Soluções · Diretoria
Desde a lei alemã de transposição da NIS2 (NIS2UmsuCG), a alta direção tem obrigações expressas. Ela precisa implementar as medidas de cibersegurança, supervisionar sua aplicação e receber treinamento regularmente. O Sightadel mostra a situação em uma só página, torna visíveis as decisões pendentes e registra o que você decidiu e quando.
Ponto de partida
Durante muito tempo, a segurança da informação foi um assunto da TI. A diretoria aprovava um orçamento e pedia, de vez em quando, um relatório. Com a nova redação da lei alemã do BSI (BSIG), isso não basta mais para as entidades abrangidas. Nos termos do § 38 da BSIG, a própria alta direção é obrigada a implementar as medidas de gestão de riscos previstas no § 30 e a supervisionar sua aplicação. Se ela violar esse dever com culpa e disso resultar um dano, responde perante a própria entidade segundo as regras do direito societário, ou seja, por exemplo, segundo o direito das sociedades limitadas ou das sociedades anônimas.
O trabalho em si é feito por outros: o gestor de segurança da informação, a TI, o setor de compras, prestadores de serviços externos. A responsabilidade, porém, continua sendo sua. Em um momento crítico, ninguém pergunta se a TI trabalhou bem. Pergunta-se se a diretoria conhecia a situação, tomou decisões e acompanhou sua execução. Uma pasta de políticas não responde a essa pergunta. Deliberações datadas, relatórios regulares e medidas rastreáveis respondem.
Para a diretoria, trata-se principalmente de uma questão de visão do todo. Você não precisa de acesso a cada controle individual. Você precisa de uma visão confiável da situação: onde estamos, o que está em aberto, onde está travado, o que eu preciso decidir? É exatamente para isso que existe a visão da direção no Sightadel.
Por que agora
A nova lei do BSI está em vigor desde dezembro de 2025. As entidades importantes e essenciais precisam se cadastrar no Serviço Federal Alemão de Segurança da Informação (BSI), implementar medidas e notificar incidentes. Os deveres da alta direção valem desde o primeiro dia, e não só após um período de transição.
Os membros da alta direção precisam participar regularmente de treinamentos. O objetivo é que consigam identificar e avaliar os riscos para a segurança da informação e estimar suas consequências para os próprios serviços. Uma apresentação única não basta a longo prazo.
Após um ataque com software malicioso ou uma falha prolongada, o conselho fiscal ou os sócios fazem perguntas. Nesse momento, conta se você decidiu e supervisionou antes, e se consegue comprovar isso.
Os grandes clientes precisam avaliar sua cadeia de suprimentos. Eles enviam questionários, exigem certificados e cláusulas contratuais. Sem respostas organizadas, você perde tempo nas vendas ou, no pior caso, o contrato.
Seguradoras de riscos cibernéticos, bancos financiadores e auditores independentes hoje perguntam especificamente sobre autenticação multifator, backups e planejamento de emergência. As respostas devem vir de uma situação mantida em dia, e não da memória.
Frameworks relevantes
Resumido com nossas próprias palavras, não constitui consultoria jurídica. Vale o texto original na versão em vigor.
Obrigatória para entidades importantes e essenciais nos termos da lei do BSI. A alta direção precisa implementar as medidas previstas no § 30 da BSIG, supervisionar sua aplicação e participar regularmente de treinamentos. A diretiva da UE diz que a direção aprova as medidas. A lei alemã vai além e a responsabiliza pela própria implementação. Se a sua empresa está abrangida depende do setor e do porte.
Ver framework →Para bancos, seguradoras, empresas de investimento, instituições de pagamento e outras entidades financeiras, prevalece o DORA. Aqui, o órgão de administração tem a responsabilidade final pelo risco de TIC. Ele aprova a estrutura de gestão de riscos de TIC, define o apetite a risco, disponibiliza recursos, aprova as políticas de continuidade de negócios e de prestadores de serviços e mantém seus conhecimentos atualizados por meio de treinamento.
