Soluções · Administração
Desde a lei alemã de transposição da NIS2 (NIS2UmsuCG), a gestão de topo tem obrigações expressas. Tem de implementar as medidas de cibersegurança, supervisionar a sua aplicação e receber formação regularmente. O Sightadel mostra-lhe o ponto de situação numa só página, torna visíveis as decisões pendentes e regista o que decidiu e quando.
Ponto de partida
Durante muito tempo, a segurança da informação foi um assunto da TI. A administração aprovava um orçamento e pedia, de vez em quando, um relatório. Com a nova redação da lei alemã do BSI (BSIG), isso já não basta para as entidades abrangidas. Nos termos do § 38 da BSIG, a própria gestão de topo está obrigada a implementar as medidas de gestão de riscos previstas no § 30 e a supervisionar a sua aplicação. Se violar culposamente esse dever e daí resultar um dano, responde perante a própria entidade segundo as regras do direito das sociedades, ou seja, por exemplo, segundo o direito das sociedades por quotas ou das sociedades anónimas.
O trabalho em si é feito por outros: o responsável pela segurança da informação, a TI, as compras, prestadores de serviços externos. A responsabilidade, porém, continua a ser sua. Num momento crítico, ninguém pergunta se a TI trabalhou bem. Pergunta-se se a administração conhecia a situação, tomou decisões e acompanhou a sua execução. Uma pasta de políticas não responde a esta pergunta. Deliberações datadas, relatórios regulares e medidas rastreáveis respondem.
Para a administração, trata-se sobretudo de uma questão de visão de conjunto. Não precisa de acesso a cada controlo individual. Precisa de um ponto de situação fiável: onde estamos, o que está em aberto, onde está bloqueado, o que tenho de decidir? É exatamente para isso que existe a vista da gestão no Sightadel.
Porquê agora
A nova lei do BSI está em vigor desde dezembro de 2025. As entidades importantes e essenciais têm de se registar junto do Serviço Federal Alemão de Segurança da Informação (BSI), implementar medidas e notificar incidentes. Os deveres da gestão de topo aplicam-se desde o primeiro dia, e não apenas após um período de transição.
Os membros da gestão de topo têm de participar regularmente em ações de formação. O objetivo é conseguirem identificar e avaliar os riscos para a segurança da informação e estimar as suas consequências para os próprios serviços. Uma apresentação única não chega a longo prazo.
Após um ataque com software malicioso ou uma falha prolongada, o conselho fiscal ou a assembleia geral fazem perguntas. Nessa altura conta se decidiu e supervisionou antes, e se o consegue comprovar.
Os grandes clientes têm de avaliar a sua cadeia de abastecimento. Enviam questionários, exigem certificados e cláusulas contratuais. Sem respostas organizadas, perde tempo nas vendas ou, no pior dos casos, o contrato.
Seguradoras de risco cibernético, bancos financiadores e revisores oficiais de contas perguntam hoje especificamente por autenticação multifator, cópias de segurança e planeamento de emergência. As respostas devem vir de um ponto de situação mantido em dia, e não da memória.
Frameworks relevantes
Resumido por palavras nossas, não constitui aconselhamento jurídico. Prevalece o texto original na versão em vigor.
Obrigatória para entidades importantes e essenciais nos termos da lei do BSI. A gestão de topo tem de implementar as medidas previstas no § 30 da BSIG, supervisionar a sua aplicação e participar regularmente em ações de formação. A diretiva da UE diz que a gestão aprova as medidas. A lei alemã vai mais longe e responsabiliza-a pela própria implementação. Se a sua empresa está abrangida depende do setor e da dimensão.
Ver framework →Para bancos, seguradoras, empresas de investimento, instituições de pagamento e outras entidades financeiras, prevalece o DORA. Aqui, o órgão de administração tem a responsabilidade última pelo risco associado às TIC. Aprova o quadro de gestão do risco associado às TIC, define o apetite pelo risco, disponibiliza recursos, aprova as políticas de continuidade do negócio e de prestadores de serviços e mantém os seus conhecimentos atualizados através de formação.
