Entre exigência crescente e preparação ainda desigual

O aumento exponencial das ameaças, a crescente pressão regulatória europeia e iniciativas nacionais recentes, como o Regulamento n.º 756/2026 do CNCS, estão a redefinir responsabilidades e a elevar o nível de exigência para organizações de todos os setores. Ainda assim, a realidade continua a revelar níveis de preparação muito distintos entre o setor privado e o setor público.

No setor privado, as grandes organizações têm vindo a consolidar níveis mais elevados de maturidade. A adoção de centros de operações de segurança (SOC), práticas estruturadas de gestão de risco e um maior envolvimento dos órgãos de administração refletem uma evolução positiva. Contudo, persistem desafios importantes, sobretudo na gestão do risco associado à cadeia de fornecimento e à dependência de terceiros, fatores que ampliam a superfície de ataque.

Já as PME, que representam a base da economia portuguesa, enfrentam um cenário mais desafiante. A cibersegurança continua frequentemente a ser encarada de forma reativa, condicionada por limitações orçamentais e pela escassez de recursos especializados. Medidas essenciais, como o controlo de acessos, a monitorização contínua e a formação dos colaboradores, permanecem longe de uma adoção generalizada. Esta realidade aumenta a exposição a ameaças como phishing e ransomware, com impactos diretos na continuidade do negócio.

Neste contexto, o novo Regulamento assume particular relevância ao traduzir boas práticas em requisitos concretos e clarificar expectativas. Ao definir medidas técnicas e organizativas proporcionais ao risco, contribui para orientar a implementação de controlos adequados. Contudo, para muitas PME, este enquadramento continua a ser percecionado como complexo, especialmente quando não é acompanhado por mecanismos efetivos de apoio e capacitação.

Se nas PME predominam constrangimentos de recursos, no setor público os obstáculos são frequentemente de natureza estrutural. Apesar dos avanços registados, muitas entidades continuam dependentes de sistemas obsoletos, associados a elevados custos de manutenção e risco operacional. A fragmentação tecnológica e a rigidez dos processos de contratação pública atrasam frequentemente a implementação de medidas críticas, perpetuando vulnerabilidades conhecidas. A estas limitações somam-se dificuldades orçamentais e a crescente competição pela atração e retenção de talento especializado.

O novo enquadramento regulatório — incluindo a transposição da Diretiva NIS2 através do Decreto-Lei n.º 125/2025 e a publicação do Regulamento n.º 756/2026 — veio aumentar a exigência sobre estas entidades, impondo maior rigor na gestão do risco, na deteção de incidentes e na capacidade de resposta. Contudo, a execução prática destas obrigações nem sempre acompanha o ritmo legislativo. Em muitos casos, a prioridade continua centrada no cumprimento dos requisitos mínimos de conformidade, em detrimento de uma abordagem estratégica à resiliência.

Outro desafio transversal prende-se com a maturidade cultural. Embora a consciencialização tenha aumentado, a cibersegurança continua muitas vezes a ser encarada como uma questão tecnológica e não como um fator estratégico de gestão, reputação e continuidade do negócio. A formação contínua, a definição clara de responsabilidades e o desenvolvimento de uma cultura preventiva permanecem áreas com margem de evolução.

Ainda assim, existem sinais positivos. A crescente visibilidade do tema junto das administrações, o reforço do papel do CNCS e o aumento da procura por serviços geridos demonstram uma evolução favorável. A segurança digital começa a ser entendida não apenas como uma obrigação regulatória, mas também como um fator de confiança, competitividade e sustentabilidade.

Em síntese, a cibersegurança em Portugal tem registado progressos assinaláveis, mas continua marcada por assimetrias significativas nos níveis de maturidade das organizações. A crescente exigência regulatória está a acelerar esta transformação, mas a verdadeira ciber-resiliência dependerá da capacidade de cada entidade integrar a segurança na sua estratégia, cultura e operação. Num contexto em que as ameaças evoluem continuamente, a adaptação permanente deixou de ser uma opção para se tornar uma necessidade.

Conteúdo co-produzido pela MediaNext e pela Divultec