Durante anos, a cibersegurança viveu confinada ao departamento de TI, tratada como matéria de firewalls, backups e antivírus. Essa fronteira desapareceu. Hoje, um ataque de ransomware, uma exfiltração de dados ou uma fraude por comprometimento de correio eletrónico empresarial não testam apenas sistemas testam, também, a governação de uma organização, a sua relação com reguladores, com clientes e com o mercado. E é o Conselho de Administração, não o CISO sozinho, quem responde por essa prova.

O quadro jurídico já não deixa margem para ambiguidade. O Decreto-Lei n.º 125/2025, de 4 de dezembro, transpôs para a ordem jurídica portuguesa a Diretiva (UE) 2022/2555 (NIS2) e entrou em vigor a 3 de abril de 2026. O Regulamento n.º 756/2026, de 22 de junho, do Centro Nacional de Cibersegurança, concretizou as obrigações de registo, avaliação de risco, medidas de segurança e comunicação de incidentes. As contraordenações mais graves podem atingir 10 milhões de euros. Mas o dado que deveria fazer parar qualquer administração é outro: a NIS2 impõe, pela primeira vez em Portugal, responsabilidade direta e pessoal dos órgãos de gestão pela aprovação e supervisão das medidas de gestão de risco cibernético, com dever de formação específica dos próprios administradores. Deixar de saber deixou de ser defesa.

RGPD e NIS2 não são dois regimes paralelos, mas sim, a mesma exposição vista de dois ângulos. Um incidente cibernético que comprometa dados de clientes, trabalhadores ou utentes é, em simultâneo, uma violação de segurança na aceção do RGPD e um incidente reportável ao abrigo da NIS2, cada um com prazos e destinatários distintos: 72 horas para notificar a CNPD nos termos do artigo 33.º do RGPD, mas 24 horas para o alerta inicial, 72 horas para a notificação e um mês para o relatório final junto do CNCS. Uma organização que concebeu os seus procedimentos apenas para um destes regimes falhará no outro exatamente quando mais precisa de o aplicar com eficácia: no pico de uma crise, sob escrutínio mediático e com a reputação em risco.

A maturidade conquistada com o RGPD é um ponto de partida, não uma certificação de chegada. As organizações que já mapeiam tratamentos, documentam riscos, gerem fornecedores por contrato e testam planos de resposta a incidentes têm, de facto, vantagem. Mas a NIS2 exige mais, exige a identificação dos ativos críticos e das dependências de terceiros, avaliação de risco alargada à cadeia de fornecimento, medidas técnicas e organizativas mensuráveis, e sobretudo a prova de que a administração, e não apenas a equipa técnica, compreende e supervisiona esse risco. Sem esse elo, o investimento feito em RGPD fica incompleto perante o novo regime.

Nos primeiros minutos de uma crise mede-se a diferença entre organizações resilientes e organizações vulneráveis. Não é a tecnologia que decide se o incidente se transforma em crise de confiança, mas sim a capacidade de comunicar com clareza, proteger os titulares dos dados, cooperar com o regulador, preservar evidência e restabelecer serviços críticos sem hesitação. Essa capacidade constrói-se antes, não durante a crise.

Os clientes e cidadãos já não veem a exposição de dados pessoais como um incidente técnico distante. Sabem que pode significar fraude, usurpação de identidade ou uso indevido da sua informação. Por isso, a confiança digital tornou-se um ativo de balanço tão real quanto qualquer outro e tão vulnerável a uma má decisão de governação.

A entrada em vigor deste enquadramento não é apenas mais uma obrigação de compliance, mas passa a ser um teste de liderança. As administrações que tratarem a NIS2 como formulário a preencher vão cumprir tarde, de forma fragmentada, e vão descobrir as suas lacunas no pior momento possível. As que a integrarem na estratégia e na governação vão transformar uma exigência regulatória em vantagem competitiva perante clientes, parceiros e mercados cada vez mais atentos a quem protege verdadeiramente os seus dados.

Os Conselhos de Administração já não se devem questionar se ‘este é um problema de TI’. A prioridade atual é outra: sabemos, hoje, quem assume a decisão, a resposta e a prestação de contas nas primeiras horas de um incidente? Essa resposta não se encontra num relatório de auditoria arquivado nem numa política nunca testada. Encontra-se na forma como a administração trata o risco digital no seu dia a dia, ou seja, com o mesmo rigor, a mesma frequência e a mesma exigência de prestação de contas com que trata o risco financeiro ou o risco reputacional.

As organizações que hoje investem em compreender esta convergência entre proteção de dados e cibersegurança não estão simplesmente a cumprir uma obrigação legal. Estão a decidir, em tempo de paz, quem querem ser no dia em que a crise chegar.