quem é responsável pelo preenchimento do questionário de segurança

A distribuição de funções não é um requisito normativo em si, mas a resposta deve ser verificada

O questionário em si não prescreve quem o preenche; o artigo 21.º, n.º 2 da Diretiva NIS2 e o Anexo A da ISO/IEC 27001 tratam das medidas que uma organização adopta, não do responsável que assina o formulário. Na prática, trata-se geralmente da pessoa que conhece a política de segurança da informação: um responsável de segurança, gestor de TI ou, em empresas mais pequenas, o próprio diretor. No caso de um certificado ISO 27001, existe frequentemente já um responsável designado no sistema de gestão — esse nome é então o ponto de contacto lógico para esta lista.

O que é certo: as respostas devem assentar em algo. Se uma pergunta diz respeito à segurança do acesso, alguém deve ser capaz de indicar qual a política ou qual a medida subjacente — não preencher de memória, mas ler de um dossier. Isto torna-o menos uma questão de "quem pode preencher isto" e mais de "quem tem os factos subjacentes à mão". Essa mesma pessoa é frequentemente também aquela que pode avaliar se a empresa utiliza sistemas de IA no seu serviço, uma vez que toca no mesmo levantamento técnico. Em caso de dúvida sobre quem internamente é responsável por uma resposta, trata-se muitas vezes da mesma pessoa que também gere o plano de continuidade em caso de perturbação grave — os dois tópicos sobrepõem-se quanto ao material de origem.

Onde isto decorre: artigo 21.º n.º 2 e Anexo A

O artigo 21.º, n.º 2 da Diretiva NIS2 menciona dez categorias de medidas, incluindo gestão de riscos, tratamento de incidentes e política de acesso — a diretiva regula o conteúdo dessas medidas, não quem as reporta internamente. A Norma ISO/IEC 27001 Anexo A desenvolve-o em medidas de controlo concretas, e as organizações certificadas têm geralmente já um responsável estabelecido no seu sistema de gestão. Essa distribuição de funções existente é a fonte mais óbvia a que se deve recorrer ao preencher um questionário de segurança.