"O buy-in das chefias é um fator crítico de sucesso da NIS2"

O Regulamento saiu a 22 de junho e as entidades já se podem registar na plataforma. Eventualmente, há um grande número de entidades abrangidas que não sabe ainda que é abrangida, ou não tem noção concreta do que fazer primeiro. Qual é a mensagem mais importante para essas organizações neste momento?

O Centro Nacional de Cibersegurança tentou criar um conjunto de instrumentos e realizar um conjunto de sessões de sensibilização e até de formação para ajudar todas as entidades a perceberem se faziam parte do objeto deste regime jurídico ou não.

Talvez o principal instrumento que criámos para esse efeito foi um simulador que permitia às entidades, respondendo a um conjunto de questões, verificarem se estavam dentro do âmbito ou não. É óbvio que este simulador funcionava essencialmente para aquelas entidades que eram abrangidas pelo critério do size cap, ou seja, que tinham mais de 250 funcionários ou entre 50 e 250 funcionários e pertenciam a um dos setores de atividade do anexo 1 ou 2 do Regime Jurídico da Cibersegurança, mas essa contamos que seja a grande maioria das organizações que são objeto. Há um conjunto de outras entidades que, por critérios especiais, podem vir a ser qualificadas como essenciais ou importantes, mas serão uma minoria.

Nesse sentido, com os instrumentos que nós fornecemos, a grande parte das entidades sabe que se deve registar, que é objeto deste Regime Jurídico de Cibersegurança e que se deve registar no portal MyCiber dentro do prazo previsto para o efeito, ou seja, 60 dias úteis após a publicação do portal, portanto, a colocação e funcionamento desta funcionalidade no portal.

O que não quer dizer que as dificuldades não continuem e nós mesmo no processo de registo já estamos a identificar uma dificuldade por parte das organizações. Nós criámos um processo no portal específico para que a qualificação nestes casos em que se enquadram dentro do size cap seja feita de forma automática. Essa qualificação de forma automática significa que o registo é feito pela pessoa que vincula a organização no ato administrativo, ou seja, tem poderes para efeitos administrativos. O registo é feito pela pessoa que vincula e a entidade está registada no SCAP, ou seja, nós criamos um mecanismo de interoperabilidade com o IRN que vai buscar os atributos para verificação de que aquela

pessoa tem plenos poderes para vincular a organização neste ato. Ora, se for feito por essa pessoa, se essa entidade estiver registada no SCAP, o processo de qualificação é automático. Nós temos assistido a que algumas entidades, apesar de realizar o registo com essa pessoa, acrescentam qualquer documento que demonstra essa capacidade para vincular a organização quando ela não é necessária e, a partir do momento em que entrega um documento, o processo de qualificação deixa de ser automático e passa a ser manual. Nós tentamos que a grande maioria das organizações tenha uma qualificação feita de forma automática. Ela deve é ser precedida do registo no SCAP, caso não o tenha, e o registo seja feito pela pessoa que tenha poderes para vincular a organização.

O Regulamento define que a notificação da qualificação final das entidades cabe às autoridades competentes no prazo de 30 dias úteis. Com mais de seis mil entidades potencialmente a registar-se em simultâneo – contra as 450 da NIS1 – o CNCS tem capacidade operacional para qualificar esse volume em tempo útil? Como é que isso vai funcionar na prática?

Preparamo-nos com o instrumento que acabei de referir, ou seja, o processo de qualificação para as entidades que são objeto, tendo em conta os critérios materiais do tamanho e o valor de faturação anual, a qualificação é feita de forma automática.

Portanto, sim, previmos essa dimensão de registos, criámos um processo que, no fundo, pode ser, para a grande maioria das entidades, feito de forma automática, o que não prejudica as entidades, porque há sempre um período de audiência prévia após essa qualificação manual ou automática em que as entidades podem contestar ou reclamar da qualificação que é feita.

O RGPD entrou em vigor em 2018 com promessas semelhantes: impacto transformador, responsabilização das organizações e coimas pesadas. Em Portugal, o que se viu na prática foi muito compliance de papel e um regulador que raramente atuou. Como é que o CNCS garante que a NIS2 não segue o mesmo padrão, que daqui a cinco anos não estamos a falar de seis mil entidades registadas na plataforma MyCiber, mas com a mesma maturidade de segurança de hoje?

A comparação não deve ser feita. Acho que são dois regimes relativamente distintos, desde logo porque este novo Regime da Cibersegurança trabalha em cima do Regime de Segurança do Ciberespaço já existente, portanto não é algo completamente novo como foi o RGPD.

