não temos departamento de TI, quem deve preencher este questionário de segurança

Sem departamento de TI não é uma isenção

A lista de perguntas não se trata de quem está na folha de pagamento, mas se as dez medidas do artigo 21.º, n.º 2 da NIS2 estão presentes — mesmo com cinco pessoas no pessoal. Um cliente que envia esta lista quer saber se análise de risco, tratamento de incidentes, continuidade e controlo de acesso estão regulados, não se existe um departamento com esse nome. Numa pequena empresa, a resposta está frequentemente com o proprietário ou um fornecedor de TI externo, e essa é uma resposta válida: quem o faz não está na lista de perguntas, apenas se isso acontece.

Na prática, isto significa que quem gere o alojamento, os portáteis ou o software de contabilidade — frequentemente uma empresa externa — tem as respostas factuais a perguntas sobre cópias de segurança e planos de contingência e sobre autenticação multifator. Esse fornecedor não precisa de preencher a lista de perguntas, mas fornece o documento ou a confirmação com a qual o empresário responde. Para perguntas que não são sobre técnica, mas sobre política — quem pode aceder onde, o que acontece em caso de incidente — o conhecimento está geralmente com o proprietário, mesmo sem formação em TI.

O artigo 21.º, n.º 2 pede medidas, não um título de função

O artigo 21.º, n.º 2 da Diretiva NIS2 menciona as dez medidas como uma obrigação de resultado para a entidade, sem estabelecer requisitos quanto à estrutura organizacional através da qual esse resultado é alcançado. O Anexo A da ISO/IEC 27001 detalha as mesmas medidas em controlos que podem ser executados tanto por uma parte externa como por pessoal interno. Quer a empresa esteja abrangida pela diretiva é uma questão separada, independente de quem preenche a lista de perguntas — isso pode ser determinado a partir do próprio estatuto NIS2.