em destaque Bruno
em destaque Bruno Marques: “Com um grau de mudança desta magnitude, são as lideranças, a começar pela gestão de topo, que têm de estar sensíveis para o tema da cibersegurança, enquanto enabler estratégico para os seus negócios. E serem os motores da transformação, que exigirá uma forte lógica de colaboração interna e com os parceiros críticos” 32 continuidade de negócios e recuperação de desastres. Assim como auditorias obrigatórias e avaliações de risco periódicas. Obrigações que implicarão uma necessidade crescente de talento nesta área, assim como de formação e de certificação. Sem esquecer a responsabilização direta das administrações e um quadro sancionatório muito mais penalizador, já que as infrações graves podem dar origem à aplicação de coimas de, pelo menos, 10 milhões de euros ou 2% do volume de negócios anual. Inês Antas de Barros é uma das especialistas que há muito tem vindo a alertar para a necessidade de preparação antecipada das organizações para o que considera ser uma verdadeira “mudança cultural”, tendo de passar de uma abordagem reativa para uma postura proativa. Perante o que classifica de “complexa teia regulatória”, tem defendido que as organizações “terão de antecipar, monitorizando e acompanhando todos os desenvolvimentos regulatórios e tecnológicos, assim como capacitar os stakeholders internos e planear e implementar as mudanças necessárias, a nível estratégico, jurídico e tecnológico”. Antecipar, capacitar e implementar teria de ter sido, na sua ótica, a aposta. Mas a realidade mostra um panorama diferente: “O que eu sinto na prática, quando falamos com as empresas é uma postura de: vamos esperar que saia a transposição e perceber o que é que tem efetivamente de se fazer, pois já há algumas medidas tomadas. O resto, deixa-se mais para a frente”. Ou seja, na generalidade dos casos, não se acompanharam nem monitorizaram os desenvolvimentos regulatórios e tecnológicos, não se capacitou a organização e nem se planearam e implementaram as necessárias mudanças ao nível estratégico, jurídico e tecnológico. “Há áreas com níveis de maturidade na NIS2 muito diferentes. Em setores como as comunicações eletrónicas, energia ou até a saúde, que são muito regulados, este tema é core. Por isso, estão um passo à frente. Já noutros setores, o caminho será muito mais penoso. Vai ser um choque. As organizações ainda não estão completamente aware para o tema, porque como é uma diretiva e ainda tem de ser transposta, estão à espera do que o legislador vai dizer e pensam que ainda há tempo. De facto, acho que as empresas têm um longo caminho pela frente na NIS2”, afirma, defendendo que terão de adotar uma “aplicação harmonizada e
ágil, porque senão os custos de compliance serão muito elevados. O que leva tempo e terá de ser testado e repensado”. A perceção do líder da CIIWA é similar. Embora fale numa “realidade plural”, admite que “uma larga maioria de organizações que só agora está a procurar informação, conducente a ação”. Mas desdramatiza, destacando que “existe um conjunto de boas práticas, essenciais e críticas à adequação dos sistemas de gestão de segurança de informação, e também de apoio à transformação de comportamentos”. Aliás, a associação, em parceria com a APDC, está mesmo a realizar formações para partilhar boas práticas e o processo de implementação da NIS2: “Temos sentido e verificado uma forte adesão a este tema, nomeadamente uma aceleração das entidades no reforçarem das suas competências, existindo no mercado soluções para esse efeito. Fica aqui um convite para a ação!”. E assegura: “o elemento nuclear para se introduzirem as transformações estruturais nas organizações é apenas um: o conhecimento. Têm de procurar informação sistematizada sobre as profundas implicações em termos de governance, gestão e relacionamentos (colaborativos) com os parceiros críticos de negócio. Com um grau de mudança desta magnitude, são as lideranças, a começar pela gestão de topo, que têm de estar sensíveis para o tema da cibersegurança, enquanto enabler estratégico para os seus negócios. E serem os motores da transformação, que afetará todos os patamares funcionais e exigirá uma forte lógica de colaboração interna e com os parceiros críticos. A cibersegurança deixa de estar confinada a uma área técnica ou dentro dos departamentos de TI e passa a ser um domínio transversal que vai exigir a colaboração de todos”. Assim, terão de implementar medidas de cibersegurança em domínios distintos: desde a prevenção, deteção e resposta a incidentes; à continuidade do negócio e gestão de crises; e à segurança da cadeia de Rogério Carapuça: “As empresas estão preocupadas com o impacto da implementação da NIS2, principalmente pelos custos adicionais de conformidade e pela necessidade de ajustar suas estruturas e práticas operacionais. Acresce a responsabilidade direta aos gestores” abastecimento. O que significa que, indiretamente, há muito mais empresas que terão de cumprir as regras da NIS2. Como explica a responsável da VdA, quem está abrangido pela diretiva está obrigadão a garantir que a sua cadeia de abastecimento assegura um nível de proteção adequado, o que terá de ser feito por via contratual, obrigando-se estas últimas a implementar medidas, sob pena de perderem os clientes. Uma das novidades da NIS2 que está também a gerar preocupação é a responsabilidade das administrações das empresas pela implementação e a contínua aplicação da diretiva, que cria, na perspetiva de Inês Antas de Barros, “uma verdadeira contingência dentro da organização, uma vez que não se trata apenas de um tema de compliance, mas de responsabilidade direta”. 33
