lista de perguntas questiona quem no conselho é responsável pela cibersegurança

A administração é responsável, não o departamento de TI

Nesta pergunta, o cliente quer saber se a administração própria é responsável pela responsabilidade final em matéria de segurança cibernética, ou se esta foi delegada a um gestor de TI ou CISO sem envolvimento da administração. A resposta que a maioria das empresas preenche: um administrador é designado como responsável final, e a execução cabe a um funcionário ou departamento subordinado. Estas duas coisas não são a mesma coisa e a lista de perguntas muitas vezes quer ver ambas: quem é responsável (nível de administração) e quem executa (nível operacional).

A prova concreta para isso geralmente é uma decisão da administração, uma descrição de função do CISO ou responsável de segurança, ou uma passagem na política de segurança da informação que estabeleça a distribuição de funções. Se faltar esse documento, então "não" ou "ainda a definir" é a resposta honesta — não porque ninguém seja responsável, mas porque a atribuição não foi registrada. Esta pergunta está frequentemente relacionada com a pergunta sobre se existe política para análise de risco e proteção de sistemas de informação, pois essa política geralmente também menciona quem a aprovou e quem a mantém.

Onde consta na diretiva: artigo 21.º, n.º 2

A obrigação resulta do artigo 21.º, n.º 2 da Diretiva NIS2 (Diretiva (UE) 2022/2555), que enumera dez medidas que caem sob a responsabilidade da administração, incluindo governança e gestão de riscos. A própria diretiva aborda a responsabilidade administrativa separadamente: a administração deve supervisionar a execução e pode ser responsabilizada por isso, mesmo que a execução diária seja responsabilidade de um CISO. Na Holanda, esta obrigação retorna na Lei de Segurança Cibernética, que entra em vigor em 15 de agosto de 2026. ISO/IEC 27001 Annex A também pede em medidas de controlo relativas à estrutura organizacional uma distribuição de funções documentada — quem já possui esse certificado pode geralmente reutilizar essa documentação diretamente para esta pergunta. Se a empresa está certificada segundo a ISO 27001então a responsabilidade administrativa é geralmente já mencionada no escopo ou no documento de política.