Ver framework →Não é uma obrigação legal, mas é o referencial que os clientes exigem com mais frequência. A norma atribui à gestão de topo um papel definido: estabelecer a política e os objetivos, disponibilizar recursos e avaliar regularmente o sistema na revisão pela gestão. Assim cumpre, de forma auditada, muito do que a NIS2 espera da gestão de topo.
Ver framework →Aplica-se a todas as empresas que tratam dados pessoais. O responsável pelo tratamento na aceção do RGPD é a empresa, ou seja, em última análise, a gestão de topo. A proteção de dados e a segurança da informação articulam-se nas medidas, nos prestadores de serviços e nos incidentes e podem ser geridas em conjunto.
Ver framework →Ordem recomendada
A sua empresa está abrangida pela NIS2 ou pelo DORA e, em caso afirmativo, em que categoria? Mande registar a classificação com fundamentação e tratar do registo junto do BSI. Em caso de dúvida, a avaliação jurídica fica a cargo da sua assessoria jurídica.
Designe uma pessoa responsável pela segurança da informação, interna ou externa, e dê-lhe tempo e poderes. Defina como e com que frequência lhe reporta. Sem esta decisão, qualquer projeto fica sempre em segundo plano.
Faça formação, juntamente com os restantes membros da gestão de topo, antes de tomar decisões de maior alcance. Depois disso, compreenderá melhor as propostas da equipa. A participação é guardada como evidência, com data e data de repetição.
A equipa percorre os requisitos ponto por ponto e mostra o que está comprovado e o que falta. Daí recebe uma lista de pontos em aberto com uma proposta de ordem, e não cem páginas de relatório de auditoria.
Decide sobre prioridades, orçamento, pessoal e riscos residuais aceites. A deliberação é datada, assinada e arquivada. Cada ponto em aberto dá origem a uma medida com responsável e prazo.
Supervisionar não significa controlar pessoalmente cada tarefa. Significa analisar o ponto de situação a intervalos fixos, abordar atrasos e corrigir o rumo. Uma breve reunião por trimestre com resultado documentado é um bom começo.
O seu papel
Muito pode ser delegado. Estes pontos não. Definem o quadro em que a equipa trabalha e são o que uma autoridade de supervisão ou um tribunal quererá ver mais tarde.
Que locais, sociedades, sistemas e serviços estão incluídos? Um âmbito demasiado restrito deixa lacunas, um demasiado amplo atrasa tudo. A delimitação é uma decisão de negócio, não técnica.
Nenhuma empresa consegue eliminar todos os riscos. Define que risco é aceitável e aceita expressamente os riscos remanescentes. Essa aceitação deve constar da documentação com data e fundamentação.
Sem tempo e dinheiro, as medidas ficam por declarações de intenção. Decide quantas horas estão disponíveis internamente, o que é adquirido externamente e que consultoria se acrescenta.
Quem é o responsável pela segurança da informação ou CISO, com que poderes e com que linha direta para a gestão de topo? A designação é feita por escrito e comunicada internamente.
A política de segurança da informação e as regras centrais, por exemplo sobre acessos, cópias de segurança ou emergências, levam a sua aprovação. Assim tornam-se vinculativas para todos os colaboradores.
Se um prestador crítico se mantém apesar de evidências fracas, é substituído ou tem de corrigir o contrato é uma ponderação entre custos, dependência e risco. Essa ponderação cabe à gestão de topo.
Se pretende um certificado ISO 27001, até quando e para que área depende dos clientes, do mercado e do esforço. A decisão determina o planeamento e o orçamento da equipa para os próximos meses.
Como o Sightadel ajuda
O painel mostra o progresso por framework, por exemplo para a NIS2 e a ISO 27001 lado a lado. Vê quantos requisitos estão respondidos e comprovados e onde a equipa ainda não avançou. Com a função Viewer tem acesso de leitura a tudo, sem alterar nada por engano.
Saber mais →Cada medida em aberto tem uma pessoa responsável e um prazo. Os pontos em atraso saltam à vista sem que tenha de perguntar. Assim, o dever de supervisão torna-se um olhar breve e regular sobre uma lista, em vez de uma reunião cheia de pontos intermédios.