Ver framework →Não é uma obrigação legal, mas é o referencial que os clientes exigem com mais frequência. A norma atribui à alta direção um papel definido: estabelecer a política e os objetivos, disponibilizar recursos e avaliar regularmente o sistema na análise crítica pela direção. Assim você cumpre, de forma auditada, muito do que a NIS2 espera da alta direção.
Ver framework →Vale para todas as empresas que tratam dados pessoais. O controlador no sentido do GDPR (Regulamento Geral sobre a Proteção de Dados da UE) é a empresa, ou seja, em última instância, a alta direção. A proteção de dados e a segurança da informação se conectam nas medidas, nos prestadores de serviços e nos incidentes e podem ser gerenciadas em conjunto.
Ver framework →Ordem recomendada
Sua empresa está abrangida pela NIS2 ou pelo DORA e, em caso afirmativo, em qual categoria? Peça que a classificação seja registrada com justificativa e que o cadastro no BSI seja feito. Na dúvida, a avaliação jurídica fica com a sua assessoria jurídica.
Nomeie uma pessoa responsável pela segurança da informação, interna ou externa, e dê a ela tempo e poderes. Defina como e com que frequência ela reporta a você. Sem essa decisão, qualquer projeto sempre fica em segundo plano.
Faça o treinamento, junto com os demais membros da alta direção, antes de tomar decisões de maior alcance. Depois disso, você entenderá melhor as propostas da equipe. A participação é armazenada como evidência, com data e data de repetição.
A equipe percorre os requisitos ponto a ponto e mostra o que está comprovado e o que falta. Com isso, você recebe uma lista de pontos em aberto com uma proposta de ordem, e não cem páginas de relatório de auditoria.
Você decide sobre prioridades, orçamento, pessoal e riscos residuais aceitos. A deliberação é datada, assinada e arquivada. Cada ponto em aberto dá origem a uma medida com responsável e prazo.
Supervisionar não significa controlar pessoalmente cada tarefa. Significa analisar a situação em intervalos fixos, tratar dos atrasos e corrigir o rumo. Uma reunião curta por trimestre com resultado documentado é um bom começo.
O seu papel
Muita coisa pode ser delegada. Estes pontos não. Eles definem o quadro em que a equipe trabalha e são o que uma autoridade supervisora ou um tribunal vai querer ver mais tarde.
Quais unidades, empresas, sistemas e serviços estão incluídos? Um escopo restrito demais deixa lacunas, um amplo demais atrasa tudo. A delimitação é uma decisão de negócio, não técnica.
Nenhuma empresa consegue eliminar todos os riscos. Você define qual risco é aceitável e aceita expressamente os riscos remanescentes. Essa aceitação deve constar da documentação com data e justificativa.
Sem tempo e dinheiro, as medidas ficam só nas declarações de intenção. Você decide quantas horas estão disponíveis internamente, o que é contratado externamente e qual consultoria entra.
Quem é o gestor de segurança da informação ou CISO, com quais poderes e com qual linha direta com a alta direção? A nomeação é feita por escrito e comunicada internamente.
A política de segurança da informação e as regras centrais, por exemplo sobre acessos, backups ou emergências, levam a sua aprovação. Assim elas se tornam obrigatórias para todos os funcionários.
Se um prestador crítico permanece apesar de evidências fracas, é substituído ou precisa corrigir o contrato é uma ponderação entre custos, dependência e risco. Essa ponderação cabe à alta direção.
Se você busca um certificado ISO 27001, até quando e para qual área depende dos clientes, do mercado e do esforço. A decisão determina o planejamento e o orçamento da equipe para os próximos meses.
Como o Sightadel ajuda
O painel mostra o progresso por framework, por exemplo para a NIS2 e a ISO 27001 lado a lado. Você vê quantos requisitos estão respondidos e comprovados e onde a equipe ainda não avançou. Com a função Viewer, você tem acesso de leitura a tudo, sem alterar nada por engano.
Saiba mais →Cada medida em aberto tem uma pessoa responsável e um prazo. Os pontos em atraso saltam aos olhos sem que você precise perguntar. Assim, o dever de supervisão vira uma olhada rápida e regular em uma lista, em vez de uma reunião cheia de pontos intermediários.