É óbvio que temos aqui um alargamento muito grande do número de entidades e esse novo conjunto de entidades merece a nossa melhor atenção e aquilo que nós vamos trabalhar nos próximos meses é no desenho e disponibilização de um conjunto de instrumentos que ajuda as organizações a percorrerem este caminho, vamos chamar assim, de crescimento na sua maturidade.

Acabámos de publicar um regulamento, estamos a percorrer esta primeira fase de qualificação e registo das entidades. O processo de qualificação termina com a identificação do que são o conjunto de medidas mínimas que cada uma das organizações tem de implementar, ou seja, qual é que é o nível de garantia exigido e o conjunto de medidas mínimo exigido a cada uma das entidades. Temos aqui uma previsibilidade que o RGPD nunca teve. O que nós pretendemos é criar um conjunto de guias, um conjunto de templates e mesmo um conjunto de ferramentas que ajudem as organizações a percorrerem este caminho de crescimento da maturidade.

Aquilo que nós também pretendemos fazer é, com o nosso observatório para a cibersegurança, tentar tirar uma fotografia, para o conjunto das entidades, de qual é que é o estado atual de maturidade e, obviamente, depois vamos tirando outras fotografias, numa base bianual ou anual para perceber se os instrumentos que nós temos, os serviços de apoio que nós temos com a C-Academy, com a rede de centros de competência, com os instrumentos que pretendemos disponibilizar de forma gratuita, se estão a ser eficazes ou não.

Obviamente, existirão linhas a redefinir, a corrigir, que poderemos ver com essa avaliação periódica de qual é que é o estado de evolução da implementação deste regime jurídico. Acho que com esta avaliação cíclica vamos, de alguma forma, verificar se está a haver alguma eficácia ou não e, obviamente, adaptaremos e faremos os investimentos necessários para corrigir se for necessário.

O Regulamento publicado ativa o prazo de 24 meses para as medidas técnicas do artigo 27.º e para o Relatório Anual. Há quem possa ler isso como uma moratória de dois anos, mas não é. Como é que o CNCS distingue o “período de implementação” do “período de inação aceitável”?

Aquilo que nós prevemos é manter e até intensificar, tendo em conta o número de entidades, aquilo que são os atos de supervisão prudencial para a avaliação da implementação do regime jurídico.

Durante este período de 24 meses, não haverá lugar a processos de inspeção ou processos contraordenatórios, mas iremos continuar e até intensificar o número de supervisões que realizamos nas entidades, produzindo os respetivos relatórios e as recomendações para o compliance das organizações. Vamos manter o rigor que é devido na implementação deste modelo.

O Regulamento introduz três níveis de conformidade – Básico, Substancial e Elevado – determinados por uma Matriz de Risco que combina setor, dimensão e criticidade. Como é que uma empresa, por exemplo, de média dimensão no setor da indústria transformadora, que nunca interagiu com o CNCS, sabe concretamente qual é o seu nível e o que tem de implementar?

A entidade fica a conhecer a matriz de risco – que, note, esta matriz de risco serve exclusivamente o processo de qualificação – que foi utilizada no seu caso, ou as matrizes de risco – que há entidades que na realidade operam em diferentes setores de atividade económica – e consequentemente qual é que é o nível de garantia que lhe é exigido.

O regulamento prevê um mecanismo de identificação do nível de garantia e, por consequência, do conjunto de medidas mínimas de caráter obrigatório para cada uma das entidades, tendo em conta esses três fatores que acabou de referir. Alguns dos fatores são fornecidos pela entidade aquando do registo, nomeadamente a sua dimensão e o seu volume financeiro; a criticidade e a matriz de risco são fornecidas pelo CNCS, segundo a metodologia que está publicada no regulamento.

Isso é completamente transparente. O final do processo de registo é uma notificação onde damos a conhecer os critérios que levaram àquela qualificação em particular.

O regime tem coimas até dez milhões de euros para entidades essenciais. Mas há um período de carência para quem demonstre esforço genuíno de adaptação. Com o regulamento publicado, o contador da carência começou. O que é que conta como “esforço genuíno” para o CNCS? Que evidências concretas protegem uma empresa?

Isso tem de ser visto de medida a medida, ou seja, o Regime Jurídico e o Regulamento preveem o princípio da proporcionalidade na aplicação de medidas. Quer isto dizer que, apesar de usarmos um conjunto de medidas mínimas que devem ser utilizadas por todas as organizações com aquela dimensão daquele setor de atividade económica, não significa que duas entidades desta mesma dimensão e desta mesma atividade económica, tenham de implementar exatamente as mesmas medidas de cibersegurança.

