Cybersecurity Act 2 põe fornecedores e certificação na agenda da gestão

A revisão do Cybersecurity Act surge num momento em que a União Europeia (UE) procura tornar a cibersegurança mais operacional, transversal e ligada à gestão do risco. Para Mafalda de Brito Fernandes, advogada da PLMJ, a proposta “está algures entre” uma mudança estrutural e uma atualização técnica. Não representa “uma rutura com o modelo existente”, porque mantém a lógica de reforço do papel da ENISA e de criação de um quadro europeu de certificação, mas também não é apenas técnica, uma vez que procura tornar esse quadro “mais operacional e mais relevante para o mercado”.

Ricardo Jorge Rosalino, Cybersecurity & Privacy Principal da PwC, lê a proposta como uma mudança qualitativa no quadro europeu de cibersegurança. Recorda que o Cybersecurity Act original, em vigor desde 2019, “focou-se, essencialmente, em dois pilares”: o mandato permanente da ENISA e a criação do European Cybersecurity Certification Framework. A revisão, formalmente designada Cybersecurity Act 2, surge, segundo o responsável, num contexto em que o ambiente regulatório europeu “evoluiu e tornou- se mais complexo”, em resposta ao “aumento exponencial e à sofisticação crescente dos ataques cibernéticos”, bem como às mudanças no contexto geopolítico.

	Luís Abreu, Partner da Deloitte

Para Luís Abreu, Partner da Deloitte, o impacto chega direto à gestão das organizações, porque a revisão “transforma numa decisão de gestão aquilo que antes era tratado como uma decisão de procurement”. A seleção de fornecedores deixa de depender apenas de preço ou funcionalidade e passa a incluir risco geopolítico, regulatório e de concentração tecnológica. Nuno Cândido, Associate Director, IT Operations Cloud & Security da Noesis, partilha essa leitura e considera que a revisão “deve mudar” a forma como se desenvolve, integra e valida tecnologia na Europa, já que o mercado vai exigir “capacidade de provar segurança, resiliência e controlo sobre fornecedores e componentes ao longo de todo o ciclo de vida”.

Certificação ganha peso de mercado

Ricardo Jorge Rosalino, Cybersecurity & Privacy Principal da PwC

Segundo Ricardo Jorge Rosalino, a proposta introduz “quatro grandes eixos de intervenção”, que passam pela reforma do mandato da ENISA, com reforço das capacidades operacionais e de apoio aos Estados-membros, pela reforma do European Cybersecurity Certification Framework, com alargamento do seu âmbito aos managed security services e à certificação da “postura de cibersegurança” das entidades, pela simplificação da conformidade com o quadro legislativo europeu, e por um novo quadro horizontal de segurança da cadeia de fornecimento TIC, destinado a mitigar “riscos não técnicos”, como dependências de fornecedores de alto risco estabelecidos ou controlados a partir de países terceiros.

A inclusão dos serviços de segurança geridos é, para Mafalda de Brito Fernandes, um exemplo claro dessa evolução. A certificação deixa de estar centrada apenas em “produtos, serviços e processos TIC em sentido estrito” e passa a abranger prestadores que desempenham funções críticas de cibersegurança. Neste ecossistema, o Cybersecurity Act funciona como “uma peça transversal”, ao fornecer a infraestrutura institucional e técnica da certificação europeia, embora a advogada da PLMJ alerte que uma certificação não substitui automaticamente o cumprimento das obrigações legais aplicáveis.

	Mafalda de Brito Fernandes, advogada da PLMJ

Mesmo sem obrigatoriedade jurídica, a certificação ganha força como expectativa comercial. A advogada da PLMJ antecipa ainda uma “espécie de obrigatoriedade de facto”, sobretudo em setores regulados, contratação pública, cadeias de fornecimento críticas e relações com grandes clientes. Um fornecedor não certificado não fica impedido de prestar serviços, mas pode estar em desvantagem em concursos, auditorias, processos de due diligence ou avaliações de risco de terceiros. A cibersegurança passa, assim, a ser também “uma vantagem competitiva”.

