quem é responsável pelo preenchimento de questionários de clientes sobre segurança

Responsável é a função, não o departamento

Não há indicação legal sobre quem na empresa deve preencher o questionário de segurança — trata-se de política interna, não de uma obrigação decorrente de um regulamento. Na prática, recai sobre quem pode fundamentar a resposta: frequentemente o gestor de TI ou responsável de segurança para as medidas técnicas, e Recursos Humanos ou direção para política e sensibilização. No caso de uma certificação ISO 27001, isto está normalmente já consignado na distribuição de papéis em torno do sistema de gestão da segurança da informação, e então o questionário é uma questão de consultar esse sistema, não de repensar tudo de novo.

Onde frequentemente se erra, não é na questão de quem preenche, mas na questão de quem pode validar. Uma resposta técnica pode estar correta, mas se a pessoa que a insere não tem visibilidade sobre o que pode ser divulgado a uma entidade externa, a informação sai para fora sem deveria estar lá. Essa é uma razão para considerar o preenchimento e a libertação como dois passos separados: o primeiro é factual, o segundo é uma ponderação sobre confidencialidade. O mesmo corte aplica-se, por exemplo, à questão se a empresa tem um plano de continuidade — também aí a resposta é frequentemente conhecida, mas nem sempre se destina a ser partilhada em detalhe.

O que o questionário avalia substancialmente

As dez medidas do artigo 21.º, n.º 2 da Diretiva NIS2 (Diretiva (UE) 2022/2555) dão uma boa visão das categorias que reaparecem nos questionários dos clientes: análise de risco, gestão de incidentes, continuidade empresarial, segurança de fornecedores, política de acesso e similares. Quem aplica a ISO/IEC 27001 reconhece os mesmos tópicos nas medidas de controlo do Anexo A — o que torna a norma um manual de referência interna útil, mesmo que o próprio certificado não seja apresentado ao cliente. Para a questão se a empresa está certificada pela ISO 9001 aplica-se a mesma lógica: trata-se de uma norma separada, mas a questão de quem conhece e gere a resposta situa-se organizacionalmente frequentemente na mesma pessoa.