A sua PME sabe qual é o seu “Estado da Nação”?

Mais de três quartos das PME portuguesas operam com vulnerabilidades críticas, agravadas pela escassez de talento especializado e pela falta de adaptação a diretivas europeias, como a NIS2, assim como por uma falta de comprometimento sério, tácito e explicito da gestão de topo para com a segurança, a continuidade de negócio e utilização segura da Inteligência Artificial. Ainda somos um país que demonstra segurança por fora, mas que não sabe como por dentro.

E isso deixa-nos muito vulneráveis, porque a partir do momento que entendemos que os acidentes apenas acontecem a outros, incautos e azarados, e que nós estamos bem e temos tudo o que preciso, é aí que esquecemos que devemos regularmente voltar- nos para dentro e refletir acerca dos nossos desafios de base e estruturais, a nível nacional, no campo da segurança dos sistemas de informação.

O ecossistema empresarial nacional enfrenta quatro desafios principais, de base, e estruturais que compete mencionar e brevemente detalhar:

1. Falta de Estratégia em IA: Cerca de 75% das empresas utilizam ou consideram utilizar IA generativa, sendo que de acordo com os último dados disponíveis do INE, apenas 11,5% utilizam efetivamente, mas não possuem diretrizes para proteger os dados sensíveis durante essa utilização, ou seja, não têm políticas, não realizam awareness, e a própria cultura para utilização de dados sensíveis é baixa; ainda menos é o número de empresas que têm soluções de IA, com base em open source e Acordos de Retenção Nula de Dados (ZDRA), como um primeiro nível de controlo da informação critica.

2. Atraso na Conformidade Legal: Com a implementação da diretiva europeia NIS2, transposta para o panorama legal nacional pelo Decreto-Lei n.º 125/2025, de 4 de dezembro, e regulada através do Regime Jurídico de Cibersegurança, o número de entidades fiscalizadas em Portugal disparou para mais de um milhar, mas os estudos revelam que muitas organizações ainda têm dificuldades em cumprir estes novos critérios, assim como a gestão ainda tem dificuldades em perceber que a responsabilidade que era do escopo de IT agora está no escopo da gestão, e todos são responsáveis e a gestão responsabilizada.

3. Seguros de Risco Inadequados: De acordo com um estudo recente da Hixcox, cerca de 74% das pequenas e médias empresas (PME) apresentam lacunas de proteção, operando sem apólices de seguro suficientes para cobrir incidentes severos, ou seja, estando desnecessariamente expostas. Aliás, para piorar 55% das PME apresentam uma lacuna na sua proteção por não possuírem seguros básicos fundamentais, como responsabilidade civil profissional, responsabilidade civil geral, seguro de bens e responsabilidade de empregador.

Acresce que a falta de conhecimento e compreensão está a deixar muitas empresas expostas: quase dois terços (65%) dos proprietários das pequenas e médias empresas inquiridos não sabem explicar corretamente o que cobre o seguro de responsabilidade civil geral. Este número sobe para 77% no caso do seguro cibernético e para 80% no seguro de responsabilidade civil profissional.

Ou seja, a própria cultura de segurança e proteção é algo estrutural e sistémico.

4. Falta de Literacia Digital: A segurança é frequentemente limitada às grandes empresas. As PME confiam excessivamente em antivírus básicos e carecem de formação prática contra ataques como o phishing ou ransomware, o que as deixa numa situação de extrema vulnerabilidade, uma vez que não têm cultura básica sobre aquilo que são as ameaças, a arquitetura de um ataque, quais as portas que mantêm abertas e o que têm exposto. No limite, também não é um tema para o qual estejam dispostas a ouvir seriamente alguém para lhes dar suporte a ajudá-las a fazer o caminho, porque também não alocam orçamento para esta componente.

Em Portugal, as Pequenas e Médias Empresas (PME) representam 99,9% do total de empresas e asseguram cerca de 76% do emprego nacional. Dentro deste grupo, a grande maioria (cerca de 96%) são microempresas, que possuem menos de 10 trabalhadores, são responsáveis por mais de 67% do Valor Acrescentado Bruto (VAB) gerado por empresas do setor não financeiro.

Ou seja, tendo em conta que o grosso do emprego está concentrado em empresas que, de uma forma ou de outra, ainda não têm preocupações legítimas com a cibersegurança, ainda não tomaram a decisão de correr seriamente atrás do prejuízo, e ainda não procuraram tampouco a ajuda especializada nem começaram a alocar orçamentos para tal, o nível de exposição de um país como Portugal é claro.

O Estado da nossa Nação, é que temos muitas PME, geradoras de valor, que empregam 3 em cada 4 pessoas, mas que vivem num limbo em termos de segurança e de políticas de gestão de sistemas de informação.

A mentalidade de grande parte destas empresas é de que Portugal é um país pequeno, ninguém se vem meter connosco, somos irrelevantes e ninguém vai andar a atacar o setor empresarial privado com menos de 250 trabalhadores por empresa, que fature menos de 50 milhões de euros e que tem menos de 43 milhões de euros de balanço.

Enganam-se, Portugal é mais importante que aquilo que se pensa, e isso obriga-nos a uma cultura de defesa mais arreigada.

A posição geoestratégica de Portugal destaca- -se como uma plataforma atlântica e charneira transatlântica.

A localização de Portugal Continental e, sobretudo, a dos arquipélagos dos Açores e da Madeira, projeta a soberania nacional e o controlo europeu sobre rotas fundamentais de navegação, Portugal é um nó central nas autoestradas de cabos submarinos, ligando diretamente a Europa, África e o continente americano, com cerca de 1,7 milhões de km², esta área marítima confere a Portugal uma das maiores ZEE da Europa e do mundo, sendo estratégica para a segurança, exploração de recursos e vigilância, assim como o país é a ponte natural nas relações entre a União Europeia, os Estados Unidos (através do posicionamento na NATO) e a Comunidade dos Países de Língua Portuguesa (CPLP).

Como tal, o tecido empresarial tem uma responsabilidade acrescida, e esta deve-lhes ser transmitida diariamente, quer pela comunicação social, quer pelas associações empresariais, quer pelos seus acionistas, quer pela tutela governamental e municípios.

Mais do que nunca, em Portugal, necessitamos de uma Diplomacia para Cibersegurança nas Empresas, principalmente as PME, e definir isso como um desígnio nacional, recrutar os especialistas, os pensadores, os peritos e os medias especializados, em cibersegurança e sistemas de informação e comunicação.

Publicações como a IT Security, assim como os eventos que promovem devem ser usados como uma ferramenta de combate à falta de literacia digital para segurança e proteção, por parte das PME, por que no final do dia o Estado da Nação é tão robusto e tão forte quanto o elo mais fraco.

E não podemos deixar que o nosso elo mais fraco da cibersegurança seja aquele que é o elo mais forte da economia…

… as PME.