Paulo Moniz, Cyber Security & Risk Senior Director da EDP, aponta que a certificação pode funcionar como fator de confiança na avaliação de fornecedores, ao criar critérios comuns e reconhecidos para produtos, serviços e processos TIC. Ainda assim, alerta que não deve ser vista “como um substituto da gestão do risco”. Deve ser encarada como “um ponto de partida”, sujeito a reavaliação regular e complementado pela análise do contexto específico, da criticidade dos serviços prestados e da capacidade do fornecedor para responder a novas ameaças.

Nuno Cândido também afasta a ideia de certificação como exercício meramente formal. Para o responsável, esta pode melhorar a qualidade e a segurança das soluções tecnológicas “apenas se a certificação for tratada como instrumento de confiança e não como exercício burocrático”. Um certificado, recorda, “não torna uma solução invulnerável”. Prova conformidade num determinado contexto, mas não substitui monitorização, atualização, resposta a incidentes e governação contínua.

Fornecedores entram na agenda da gestão

A gestão da cadeia de fornecimento tecnológica é outro dos pontos em que a revisão pode ter impacto mais imediato. Para Luís Abreu, o novo quadro obriga as empresas a deixar de qualificar fornecedores apenas no momento da contratação. Passa a ser necessário mapeá-los de forma contínua, incluindo subfornecedores e jurisdições a que estão sujeitos, além de “blindar os contratos com direito de auditoria, notificação de incidentes e estratégia de saída”. A gestão de fornecedores passa, assim, “de um ato pontual a um programa permanente”.

Esta mudança tem também implicações jurídicas, com Mafalda de Brito Fernandes a apontar que empresas com contratos em vigor com fornecedores que venham a ser considerados de alto risco terão de reavaliar o risco contratual e regulatório dessa relação. Podem surgir deveres de diligência acrescida, auditorias adicionais, restrições de acesso ou revisão de controlos. As cláusulas mais sensíveis são as relativas a requisitos de segurança e certificações, incluindo a sua manutenção durante a vigência do contrato e as consequências da perda, suspensão ou alteração do âmbito da certificação.

Paulo Moniz, Cyber Security & Risk Senior Director da EDP

Na perspetiva do responsável da EDP, a segurança da cadeia de fornecimento tecnológica é uma componente essencial da resiliência das infraestruturas críticas. Uma empresa de energia depende de fornecedores de equipamentos, software e serviços, pelo que a capacidade de prevenir e responder a incidentes está ligada “ao nível de segurança dos seus parceiros e soluções”. Por isso, os requisitos de cibersegurança devem estar presentes nos processos de contratação, através de critérios de avaliação de risco, obrigações contratuais e mecanismos de acompanhamento ao longo de todo o ciclo de vida da relação com o fornecedor.

Também para Ricardo Jorge Rosalino, os esquemas europeus de certificação podem alterar de forma significativa as auditorias, os processos de compra e a avaliação de fornecedores. Tende a funcionar como uma “referência única e confiável”, capaz de reduzir múltiplas verificações, simplificar processos de avaliação e identificar fornecedores que cumprem padrões elevados de segurança, resiliência e gestão de risco. Assim, mais do que um fator de diferenciação, pode tornar-se uma condição de acesso a determinados mercados, sobretudo para empresas sujeitas a regimes como a NIS2 e o DORA.

A Deloitte reforça que o risco tecnológico passa a estar ao nível das preocupações estratégicas dos conselhos de administração. Pela primeira vez, defende Luís Abreu, o direito europeu reconhece explicitamente riscos não técnicos da cadeia de fornecimento, como dependências geopolíticas, interferência externa e concentração num único fornecedor ou jurisdição. A pergunta deixa de ser apenas “estamos em conformidade" e passa a ser "somos resilientes e as nossas dependências são aceitáveis”.

