NIS 2.0: O Novo Paradigma da Cibersegurança e a Responsabilidade dos CEOs

A cibersegurança tornou-se uma prioridade absoluta para empresas de todos os setores. O aumento da sofisticação dos ataques informáticos, combinado com a crescente digitalização dos negócios, levou a União Europeia a reforçar a regulamentação nesta área. É neste contexto que surge a Diretiva NIS 2.0 (Diretiva (UE) 2022/2555), que entrou em vigor a 17 de outubro de 2024 e traz consigo mudanças significativas na responsabilização dos líderes empresariais.

Se até agora a responsabilidade pela cibersegurança recaía maioritariamente sobre o CISO (Chief Information Security Officer) e as equipas de TI, com a NIS 2.0 os CEOs e administradores passam a ter um papel central na supervisão da segurança digital. Esta diretiva não só impõe obrigações rigorosas para garantir a resiliência das infraestruturas críticas, como prevê sanções severas, incluindo multas milionárias e a suspensão de gestores.

Neste artigo, exploramos o impacto da regulamentação na responsabilidade dos CEOs, o novo papel da comunicação na gestão de crises e como as empresas devem preparar-se para este novo cenário regulatório.

O que é a NIS 2.0 e o que muda face à diretiva anterior?

A diretiva é a atualização da primeira Diretiva NIS (2016) e visa fortalecer a segurança cibernética na União Europeia. As principais alterações incluem:

• Abrangência alargada: Mais setores e empresas passam a estar sob a alçada da diretiva, incluindo empresas tecnológicas, financeiras, de transporte, energia, telecomunicações, serviços postais, e saúde.
• Critérios mais exigentes: Introdução de regras rigorosas de gestão de risco, governança de cibersegurança e relato de incidentes.
• Aumento das penalizações: Multas que podem atingir os 10 milhões de euros ou 2% do volume de negócios global.
• Fiscalização mais apertada: Autoridades nacionais terão poderes reforçados para supervisionar, auditar e sancionar empresas não conformes.

Com estas mudanças, a cibersegurança deixa de ser apenas um tema técnico e passa a ser um assunto estratégico e de gestão, com impacto direto na reputação corporativa e na continuidade do negócio.

CEOs no centro da responsabilidade: além do CISO

Até agora, a responsabilidade pela segurança cibernética recaía principalmente sobre o CISO e a equipa de TI. No entanto, a NIS 2.0 expande a responsabilidade para os CEOs e outros gestores de topo, tornando-os diretamente responsáveis por garantir o cumprimento da regulamentação.

1. Responsabilidade Pessoal dos CEOs

A NIS 2.0 estabelece que os gestores de topo, incluindo o CEO, podem ser pessoalmente responsabilizados por falhas de conformidade. Isto significa que a falta de investimento em cibersegurança ou a ausência de políticas eficazes de gestão de risco podem resultar em multas e até na suspensão dos administradores.

2. Obrigações Diretivas dos CEOs

A diretiva impõe uma série de novas responsabilidades para os CEOs e administradores:

• Supervisão e reporte: O CEO deve garantir que a empresa tem processos eficazes de monitorização e resposta a incidentes.
• Formação obrigatória: A NIS 2.0 exige que os gestores recebam formação sobre cibersegurança, permitindo-lhes tomar decisões informadas.
• Investimento estratégico em cibersegurança: As empresas devem alocar recursos financeiros e humanos adequados para proteger infraestruturas críticas.
• Garantia de conformidade regulatória: Os CEOs devem garantir que a organização cumpre as normas impostas pela diretiva e que há um plano estruturado de resposta a incidentes.

3. Multas e Penalizações

As sanções previstas na NIS 2.0 são substancialmente mais pesadas do que na versão anterior:

• Empresas consideradas essenciais podem enfrentar multas de até 10 milhões de euros ou 2% do volume de negócios.
• Empresas importantes podem ser penalizadas em até 7 milhões de euros ou 1,4% do volume de negócios.
• Os CEOs podem ser suspensos do cargo ou impedidos de exercer funções de administração caso a empresa falhe na implementação das medidas exigidas.

Gestão de Crise e Comunicação: O Papel Fundamental das Empresas

Com o aumento da fiscalização e as pesadas penalizações da NIS 2.0, a comunicação passa a ser um elemento estratégico essencial na gestão de crises relacionadas com cibersegurança. Um ataque informático ou uma falha de conformidade pode destruir a confiança dos clientes, impactar a reputação da marca e afetar o valor da empresa.

É importante compreender como as equipas de marketing e comunicação têm de estar alinhadas com a direção executiva e como devem agir em cada momento do processo de gestão da marca.

1. Comunicação Preventiva

Para evitar crises reputacionais, as empresas devem adotar uma abordagem proativa:

• Transparência: Comunicar de forma clara as políticas de cibersegurança implementadas, quer internamnete quer externamente.
• Educação: Sensibilizar os colaboradores, clientes e parceiros para a importância da segurança digital.
• Plano de Resposta a Incidentes: Criar um manual interno que defina quem comunica, o que comunicar e em que canais em caso de incidente cibernético.

2. Comunicação Durante um Ciberataque

Caso a empresa seja alvo de um ataque informático, a resposta comunicacional é crítica:

• Reconhecer o incidente rapidamente e comunicar de forma transparente às partes interessadas.
• Evitar alarmismo, fornecendo informações factuais e evitando especulações.
• Demonstrar ação imediata, explicando as medidas tomadas para mitigar o impacto do ataque.
• Assegurar o apoio a clientes e stakeholders, evitando perdas de confiança.

3. Comunicação Pós-Crise

Após um incidente, a comunicação deve focar-se na restauração da confiança:

• Partilhar lições aprendidas e melhorias implementadas.
• Reforçar medidas de segurança e demonstrar o compromisso com a proteção dos dados.
• Gerir relações com os reguladores para evitar penalizações adicionais.

Como as Empresas Devem Preparar-se para a NIS 2.0?

A conformidade com a regulamentação NIS 2.0 exige uma abordagem estratégica e transversal. Algumas ações essenciais incluem:

1. Realizar uma auditoria de cibersegurança para avaliar o nível de preparação da empresa.
2. Definir um plano de compliance que assegure o cumprimento dos requisitos da diretiva.
3. Investir em formação para CEOs e administradores sobre cibersegurança e gestão de risco.
4. Reforçar a colaboração entre departamentos para garantir que a cibersegurança é uma prioridade partilhada.
5. Desenvolver um plano de comunicação de crise para lidar com potenciais incidentes cibernéticos.

A implementação da NIS 2.0 muda completamente o paradigma da cibersegurança na União Europeia. Para além dos CISO e das equipas de TI, os CEOs e administradores passam a ter responsabilidade direta na implementação de medidas de proteção e na gestão de incidentes.

A não conformidade pode resultar em multas elevadas, danos reputacionais e até a suspensão de gestores. Por isso, a comunicação passa a ser uma ferramenta essencial na gestão de crises, ajudando as empresas a protegerem a sua reputação e a manterem a confiança dos stakeholders.

A melhor abordagem? Prevenção, preparação e comunicação eficaz.

Vamos falar?