cliente quer saber quem é responsável pela segurança cibernética em nossa empresa

Governança, não um nome

A pergunta "quem é responsável pela segurança da informação" não solicita na prática um nome ou título de função, mas prova de governança: existe uma responsabilidade designada e está garantida ao nível da administração? O artigo 21.º, n.º 2 da NIS2 não menciona isto isoladamente, mas como parte da política de análise de risco e segurança dos sistemas de informação — a primeira das dez medidas. Quem recebe esta pergunta pode, na maioria dos casos, melhor fazer referência ao mesmo documento de política em que também consta se a entidade tem política de análise de risco e segurança dos sistemas de informação: o proprietário da política consta normalmente aí mencionado, juntamente com o âmbito e a data da última revisão.

Se a entidade não tiver uma responsabilidade explicitamente designada, "a administração" ou "o proprietário" como resposta é frequentemente suficiente para empresas mais pequenas — mas trata-se de uma constatação de facto, não algo que esta plataforma proponha. O que o sistema pode fazer: extrair a resposta do dossier da cadeia se esta aí constar, com a fonte, para que o cliente a confirme com sim ou não. Se esse registo faltar, a resposta mais honesta é que ainda não existe uma responsabilidade formalmente designada, em vez de inventar um nome que não consta no dossier. Esta pergunta está frequentemente relacionada com outras: quem reporta um incidente, por exemplo, consta em o procedimento para o tratamento de incidentes de segurança, e pode ser a mesma pessoa ou outra.

Donde isto decorre do artigo 21.º, n.º 2

O artigo 21.º, n.º 2 da Diretiva (UE) 2022/2555 obriga as entidades a uma abordagem baseada em risco com dez medidas concretas, sendo a política de análise de risco e segurança dos sistemas de informação a primeira; quem é responsável por isto é parte dessa política, não um dado isolado. Na ISO/IEC 27001 isto reaparece no Anexo A, sob as medidas de controlo para organização da segurança da informação. A Lei de Cibersegurança transpõe esta obrigação para a legislação portuguesa e entra em vigor, previsivelmente, em 15 de agosto de 2026; até essa data, a NIS2 em si é o texto a que se deve recorrer.