Um administrador é pessoalmente responsável sob a NIS2?
A Diretiva NIS2 não apenas regulamenta o que uma organização deve fazer técnica e organizacionalmente, mas também se dirige à administração da própria empresa. A diretiva exige que os administradores aprovem as medidas de gestão de riscos, supervisionem a sua implementação e participem em formação sobre elas. Esta é uma função diferente da do departamento de TI ou de um fornecedor externo, e não pode ser delegada.
Se isto também resulta em responsabilidade pessoal de um administrador individual depende da lei nacional que transpõe a diretiva e do direito comercial mais amplo do país onde a organização está estabelecida. Na Holanda, isto ocorre através da Lei de Cibersegurança e das regras existentes sobre responsabilidade dos administradores em caso de gestão inadequada. O que está exatamente fixado neste aspecto e o que ainda está em desenvolvimento é melhor discutir com um jurista; este artigo descreve a linha principal, não a sua situação individual.
O que a diretiva exige da administração
A obrigação de cuidado que decorre da NIS2 consiste em duas camadas que se complementam. A primeira camada é a organização: as dez medidas que constituem o dossier de cibersegurança, desde o controlo de acessos até à gestão de incidentes. A segunda camada é a administração: deve conhecer estas medidas, aprová-las e acompanhá-las. Isto não significa que um administrador tenha de compreender a técnica até aos mínimos detalhes, mas sim que saiba quais são os riscos que a organização enfrenta, que escolhas foram feitas a esse respeito e se essas escolhas estão a ser cumpridas. Quem quiser saber exatamente que medidas isto inclui, encontrará um resumo em a visão geral de todos os tópicos da NIS2.
Porque isto não pode ser delegado
É muito comum uma organização depositar a implementação de medidas de segurança num fornecedor de TI, num prestador de serviços geridos ou num responsável de segurança interno. Isto é permitido, e para muitas organizações PME é também o único caminho realista. Mas a diretiva faz uma distinção entre executar e ser responsável. Um fornecedor pode gerir uma firewall, estabelecer uma política de palavras-passe ou executar uma cópia de segurança; a administração permanece como a entidade que deve ser capaz de demonstrar que sabe o que se passa e que fez essa escolha deliberadamente. Um contrato com um fornecedor regulamenta a execução, não o envolvimento administrativo que a diretiva exige.
Isto também toca no tema da cadeia de fornecimento. Uma organização que cai sob a NIS2 deve supervisionar os riscos que os fornecedores comportam — por isso as empresas PME recebem questionários de segurança dos seus clientes. A mesma lógica aplica-se internamente: a administração supervisiona o que a própria organização faz, mesmo que o trabalho real seja feito noutro local.
O que a supervisão significa na prática
Supervisionar não é uma questão de assinar um documento uma única vez. A diretiva refere-se à aprovação das medidas e à formação, o que sugere que se trata de um processo recorrente: verificar periodicamente se as medidas continuam apropriadas, se foram implementadas, e se algo mudou de modo que seja necessário ajustar. Para um administrador sem background técnico, a forma mais viável é geralmente um resumo fixo: que medidas existem, qual é o estado, quem é o responsável, e qual é o documento de prova associado. Sem tal registro, é difícil demonstrar que houve supervisão, mesmo que isto tenha efetivamente ocorrido.
O que sabemos e não sabemos com certeza
A diretiva em si descreve o papel da administração a nível europeu; como isto se aplica exatamente no direito de responsabilidade varia por país, e a legislação nacional não é definitiva em toda a parte ao mesmo tempo. Os reguladores publicam as suas próprias interpretações sobre isto, e essas interpretações podem mudar. Acompanhamos isto por país e por fonte, com a data em que vimos uma publicação; como exatamente funciona essa recolha de fontes está explicado em a página sobre como acompanhamos as fontes. Para uma opinião sobre a responsabilidade pessoal de um membro específico do órgão de administração numa organização específica, o jurista correto ou a autoridade competente de supervisão é o interlocutor adequado.
O que pode registar
Mesmo sem certeza jurídica completa sobre responsabilidade pessoal, existe trabalho prático a fazer: registar que medidas existem, quem as gere e quando a administração as discutiu pela última vez. É precisamente para isso que o dossier de cibersegurança se destina — um registo permanente em vez de um relatório único. Se pretender primeiro saber se a sua organização está diretamente sujeita à obrigação de diligência ou é afetada através da cadeia de fornecimento, a verificação gratuita de NIS2 fornece uma primeira indicação em poucas perguntas, com explicação do porquê.
Comece onde está agora: consulte a verificação gratuita de NIS2 ou navegue pela base de conhecimentos para ver que tópicos são relevantes para a sua organização.