Isso depende, por exemplo, do nível de exposição que cada uma, individualmente, tem ao risco, ou seja, uma destas duas empresas tem um maior nível de digitalização, porventura necessitará de implementar todas as medidas previstas naquele nível de garantia. Uma entidade que tenha um menor nível de digitalização ou que tenha alguns outros controlos que diminuam o risco da exposição ou o nível de exposição, precisa de implementar menos.

O que é que isso significa: que as entidades, para cada uma daquelas medidas, ou implementa porque precisa de implementar, ou justifica muito bem porque é que não implementa. E dessa forma garantimos a proporcionalidade da aplicação do mesmo modelo a duas entidades que são distintas na sua essência.

Quando refere qual é que é o tipo de justificação que tem de ser dada, tem de ser neste sentido: não implemento esta medida, ou ainda não implementei esta medida, porque não tenho um grau de exposição suficiente para necessitar da implementação daquela medida. São coisas deste género.

Isso não significa justificar um atraso num investimento que é necessário. O objetivo é, no fim deste período, atingirmos um grau de maturidade para o país, para cada uma das organizações que são objeto, que está definido por lei. Agora, a implementação individual de cada uma das medidas deve ser tida em conta no contexto de cada uma das organizações e é assim que nós garantimos o princípio da proporcionalidade na aplicação do Regime Jurídico.

O regime prevê que a lista de ativos publicamente acessíveis seja entregue até 31 de janeiro de 2027. Isso significa que o CNCS vai centralizar, num único local, um mapa detalhado da superfície de ataque de milhares de organizações portuguesas. Para um CISO, isso é delegar parte da gestão do seu próprio risco a um sistema que não controla. Que garantias é que o CNCS dá de que esse local não se torna, ela própria, o ponto de falha do ecossistema de cibersegurança nacional?

É uma preocupação legítima e quer no decreto-lei, quer no regulamento é claro o tipo de tratamento que nós damos a essa informação. Essa informação é tratada como Marca Nacional Reservado.

Nós garantimos que cumprimos com um conjunto de processos e controlos que são característicos da salvaguarda de informação classificada como reservada marca nacional. Entendemos que é suficiente para diminuir as preocupações e obviamente isto é auditado pelo Gabinete Nacional de Segurança como uma entidade fiscalizadora de matéria classificada. Entendemos que este é um nível adequado para este tipo de informação.

Em junho de 2021, noutra entrevista à IT Security, mencionou que queriam formar cerca de dez mil especialistas em cibersegurança até 2026. Chegamos a junho de 2026 e os números mais recentes indicam 9.800 pessoas certificadas através da C-Academy. O que é que esses 9.800 representam em termos concretos para Portugal, onde estão essas pessoas, o que fazem?

Não temos grandes dados sobre a caracterização do público-alvo dos cursos. A noção que temos é que a grande parte são pessoas que já exerciam funções com alguma responsabilidade na área da cibersegurança, mas não eram propriamente formados em cibersegurança.

Aquilo que temos ideia é que houve aqui uma grande utilização por parte de organizações que quiseram requalificar os seus quadros ou por parte de pessoas que quiseram abraçar um desafio na área da cibersegurança dentro das organizações onde já exercem funções de cibersegurança sem formação específica ou que não exercem e querem exercer. Isso caracteriza um bocadinho o público- -alvo dos diferentes cursos. Não temos uma melhor caracterização até para não pedir dados pessoais que não eram propriamente necessários, não temos mais informação sobre o público-alvo.

Tivemos quase duas dezenas de protocolos que chamamos de compromisso C-Academy; foram organizações que elas próprias organizaram turmas. Aí, realizámos o encontro entre a oferta e a procura. Estou a lembrar-me, por exemplo, de comunidades intermunicipais que realizaram turmas para tirar um, dois, três cursos de cibersegurança para os responsáveis de cibersegurança dentro dos municípios. Algumas associações empresariais fizeram o mesmo. Portanto, tivemos aqui alguns formandos que vieram por esta via e conseguimos perceber exatamente quem é que vinha aos cursos. Nos restantes, temos uma perceção que são pessoas que pretendem abraçar esta área da cibersegurança e identificaram a C-Academy como um curso – um ou mais cursos, alguns deles tiraram vários cursos – como sendo os cursos de eleição para o fazer.

Tanto a C-Academy como a C-Network foram financiadas pelo PRR, com prazos que terminam em 2026. O que acontece a estes dois programas agora que o financiamento europeu se esgota? Continuam, em que modelo, com que orçamento, e quem paga?

