Há uma sensação particularmente confortável em responder sim. Temos uma política? Sim. Existe um procedimento? Sim. O controlo foi implementado? Sim. Temos evidência? Sim. A certa altura, surge a palavra que todas as organizações gostam de ouvir. Compliant. Mas há uma pergunta menos confortável e, talvez por isso, mais importante. Se amanhã alguma coisa correr realmente mal, estamos preparados?
Compliance, segurança e resiliência aparecem muitas vezes na mesma conversa e é fácil tratá-los como se fossem a mesma coisa. Não são. Cumprir requisitos é importante. Implementar controlos de segurança é essencial. Mas nenhuma destas coisas garante, por si só, que uma organização consegue continuar a funcionar quando aquilo que tentou prevenir acaba por acontecer.
E os riscos estão longe de ser hipotéticos. Segundo o relatório ENISA Threat Landscape 2026, o ransomware continua a ser o tipo de incidente com maior impacto a curto prazo nas organizações europeias. Para a agência os riscos associados às dependências digitais e à cadeia de fornecimento, podem ampliar as consequências de um incidente. Na prática, uma falha de segurança pode ultrapassar os sistemas afetados e comprometer a continuidade das operações.
Imagine-se uma organização com um plano de continuidade estruturado. Tudo está aprovado, os responsáveis identificados e a última revisão foi realizada dentro do prazo. À primeira vista, tudo parece controlado. Agora imaginemos que um serviço crítico fica indisponível numa manhã de segunda-feira. Quem toma a primeira decisão? Quanto tempo conseguimos operar sem esse serviço? O que deve ser recuperado primeiro? As equipas sabem o que fazer? O fornecedor consegue responder? E alguém já testou tudo isto em conjunto?
De repente, ter um plano e estar preparado deixam de parecer a mesma coisa. É aqui que entra a resiliência. Uma organização resiliente não é aquela onde nada falha. É aquela que conhece as suas dependências, compreende o impacto de uma falha e se preparou para responder, adaptar-se e recuperar. E essa preparação não pertence apenas à equipa de cibersegurança. Passa pela tecnologia, pelas operações, pela gestão, pelas pessoas, pela comunicação e pelos fornecedores. Sobretudo, passa pela capacidade de tomar decisões quando não existe tempo para começar a procurar respostas num documento.
Podemos ter excelentes mecanismos de proteção e, ainda assim, descobrir que um processo crítico depende de uma única pessoa, de um sistema sem alternativa ou de um fornecedor cuja capacidade de recuperação nunca foi analisada. Quando estas fragilidades se materializam, as consequências ultrapassam a esfera tecnológica. Podem significar operações interrompidas, serviços indisponíveis e perda de confiança dos clientes.
O atual contexto regulatório reforça a urgência desta reflexão. A NIS2 coloca maior ênfase na gestão do risco, na resposta a incidentes, na continuidade das operações e na segurança da cadeia de fornecimento. Podemos tratar estas exigências como mais um conjunto de obrigações ou aproveitar a oportunidade para perceber o que estamos, de facto, a proteger e quão preparados estamos para o perder temporariamente.
Existe, no entanto, um risco na procura pela conformidade. Começarmos a trabalhar mais para a evidência do que para o resultado. Criamos o documento porque tem de existir, registamos o controlo porque é necessário demonstrá-lo e fazemos o exercício porque está previsto. Tudo isto é necessário, mas só cria verdadeiro valor se aquilo que implementámos funcionar quando for realmente preciso.
Num incidente real, o que interessa é saber se conseguimos responder, manter o essencial e recuperar dentro do tempo que o negócio consegue suportar. A conformidade não é secundária. A regulação cria disciplina, estabelece expectativas e obriga-nos a tratar de temas que poderiam continuar adiados. Mas devemos esperar mais do trabalho realizado para cumprir requisitos. Se esse esforço não resultar numa organização mais consciente dos seus riscos e mais capaz de recuperar, talvez tenhamos cumprido a letra, mas perdido parte do propósito.
Talvez valha a pena trocar uma pergunta confortável por outra mais difícil. Em vez de perguntarmos apenas se estamos compliant, devemos perguntar se, amanhã, alguma coisa falhar, estamos realmente preparados? A resposta pode dizer muito mais sobre a nossa segurança do que qualquer checklist.