Conformidade não pode ser só checklist

A multiplicação de legislação europeia em cibersegurança levanta também riscos de sobreposição e fadiga de compliance. Para Mafalda de Brito Fernandes, essa preocupação é cada vez mais evidente, à medida que as organizações lidam em simultâneo com NIS2, DORA, RGPD, regras setoriais, exigências de clientes, normas técnicas e requisitos contratuais. O risco é que, “no meio de todo este exercício burocrático de cumprimento”, se perca o propósito de promover uma verdadeira cultura de cibersegurança e se entre “numa lógica de checklist de obrigações”.

Ricardo Jorge Rosalino identifica uma dificuldade semelhante na tradução dos requisitos legais para a realidade operacional das empresas. Muitas obrigações são formuladas de forma genérica, o que dificulta a sua aplicação concreta em controlos internos, evidências auditáveis e responsabilidades claras. Expressões como “medidas técnicas e organizativas adequadas e proporcionadas” nem sempre oferecem orientação suficiente a quem tem de implementar controlos no terreno. Falta, muitas vezes, diz, uma “camada de tradução” capaz de converter conceitos jurídicos em ações técnicas claras e aplicáveis.

Essa dificuldade intensifica-se quando as empresas têm de responder simultaneamente a regimes como NIS2, DORA, Cyber Resilience Act e futuros requisitos de certificação. O responsável da PwC alerta para o risco de “duplicação de esforços” e de “fragmentação das respostas de conformidade”, sobretudo quando cada regulamento é tratado isoladamente. A resposta deve passar por um modelo de governação assente em controlos comuns, alinhado com referenciais reconhecidos como a ISO/IEC 27001 ou o NIST Cybersecurity Framework.

Para Luís Abreu, o maior défice de maturidade nas organizações está no talento e nos processos, não na tecnologia, uma vez que as ferramentas existem e estão acessíveis. No entanto, o problema está em “operacionalizar: transformar políticas em processos integrados, sobretudo na gestão de risco de terceiros, e em ter pessoas capazes de os sustentar”. Como resume, “o problema não é comprar, é executar de forma consistente”.

A PwC sublinha ainda que a cibersegurança deve deixar de ser vista como responsabilidade exclusiva da área de IT. A gestão do risco passa a envolver compliance, procurement, gestão de topo, equipas técnicas e CISO, com responsabilidades claramente distribuídas. Num contexto de maior escrutínio, Ricardo Jorge Rosalino revela que “já não basta afirmar que a organização está segura”. É necessário provar essa segurança com evidências quantitativas e qualitativas, incluindo políticas documentadas, auditorias, testes de penetração, métricas como MTTD e MTTR, taxas de patching, simulações de phishing, exercícios de recuperação de desastres e avaliação de fornecedores críticos.

Segurança desde o desenho

	Nuno Cândido, Associate Director, IT Operations Cloud & Security da Noesis

A pressão regulatória também obriga as empresas a repensar a forma como desenvolvem e integram tecnologia. Para Nuno Cândido, a cibersegurança tem sido tratada durante demasiado tempo como uma validação final, “quase como um carimbo” antes da entrada em produção. Esse modelo já não chega. A funcionalidade e o custo continuam a pesar nas decisões, mas o mercado vai exigir prova de segurança, resiliência e controlo ao longo de todo o ciclo de vida.

O conceito de secure by design é hoje consensual, mas ainda não está suficientemente incorporado na prática. Para o responsável da Noesis, continua a ser frequente a segurança entrar tarde nos projetos, quando as decisões críticas de arquitetura, desenvolvimento e integração já foram tomadas. A mudança só será real quando a segurança deixar de ser uma função de controlo e passar a ser uma responsabilidade partilhada entre negócio, desenvolvimento, operações e cibersegurança.

Para a maioria das organizações, o secure by design ainda é mais um objetivo do que uma prática enraizada, ainda que esteja a deixar de ser opcional. Luís Abreu lembra que o Cyber Resilience Act torna este princípio uma condição de acesso ao mercado para produtos, enquanto o Cybersecurity Act o reforça através da certificação. As organizações devem, por isso, olhar para este paradigma como “uma disciplina de engenharia e de procurement a adotar agora”, e não como um prazo de conformidade a cumprir mais tarde.

