NIS2: O Conselho de Administração na Mira da Cibersegurança – O Que Não Pode Ser Delegado?

O Conselho Não Pode Fugir – A Cibersegurança é Responsabilidade de Todos (e do CdA em Particular)

Imagine que o Conselho de Administração é o piloto de um avião. Agora imagine que o piloto decide delegar o pouso ao comissário de bordo. Parece absurdo? Pois é exatamente o que a diretiva NIS2 quer evitar. As novas FAQ da Agência para a Cibersegurança Nacional (ACN) deixam claro: certas obrigações do Conselho de Administração não podem ser delegadas, nem para a equipa de TI, nem para a consultoria externa.

Featured Snippet: O que é não delegável no NIS2? São todas as decisões estratégicas de aprovação e supervisão do sistema de gestão de riscos cibernéticos, incluindo a definição de políticas, a alocação de recursos e a revisão periódica da eficácia das medidas.

O Que a NIS2 Exige do Conselho?

A NIS2 (Diretiva (UE) 2022/2555) não é só mais um regulamento para a equipa de TI. Ela coloca o Conselho de Administração no centro da gestão de riscos cibernéticos. O CdA deve aprovar as medidas de segurança, supervisionar a sua implementação e garantir que os recursos são adequados.

Segundo as FAQ da ACN, estas responsabilidades são indelegáveis. O conselho não pode simplesmente dizer 'o CISO cuida disso' e lavar as mãos. A diretiva exige um envolvimento ativo e documentado.

Atividades Não Delegáveis: O Que o CdA Não Pode Terceirizar

As FAQ identificam explicitamente as atividades que o Conselho não pode delegar:

• Aprovação da política de gestão de riscos cibernéticos.
• Definição do apetite de risco da organização.
• Alocação de orçamento e recursos para a cibersegurança.
• Supervisão contínua da implementação das medidas.
• Revisão periódica da eficácia do sistema.

Se o seu Conselho acha que pode terceirizar estas tarefas, está na hora de uma reunião extraordinária (e de um café bem forte).

Como Aprovar Medidas de Gestão de Riscos Cibernéticos

A aprovação não é uma mera formalidade. O Conselho deve compreender os riscos, analisar as propostas da equipa técnica e decidir quais medidas adotar. As FAQ sugerem que a aprovação seja documentada em ata, com a devida justificação.

Uma dica: não transforme a reunião do CdA num 'leia os Termos e Condições' – isso é tão divertido quanto limpar rejunte de azulejo com escova de dentes. Em vez disso, convide o CISO para apresentar um resumo executivo claro, com cenários de impacto e custos.

Consequências de Não Cumprir – O Que Está em Jogo

As sanções da NIS2 podem chegar a 10 milhões de euros ou 2% do volume de negócios anual global. Além disso, os administradores podem ser responsabilizados pessoalmente em caso de negligência grave. Portanto, ignorar estas obrigações não é opção.

Consulte o texto oficial da diretiva no EUR-Lex para mais detalhes.

Revise já as atas do seu conselho e marque uma reunião extraordinária. O ciberataque pode estar a caminho.

FAQ