Compreender a complexidade.
Dominar os riscos.
Construir o sucesso.
CYBERSECURITY & IT GOVERNANCE · ARTIGO TÉCNICO
A NIS2 e a responsabilidade do órgão de administração
A NIS2 desloca a cibersegurança do departamento especializado para a responsabilidade do nível de gestão. Quem aprova medidas também tem de as compreender — e supervisionar a sua eficácia.
Redação Governance First·8 minutos de leitura
A novidade decisiva da NIS2 não é o catálogo de medidas — esse é, em grande parte, conhecido da ISO 27001 e do BSI-Grundschutz (proteção de base do BSI). O que é novo é a obrigação pessoal dos órgãos de administração de aprovar as medidas de gestão de riscos, supervisionar a sua implementação e receber formação.
Clarificar primeiro se a empresa é abrangida
O setor, a dimensão e o papel na cadeia de abastecimento determinam se uma entidade é «essencial» ou «importante» — e, com isso, o regime de supervisão e as obrigações de notificação. Muitas empresas subestimam a abrangência indireta: enquanto fornecedoras de um cliente regulado, os requisitos da NIS2 chegam-lhes através do contrato.
Canais de notificação que funcionam em caso de incidente
Alerta precoce, notificação, relatório final — os prazos são curtos e contam a partir do conhecimento, não da análise. Quem não ensaiou a cadeia de notificação perde as primeiras horas com questões de competência. Um processo sólido nomeia os decisores, os substitutos e a escalada pelo nome.
«Uma obrigação de notificação que só é lida durante o incidente não é governação — é um risco.»
A cadeia de abastecimento como objeto de controlo
Os riscos de terceiros têm de ser avaliados, consagrados contratualmente e monitorizados. Faz sentido um modelo escalonado: classes de criticidade, a correspondente profundidade de evidências e um registo partilhado com os requisitos do DORA, em vez de os duplicar.
Evidências em vez de intenções
A supervisão pergunta pela eficácia. Isto significa: testes, resultados, medidas derivadas, nova verificação. Quem integra este ciclo nos sistemas de controlo existentes não precisa de construir um segundo universo de governação.
CINCO PERGUNTAS PARA A PRÓXIMA REUNIÃO DA ADMINISTRAÇÃO
- Somos uma entidade essencial, importante ou indiretamente abrangida — e conseguimos comprová-lo?
- Quem notifica em caso de incidente, em que prazo, a que entidade?
- Que fornecedores são críticos e o que está regulado contratualmente?
- Quando testámos a eficácia pela última vez?
- A formação dos órgãos de administração está documentada?
Verificar se é abrangido pela NIS2
Avaliamos a sua classificação, os canais de notificação e as obrigações na cadeia de abastecimento numa avaliação compacta.