Saber mais →O Security Score avalia como os seus domínios e sistemas se apresentam vistos de fora, como nota e como número. Os problemas mais importantes aparecem diretamente no painel. Assim, a gestão de topo e a TI falam da mesma coisa, sem que tenha de conhecer termos técnicos.
Saber mais →Deliberações da gestão de topo, comprovativos de formação e políticas aprovadas ficam guardados com data e versão na biblioteca de evidências. O registo de atividade documenta quem fez o quê e quando. Num momento crítico, demonstra assim que decidiu e supervisionou.
Saber mais →Os prestadores críticos constam de uma lista com avaliação, contratos e evidências. Onde um certificado expirou ou faltam respostas, vê-o antes de um cliente ou auditor perguntar.
Saber mais →No Trust Center mostra aos clientes, num só sítio, o seu nível de segurança, certificados e documentos aprovados. As vendas remetem para um endereço, em vez de trocarem questionários durante semanas.
Saber mais →Esforço e duração
Os intervalos refletem a experiência e não constituem um compromisso. O que mais pesa é a gestão de topo tomar decisões com rapidez e dar à equipa tempo suficiente.
O que licencia · tipicamente Professional
Uma empresa sujeita à NIS2 que pretende também um certificado ISO 27001 escolhe os dois frameworks na edição Professional. Esta inclui dez utilizadores, o suficiente para a gestão de topo, a pessoa responsável, a TI e algumas áreas funcionais. Se a ISO 27001 estiver incluída, há um desconto permanente na NIS2.
Licença por framework, duração mínima de um ano, pagamento mensal ou anual. Todos os preços, descontos e uma calculadora estão na página de preços. Os custos de um organismo de certificação ou de auditoria acrescem à parte.
Perguntas e respostas
Mais nas nossas perguntas frequentes ou diretamente através do nosso formulário de contacto.
Nos termos do § 38 da BSIG, a gestão de topo responde perante a sua entidade pelos danos que cause por violação culposa dos seus deveres. São determinantes as regras de responsabilidade do direito das sociedades para a respetiva forma jurídica. Como isso se aplica no caso concreto deve ser esclarecido com a sua assessoria jurídica. O Sightadel não presta aconselhamento jurídico, mas garante que as suas decisões ficam comprovadas.
O trabalho sim, a responsabilidade não. A lei dirige o dever de implementação e de supervisão à gestão de topo. Pode designar uma pessoa responsável e recorrer a ajuda externa. Mas tem de saber o que se passa e intervir quando algo emperra.
A lei não prescreve uma forma. Tem dado bons resultados um ritmo fixo: relatório regular da pessoa responsável, análise das medidas em aberto e em atraso, decisões sobre estrangulamentos e uma ata curta. No Sightadel vê para isso o ponto de situação por framework e os problemas em aberto de relance.
A lei exige uma participação regular, mas não fixa um intervalo. Muitas empresas planeiam uma atualização por ano e outra adicional após alterações significativas. A participação é registada com data, e o Sightadel lembra antes da próxima sessão.
Para as entidades financeiras aplica-se prioritariamente o DORA. Também aí o órgão de administração tem a responsabilidade última pelo risco associado às TIC, aprova o quadro e as políticas centrais, define o apetite pelo risco e recebe formação regularmente. A supervisão cabe à autoridade federal alemã de supervisão financeira (BaFin).
Não. Com a função Viewer vê o painel, o progresso por framework, os problemas em aberto e os planos de ação, sem ter de tratar controlos. O trabalho propriamente dito é feito pela pessoa responsável e pela equipa.
Não. Para a NIS2 não existe certificado; a supervisão cabe ao BSI. O Sightadel também não certifica. Para a ISO 27001, escolhe um organismo de certificação independente, da nossa rede de parceiros ou à sua escolha. As auditorias não geram qualquer comissão, nem para nós nem para os parceiros.
Nesse caso, adquira consultoria como pacote na aplicação. Consultores experientes ajudam nos pontos difíceis, como o âmbito, a avaliação de risco ou a preparação para uma auditoria. Também pode convidar os seus próprios consultores externos para a sua conta.
14 dias, acesso completo, sem dados de pagamento. Tudo o que configurar mantém-se no plano pago.