Esses dois programas foram objeto de uma candidatura PTRR; ainda não sabemos o resultado, mas são dois investimentos que contamos vir a ser financiados pelo PTRR na sua continuidade.

Também assegurámos o seu financiamento até ao final deste ano por via do Orçamento de Estado. O fim do PRR não coincidia com o final do ano e, portanto, assegurámos, por via do Orçamento de Estado, o seu financiamento até ao final do ano.

É esta abordagem que estamos a trilhar, é voltar a ter uma reedição destes dois instrumentos, com uma adaptação, como referi durante o C-Days, à NIS2 e a este novo Regime Jurídico, muito focado naquilo que é o apoio às organizações nestes próximos 24 meses, mas por via do PTRR.

O regime está agora completo: lei, regulamento, plataforma. Daqui a três anos, qual é o indicador que vai usar para saber se funcionou?

O trabalho ainda não terminou, na medida em que publicámos o primeiro regulamento, o regulamento de execução do Regime Jurídico, mas temos uma série de instrumentos para densificar por instrução técnica, a sua forma de execução ou de implementação. Estou-me a lembrar, por exemplo, naquilo que é a publicação dos ativos críticos, também naquilo que é a definição do que é um incidente de impacto significativo. Há um conjunto de elementos que, não por via de um instrumento comum ou regulamento, mas por via de instrução técnica ou de orientação técnica ainda temos de produzir e vamos produzi-los durante este ano.

A medida, a forma como medimos exatamente o sucesso desta iniciativa é precisamente através daquela comparação de fotografias sobre o estado da maturidade das organizações antes e depois, e diria que esta avaliação é contínua.

Acho que temos um bom quadro jurídico; acho que temos um quadro jurídico que deve ser estável durante vários anos e quando digo vários anos, acho que deveria aguentar uma década – este é um sinal à União Europeia para não vir com novos regulamentos na área.

É preciso ter uma forma de medir o sucesso e medir o sucesso significa utilizarmos o observatório para retirar fotografias periódicas do grau de maturidade de cada uma e do conjunto das instituições que são objeto de regulação. Pensamos nisso desde o início, fizemo-lo by design.

Temos também um outro projeto que produz relatórios de maturidade da organização numa base sistemática e tem um conjunto de macro indicadores que avaliam a maturidade da organização, a exposição a riscos, a ameaça e a resposta. Esses relatórios, inclusive, vão ser disponibilizados na plataforma MyCiber para que o responsável de cibersegurança possa ver exatamente aquilo que nós medimos sobre ela em cada um destes indicadores e macro indicadores. Portanto, sim, temos um instrumento que nos permite medir o sucesso, ou não, do que estamos a fazer.

Qual é a mensagem final que o Centro Nacional de Cibersegurança quer deixar para os executivos e os responsáveis de cibersegurança?

Se calhar voltava à comparação que fez no meio da entrevista com o RGPD, no sentido de pedir aos executivos das organizações, aos responsáveis das organizações, para não deixarem para a última da hora a implementação deste Regime Jurídico e começarem já a fazê-lo.

É importante, e nós também vamos trabalhar essa área, uma sensibilização das chefias e o buy-in das chefias para este processo. Sentimos um forte carinho pelo Regime e pelo regulamento por parte do que são os CISO e os responsáveis de cibersegurança das organizações, mas eles próprios demonstram-nos a miúde a falta de buy-in por parte das administrações. Isso é um fator crítico de sucesso para esta iniciativa, ou seja, o buy-in por parte das chefias e, obviamente, acompanhar este processo do investimento que vai ser, com certeza, necessário, principalmente para as organizações que não têm nada montado, quer em recursos humanos, quer em investimento em soluções e serviços de cibersegurança para atingir a conformidade.

A primeira coisa que aconselhamos a estas administrações é que, de alguma forma, façam uma avaliação inicial, também elas, de qual é que é o seu estado de maturidade, face àquilo que é previsto e que passam a conhecer no momento da qualificação, como eu referi, daquilo que têm de ter implementado e verifiquem qual é que é o investimento em recursos humanos e investimento de capital que deve ser feito nos dois anos seguintes.

Não deixem para a última da hora porque isto é um caminho, e eu volto a repetir aquela expressão que disse no início, isto é um caminho que se tem que fazer e não se consegue fazer numa semana, nem duas, nem num mês e, para algumas organizações, se calhar nem num ano se consegue implementar. É importante conhecer o estado de maturidade inicial para definir um plano a dois anos.

Deixava também um aviso a todas as organizações é que não acreditem nas empresas que vendem serviços a dizer prometem compliance com o Regime Jurídico da Cibersegurança num espaço de uma semana ou duas.