O problema não é técnico

O Regime está publicado. O regulamento de execução saiu a 22 de junho. A plataforma MyCiber está operacional, há simuladores para verificar enquadramento, três níveis de conformidade com critérios transparentes, coimas até dez milhões de euros para entidades essenciais e um observatório para medir maturidade. Do ponto de vista estrutural, raramente um regime chegou tão bem equipado.

O espetro que paira sobre esta conversa é o RGPD. Em 2018 chegou com as mesmas promessas (um impacto transformador, responsabilização real, coimas pesadas) e o que ficou foi compliance de papel. O CNCS rejeita a comparação, com razão: este regime constrói sobre legislação já existente, tem instrumentos de medição de maturidade desenhados desde o início e supervisão prudencial que não depende de esperar por incidentes. A intenção é diferente, sim, mas a intenção não chega.

O nó do problema não mudou: o CISO sabe o que tem de fazer e não tem mandato para o fazer. O regime não resolve isso por decreto. O que dá ao responsável de cibersegurança é algo raro: um argumento externo com força de lei. As coimas existem. O prazo de 24 meses existe. A qualificação da entidade fica registada em nome da organização no portal MyCiber de forma visível, formal e incontornável.

Isso é a alavanca, mas só funciona usada agora, enquanto há tempo para planear, e não daqui a 20 meses, quando já não há. O contador não está a correr para o técnico. Está a correr para o executivo que ainda não percebeu que este regime também é problema dele.