a lista de questões pergunta se a administração está envolvida na cibersegurança

O envolvimento da gestão é uma obrigação separada da NIS2, independente das dez medidas

Esta questão não trata de técnica, mas de governança: a gestão está pessoalmente envolvida com a cibersegurança, ou foi completamente delegada ao departamento de TI? O artigo 21.º, n.º 2 da NIS2 lista as dez medidas em si, mas o artigo 20.º da diretiva obriga adicionalmente que os órgãos de gestão aprovem as medidas de gestão de riscos e supervisionem a sua execução, e que os membros da gestão recebam formação para avaliar os riscos ciber. Este é portanto um ponto independente do questionário: não "que medidas tem", mas "a liderança conhece e aprova isto"

Como prova, costuma contar um fragmento de atas em que a gestão tenha definido ou avaliado a política de segurança, um organograma que mostre linhas de reporte para a gestão, ou um ponto de agenda de uma reunião periódica da gestão sobre riscos ciber. Se faltar isto, então "não" é a resposta honesta aqui — um fornecedor que preencha isto sem comprovativos corre o risco de o cliente questionar depois. Esta questão está frequentemente associada à questão a eficácia das medidas de segurança é testada periodicamente, porque o teste sem seguimento da gestão é uma resposta incompleta para um cliente. Também é relevante se a sua empresa está abrangida pela Diretiva NIS2, porque então isto não é apenas uma questão do seu cliente mas também uma obrigação legal própria a partir de 15 de agosto de 2026, quando a Lei de Cibersegurança entrar em vigor.

De onde vem isto: artigo 20.º ao lado do artigo 21.º NIS2

O artigo 20.º da Diretiva (UE) 2022/2555 rege a responsabilidade e o envolvimento dos órgãos de gestão, separadamente das dez medidas substantivas no artigo 21.º, n.º 2; a ISO/IEC 27001 não tem um equivalente literal no Anexo A, mas exige através dos requisitos essenciais da norma (cláusula 5, liderança) um envolvimento comprovável da liderança, o que frequentemente é apresentado como prova separada ao lado das medidas do Anexo A.