NIS 2 em Portugal: nomear um responsável pela cibersegurança é suficiente?
O novo Regime Jurídico da Cibersegurança distingue responsabilidades da Administração, do responsável de cibersegurança e do ponto de contacto permanente. Mas como saber se estas funções estão efetivamente articuladas?
⏱️ Leitura estimada: 4 minutos
Uma empresa designa um responsável de cibersegurança, identifica um ponto de contacto permanente e comunica os dados exigidos à autoridade competente.
Pode considerar que tem a governação da cibersegurança devidamente assegurada?
Não necessariamente. A designação formal de responsáveis é apenas uma parte do modelo de governação.
O Decreto-Lei n.º 125/2025, de 4 de dezembro, que transpõe a Diretiva NIS 2 para Portugal, distingue funções que devem estar articuladas, mas que não têm responsabilidades equivalentes.
Quem responde pela conformidade com a NIS 2?
Nas entidades essenciais e importantes, o artigo 25.º do Regime Jurídico da Cibersegurança atribui aos órgãos de gestão, direção e administração responsabilidades de aprovação e supervisão das medidas de gestão dos riscos de cibersegurança.
A legislação estabelece ainda que a responsabilidade e os poderes necessários ao cumprimento destas obrigações apenas podem ser delegados num dos titulares desses órgãos.
Por sua vez, o artigo 31.º prevê a designação de um responsável de cibersegurança, que deve integrar os órgãos de gestão, direção ou administração, ou responder-lhes organicamente e de forma direta.
O artigo 32.º estabelece a função de ponto de contacto permanente, destinada a assegurar a articulação operacional e técnica com as autoridades de cibersegurança competentes.
A Administração aprova e supervisiona; o responsável de cibersegurança exerce as funções de gestão e coordenação legalmente previstas; o ponto de contacto permanente assegura os fluxos de comunicação que lhe competem.
Estas responsabilidades não devem ser confundidas, mesmo quando a legislação permite a acumulação de funções.
Responsável de cibersegurança: porque não basta a nomeação?
Considere-se uma situação ilustrativa.
Uma organização designou formalmente o responsável de cibersegurança. Contudo, as propostas de medidas de segurança não têm um processo definido de apresentação à Administração, as decisões não chegam às equipas responsáveis pela execução e não existe um mecanismo regular de acompanhamento.
A designação existe. Mas será que o modelo de governação permite exercer adequadamente as responsabilidades previstas?
A questão essencial é perceber se existe uma relação efetiva entre autoridade, decisão, execução e supervisão.
A legislação estabelece responsabilidades. A organização deve assegurar as condições necessárias ao seu exercício, respeitando os requisitos e prazos que lhe sejam aplicáveis.
Como avaliar se as responsabilidades estão articuladas?
A Behaviour propõe analisar quatro dimensões de governação:
Em ecrãs pequenos, deslize a tabela para consultar as quatro dimensões.
| Dimensão | Questão de avaliação |
|---|---|
| Autoridade | Estão definidos os poderes de decisão e as responsabilidades de cada função? |
| Informação | O responsável de cibersegurança consegue transmitir à Administração a informação necessária para fundamentar decisões? |
| Execução | As decisões aprovadas são traduzidas em medidas, responsáveis e atividades concretas? |
| Supervisão | A Administração dispõe de informação adequada para acompanhar a aplicação das medidas e decidir quando é necessária intervenção? |
Estas quatro dimensões constituem um critério de análise organizacional, não uma checklist legal autónoma nem uma substituição dos requisitos do Regime Jurídico da Cibersegurança.
O seu objetivo é ajudar a identificar situações em que existem designações formais, mas faltam mecanismos de funcionamento e articulação.
Quem deve coordenar a implementação da NIS 2?
A conformidade com o Regime Jurídico da Cibersegurança envolve frequentemente várias áreas da organização: cibersegurança, TI, gestão do risco, conformidade, jurídico, operações e continuidade do negócio.
A coordenação do programa deve permitir interpretar os requisitos aplicáveis, organizar responsabilidades, acompanhar medidas e disponibilizar informação adequada à gestão.
Esta atividade pode ser distribuída por diferentes funções, de acordo com a estrutura e os recursos da entidade, sem afastar as responsabilidades legalmente estabelecidas.
O desafio não é criar mais um cargo. É assegurar que as responsabilidades previstas na lei se traduzem num modelo de governação que funciona.
Da responsabilidade formal à capacidade de gestão
A aplicação da NIS 2 exige competências distintas: quem aprova e supervisiona necessita de compreender as suas responsabilidades; quem coordena a conformidade precisa de interpretar requisitos, organizar medidas e acompanhar a sua implementação.
É nesta articulação que a formação especializada pode contribuir para uma governação mais consistente.
A Behaviour disponibiliza dois percursos complementares:
- NIS 2 Governação Executiva — dirigido a órgãos de gestão, administração e direção, com foco na responsabilidade legal, supervisão e decisão.
- NIS 2 Compliance Lead Manager — dirigido a profissionais que necessitam de estruturar, implementar, coordenar e acompanhar programas de conformidade NIS 2.
Desenvolver estas competências não substitui o cumprimento das obrigações legais. Contribui para que as pessoas envolvidas compreendam e desempenhem adequadamente as suas responsabilidades.
A conformidade começa por responsabilidades claras e competências adequadas.
Pretende desenvolver estas competências individualmente ou preparar a sua equipa?
Contacte a Behaviour através de training@behaviour-group.com para conhecer as opções de formação e Pack Equipa.
Referências normativas
- Decreto-Lei n.º 125/2025, de 4 de dezembro — Regime Jurídico da Cibersegurança, especialmente artigos 25.º, 31.º e 32.º.
- Regulamento n.º 756/2026, de 22 de junho — Regulamento de execução do Regime Jurídico da Cibersegurança.
Data:
Autor: Behaviour Group
Não é autorizada a cópia ou reprodução deste artigo.