A cibersegurança deixou de ser apenas uma preocupação do departamento de IT. Com a entrada em vigor do novo Regime Jurídico da Cibersegurança, que transpõe para Portugal a Diretiva NIS2, as empresas abrangidas passam a ter responsabilidades concretas na prevenção, deteção, resposta e recuperação perante incidentes de cibersegurança. Esta mudança coloca a cibersegurança num novo patamar dentro das empresas. Já não basta implementar firewall, antivírus, sistemas de monitorização ou backup. É necessário existir uma estratégia de gestão de risco, medidas adequadas à realidade da empresa, processos definidos e capacidade para demonstrar que essas medidas são acompanhadas e funcionam.
A NIS2 não avalia apenas tecnologia. Avalia gestão.
O que é a NIS2?
A NIS2 é a Diretiva Europeia 2022/2555, criada para reforçar o nível de cibersegurança na União Europeia. Em Portugal, foi transposta através do Decreto-Lei n.º 125/2025, que estabelece o novo Regime Jurídico da Cibersegurança. Uma das principais alterações é o alargamento do âmbito de aplicação, abrangendo mais setores e empresas e estabelecendo diferentes categorias de entidades, nomeadamente entidades essenciais e entidades importantes. Para as empresas abrangidas, a cibersegurança passa a ter de ser encarada de forma estruturada, contínua e integrada na gestão da empresa.
A responsabilidade já não está apenas no departamento de IT.
Os órgãos de gestão, direção e administração passam a ter responsabilidades na aprovação e supervisão das medidas de segurança e na gestão dos riscos de cibersegurança. O novo regime prevê ainda responsabilidade por ação ou omissão, com dolo ou culpa grave, em determinadas situações de incumprimento.
A cibersegurança deixa, por isso, de ser uma decisão exclusivamente técnica. O CTO ou responsável de IT tem de garantir a implementação das medidas adequadas, enquanto a gestão deve compreender os riscos, acompanhar as decisões e assegurar que a empresa está preparada.
Da prevenção à capacidade de recuperação.
A NIS2 não olha apenas para a capacidade de evitar um ataque. As empresas devem estar preparadas para responder às consequências de um incidente, através da identificação de ativos críticos, gestão de vulnerabilidades, controlo de acessos, proteção de dados e sistemas e monitorização da infraestrutura.
Esta preparação inclui também backup e recuperação, Disaster Recovery e continuidade de negócio. Ter backup não significa necessariamente ter resiliência. É necessário garantir que as cópias estão protegidas, que podem ser recuperadas e que os sistemas críticos conseguem voltar a funcionar dentro dos objetivos definidos. Perante um incidente significativo, não pode existir incerteza sobre quem identifica o problema, quem toma decisões, quem isola sistemas, quem comunica ou quem inicia a recuperação.
A NIS2 reforça a necessidade de processos, responsabilidades e mecanismos de resposta definidos. A tecnologia é fundamental, mas uma ferramenta não substitui um processo. A capacidade de resposta deve estar preparada antes de o incidente acontecer.
O risco também está nos fornecedores.
A segurança da empresa não termina na sua infraestrutura. Prestadores de serviços, parceiros tecnológicos e fornecedores com acesso a sistemas ou informação crítica podem representar uma extensão da superfície de ataque. A gestão do risco deve, por isso, considerar também a cadeia de abastecimento, os acessos de terceiros e os mecanismos de avaliação e acompanhamento desses riscos.
O impacto vai muito além da pesada coima.
O novo regime introduz consequências financeiras relevantes para as empresas que não cumpram as obrigações aplicáveis. Mas o impacto de um incidente não começa nem termina numa coima. Sistemas indisponíveis, perda de produtividade, interrupção da operação, recuperação de dados, incumprimento de contratos, perda de clientes e danos reputacionais podem representar custos muito superiores.
A NIS2 deve, por isso, ser encarada como uma oportunidade para avaliar a capacidade real da empresa para resistir a um incidente e continuar a operar.
Como é que a Compuworks pode ajudar?
Na Compuworks, ajudamos as empresas a transformar os requisitos de cibersegurança em medidas concretas e integradas na sua estratégia de IT. Começamos pela avaliação da infraestrutura e dos riscos e trabalhamos as diferentes camadas necessárias para reforçar a segurança e a resiliência: proteção de redes e endpoints, gestão e monitorização de infraestruturas, gestão de vulnerabilidades, backup e recuperação, Disaster Recovery, cibersegurança e continuidade de negócio.
O objetivo não é criar uma estratégia apenas para cumprir uma obrigação regulamentar. É criar uma infraestrutura capaz de prevenir, responder e recuperar, reduzindo o impacto de um incidente e garantindo que a empresa consegue continuar a trabalhar.
We work for IT.
