologia é ágil. Estas cinco produzem respostas diferentes.
Que modelo de contratação corresponde ao seu problema?
Como comparar propostas sem comparar apenas o preço?
Duas propostas para o mesmo pedido raramente cobrem o mesmo âmbito, o que faz da comparação directa de valores um exercício enganador. Normalize primeiro.
Sobre valores, uma posição honesta. Não publicamos intervalos de preço neste artigo porque a resposta depende do âmbito, do número de plataformas, dos requisitos de auditoria e do que já existe construído. Qualquer intervalo publicado seria demasiado largo para decidir ou demasiado estreito para ser verdadeiro. Descreva o âmbito e peça um número, não um intervalo.
Leitura relacionada
Perguntas frequentes
Verificar um fornecedor
Como verificar se uma empresa de desenvolvimento de software é sólida?
O que é o estatuto PME Líder e o que garante?
NIS2 e modelos de contratação
A NIS2 obriga a mudar contratos com fornecedores de software?
Qual é a diferença entre aumento de equipa e outsourcing?
Perguntas e preços
Que perguntas fazer a uma empresa de software antes de contratar?
Porque não há preços indicativos neste artigo?
