Por Pedro Cordeiro, Principal Cybersecurity Engineer da Critical Software
Durante anos, a cibersegurança no setor energético foi tratada como uma formalidade e como algo que se validava numa auditoria e que se delegava a uma equipa especializada. A diretiva NIS2, que Portugal transpôs para o ordenamento jurídico nacional, acabou com essa lógica. O que a NIS2 exige não é mais burocracia. É uma mudança fundamental na forma como as infraestruturas críticas são geridas e protegidas, e essa mudança começa no topo das organizações.
Portugal tem uma posição invejável na transição energética europeia. Em 2024, as renováveis abasteceram 71% do consumo nacional de eletricidade — um recorde histórico, segundo a REN. A rede que alimenta casas e empresas já não é a de há dez anos: é uma malha de milhões de dispositivos ligados — painéis solares em telhados domésticos, carregadores de veículos elétricos em garagens e parques de estacionamento, sistemas de armazenamento de energia distribuídos por todo o território. É uma transformação notável. E é também uma transformação que muda radicalmente o perfil de risco de toda a infraestrutura energética nacional.
Uma rede centralizada com poucos pontos de controlo é relativamente simples de proteger. Uma rede distribuída, com milhões de pontos de entrada e saída, é um desafio de uma ordem de grandeza completamente diferente. O carregador do seu carro elétrico, o painel solar no telhado do vizinho, o contador inteligente que a distribuidora instalou há dois anos, todos estão ligados à mesma rede. Um único dispositivo mal protegido pode ser suficiente para quem queira causar perturbações. Não é um cenário teórico: os ataques a infraestruturas energéticas na Europa têm aumentado de forma consistente nos últimos anos.
A NIS2 reconhece precisamente isso: que a responsabilidade das organizações já não termina nas suas próprias instalações. E traz mudanças particularmente relevantes para o setor energético em Portugal. Esta diretiva não permite que a cibersegurança seja uma preocupação confinada aos departamentos técnicos. Quando algo corre mal, a responsabilidade chega ao topo, e a lei é clara quanto a isso. Empresas que fornecem software, equipamento ou serviços às organizações do setor energético passam também a ter de cumprir requisitos de segurança específicos: e cabe às próprias organizações garantir que isso acontece.
Em caso de incidente, o relógio começa imediatamente. A lei não dá tempo para reuniões de gestão de crise antes de agir, exige que os processos estejam definidos e testados muito antes de qualquer problema acontecer. O custo de incorporar segurança desde o início de um projeto é substancialmente menor do que o de a acrescentar depois. Este é um argumento financeiro que frequentemente passa despercebido no debate — até porque o custo real de um incidente em infraestrutura crítica, em termos de interrupção de serviço, danos reputacionais e impacto na vida dos cidadãos, é de uma dimensão completamente diferente de qualquer sanção regulatória.
As organizações que encaram a NIS2 como uma oportunidade para resolver vulnerabilidades que sempre souberam que existiam vão sair desta transição mais resilientes e mais competitivas. O ponto de partida mais útil não é contratar uma consultora para fazer uma auditoria. É responder honestamente a perguntas simples: sabemos exatamente o que está ligado à nossa rede? Sabemos quem são os nossos fornecedores críticos e que acesso têm aos nossos sistemas? Temos um plano testado para quando algo falhar? Essa clareza é o que a diretiva exige. E é também, independentemente de qualquer regulação, o que distingue as organizações que gerem infraestrutura crítica com rigor das que gerem com sorte.
Portugal tem a ambição de ser exportador líquido de energia renovável até ao final desta década. Essa infraestrutura começa nos telhados com painéis solares, nas autoestradas com carregadores elétricos, nas barragens que enchem com a chuva do inverno. É distribuída por todo o território, e vivida por todos. Protegê-la não é uma questão técnica. É soberania energética. Por isso, o que está em jogo não é o cumprimento de uma diretiva europeia. É, sim, a garantia de que a luz não se apaga.
