NIS2: O Conselho de Administração não pode terceirizar a responsabilidade pela cibersegurança (nem para o CISO)

O Conselho de Administração é o verdadeiro CISO?

As novas FAQ publicadas pela Agência para a Cibersegurança Nacional (ACN) são claras como água: a nomeação de um Chief Information Security Officer (CISO) não exime o Conselho de Administração (CdA) das suas responsabilidades ao abrigo da diretiva NIS2. A responsabilidade pela cibersegurança é intransferível e permanece no topo da hierarquia.

Isto significa que, mesmo que o CdA delegue tarefas operacionais ao CISO, a responsabilidade final por garantir a conformidade com a NIS2 continua a ser dos administradores. É como um capitão de navio: pode delegar o leme, mas se o barco bater num icebergue, a culpa é dele.

O que a NIS2 exige do Conselho de Administração?

A diretiva NIS2 impõe que o CdA deve governar e supervisionar ativamente as medidas de cibersegurança. Isto inclui aprovar políticas, alocar recursos adequados e garantir que a gestão de riscos é integrada na estratégia empresarial. Não basta assinar um cheque e esperar que o CISO resolva tudo.

As FAQ da ACN sublinham que o CdA deve ser treinado e estar ciente dos riscos cibernéticos. Afinal, como podem supervisionar algo que não entendem? É como pedir a um contabilista para pilotar um avião – pode até tentar, mas o resultado provavelmente não será bonito.

Delegação operacional vs. responsabilidade final

É importante distinguir entre delegar tarefas e transferir responsabilidade. O CdA pode (e deve) delegar a implementação técnica ao CISO e à sua equipa, mas a responsabilidade pela conformidade com a NIS2 é indelegável. Isto está em linha com o princípio geral de governança corporativa: os administradores são responsáveis pelas decisões estratégicas, mesmo que não executem as tarefas diárias.

Na prática, isto significa que o CdA deve estabelecer um quadro de governança claro, com relatórios regulares do CISO e revisões periódicas das medidas de segurança. Se algo correr mal, o regulador não vai querer saber se o CISO foi incompetente – vai querer saber o que o CdA fez para prevenir o incidente.

E se o CdA ignorar estas regras?

As sanções ao abrigo da NIS2 podem ser severas, incluindo multas que podem chegar a 10 milhões de euros ou 2% do volume de negócios anual global, consoante o que for maior. Além disso, os administradores podem ser pessoalmente responsabilizados em caso de negligência grave.

Portanto, ignorar estas FAQ é como brincar com fogo – e com a reputação da empresa. Mais vale prevenir do que remediar, especialmente quando o remédio pode custar milhões.

FAQ