Saiba mais →O Security Score avalia como seus domínios e sistemas se apresentam vistos de fora, como nota e como número. Os problemas mais importantes aparecem diretamente no painel. Assim, a alta direção e a TI falam da mesma coisa, sem que você precise conhecer termos técnicos.
Saiba mais →Deliberações da alta direção, comprovantes de treinamento e políticas aprovadas ficam armazenados com data e versão na biblioteca de evidências. O registro de atividades documenta quem fez o quê e quando. Em um momento crítico, você demonstra assim que decidiu e supervisionou.
Saiba mais →Os prestadores críticos constam de uma lista com avaliação, contratos e evidências. Onde um certificado venceu ou faltam respostas, você vê isso antes que um cliente ou auditor pergunte.
Saiba mais →No Trust Center, você mostra aos clientes, em um só lugar, seu nível de segurança, certificados e documentos aprovados. O comercial indica um endereço, em vez de trocar questionários por semanas.
Saiba mais →Esforço e duração
Os intervalos refletem a experiência e não constituem um compromisso. O que mais pesa é a alta direção tomar decisões com rapidez e dar à equipe tempo suficiente.
O que você licencia · normalmente Professional
Uma empresa sujeita à NIS2 que também busca um certificado ISO 27001 escolhe os dois frameworks na edição Professional. Ela inclui dez usuários, o suficiente para a alta direção, a pessoa responsável, a TI e algumas áreas. Se a ISO 27001 estiver incluída, há um desconto permanente na NIS2.
Licença por framework, prazo mínimo de um ano, pagamento mensal ou anual. Todos os preços, descontos e uma calculadora estão na página de preços. Os custos de um organismo de certificação ou de auditoria são cobrados à parte.
Perguntas e respostas
Mais em nossas perguntas frequentes ou diretamente pelo nosso formulário de contato.
Nos termos do § 38 da BSIG, a alta direção responde perante a sua entidade pelos danos que causar por violação culposa dos seus deveres. São determinantes as regras de responsabilidade do direito societário para a respectiva forma jurídica. Como isso se aplica no caso concreto deve ser esclarecido com a sua assessoria jurídica. O Sightadel não presta assessoria jurídica, mas garante que suas decisões fiquem comprovadas.
O trabalho sim, a responsabilidade não. A lei direciona o dever de implementação e de supervisão à alta direção. Você pode nomear uma pessoa responsável e recorrer a ajuda externa. Mas precisa saber o que está acontecendo e intervir quando algo emperra.
A lei não prescreve uma forma. Na prática, um ritmo fixo funciona bem: relatório regular da pessoa responsável, análise das medidas em aberto e em atraso, decisões sobre gargalos e uma ata curta. No Sightadel, você vê para isso a situação por framework e os problemas em aberto em um relance.
A lei exige uma participação regular, mas não fixa um intervalo. Muitas empresas planejam uma atualização por ano e outra adicional após mudanças significativas. A participação é registrada com data, e o Sightadel lembra antes da próxima sessão.
Para as entidades financeiras vale prioritariamente o DORA. Lá também o órgão de administração tem a responsabilidade final pelo risco de TIC, aprova a estrutura e as políticas centrais, define o apetite a risco e recebe treinamento regularmente. A supervisão cabe à autoridade federal alemã de supervisão financeira (BaFin).
Não. Com a função Viewer, você vê o painel, o progresso por framework, os problemas em aberto e os planos de ação, sem precisar trabalhar nos controles. O trabalho propriamente dito é feito pela pessoa responsável e pela equipe.
Não. Para a NIS2 não existe certificado; a supervisão cabe ao BSI. O Sightadel também não certifica. Para a ISO 27001, você escolhe um organismo de certificação independente, da nossa rede de parceiros ou à sua escolha. As auditorias não geram nenhuma comissão, nem para nós nem para os parceiros.
Nesse caso, contrate consultoria como pacote no aplicativo. Consultores experientes ajudam nos pontos difíceis, como o escopo, a avaliação de riscos ou a preparação para uma auditoria. Você também pode convidar seus próprios consultores externos para a sua conta.
14 dias, acesso completo, sem dados de pagamento. Tudo o que você configurar continua valendo no plano pago.