Nuno Cândido acrescenta que o verdadeiro desafio não é afirmar que uma solução deve ser segura, mas transformar esse princípio em decisões concretas desde o desenho da solução. Em arquiteturas cloud, com APIs, microsserviços, componentes open-source e pipelines automatizados, “a segurança tem de ser engenharia, não retórica”. Tem de estar refletida na arquitetura, nos padrões de desenvolvimento, nos testes, na gestão do risco e na validação contínua, em vez de ser apenas uma verificação final.

É neste ponto que práticas como quality assurance, DevSecOps, testes de segurança e automação ganham maior relevância. Para a Noesis, estas práticas devem deixar de ser vistas como complementares e passar a assumir um papel central na resposta ao novo quadro europeu. A qualidade de software, defende Nuno Cândido, já não pode significar apenas “funciona”; tem de significar “funciona, é resiliente e é seguro”.

Infraestruturas críticas exigem equilíbrio

Nas infraestruturas críticas, o impacto da revisão é particularmente sensível. A EDP encara o processo como “uma evolução muito positiva” para a resiliência, sobretudo porque reforça a confiança nas tecnologias usadas para operar infraestruturas críticas e serviços essenciais. Para Paulo Moniz, “não basta proteger as nossas redes”. É igualmente importante garantir que os produtos e serviços adquiridos cumprem requisitos de segurança reconhecidos e consistentes.

Ainda assim, a implementação terá de ser equilibrada, com o responsável a alertar que “o desafio maior está na forma como estas medidas são implementadas”. Para o responsável, a aplicação do novo quadro deve ter em conta “o contexto económico das empresas, a disponibilidade de soluções certificadas e o impacto operacional que a substituição ou atualização de tecnologias pode ter em infraestruturas que prestam um serviço essencial”. Reforçar a segurança é indispensável, mas fazê-lo “de forma equilibrada” será determinante para aumentar verdadeiramente a resiliência do setor.

A convergência crescente entre ambientes IT e OT torna este desafio mais complexo. Segundo Paulo Moniz, a adoção de tecnologias como inteligência artificial, IoT industrial e cloud traz “ganhos significativos em eficiência e capacidade de gestão”, mas também “aumenta a superfície de ataque e a complexidade da gestão do risco”. Neste contexto, ganham importância a segmentação de redes, a visibilidade sobre ativos industriais, a deteção de anomalias e a aplicação de referenciais específicos para ambientes OT. O principal desafio, resume, é proteger sistemas industriais concebidos para privilegiar “a disponibilidade e a continuidade operacional”, sem comprometer a operação.

A preparação para incidentes com potencial impacto sistémico começa, diz, “muito antes de ocorrer um incidente”. Assenta numa gestão contínua do risco, em planos de resposta e recuperação testados regularmente e em processos alinhados com referenciais internacionais, incluindo a ISO/IEC 27001. No entanto, a empresa sublinha que a resiliência depende também das pessoas. “A tecnologia é fundamental, mas a resiliência resulta da formação, da experiência e da coordenação das equipas”, refere.

A cooperação será outro fator decisivo. A criação de Energy ISAC, o reforço dos mecanismos de partilha de informação e os exercícios de cibersegurança promovidos pela ENISA representam, para a EDP, uma evolução positiva na preparação e coordenação do setor. Ainda assim, há caminho a percorrer, sobretudo na cooperação entre diferentes setores críticos e entre entidades privadas e públicas. As ameaças de larga escala exigem uma resposta “baseada na confiança, na partilha de inteligência e na coordenação efetiva entre operadores, autoridades, fornecedores e parceiros europeus”.

Nesse sentido, a revisão do Cybersecurity Act não deve ser vista apenas como mais uma camada regulatória, mas como um teste à capacidade das organizações para antecipar riscos, estruturar governance e transformar certificação, cadeia de fornecimento e secure by design em instrumentos reais de resiliência.