cliente pergunta quem é o nosso CISO mas não temos uma função separada para isso

Não ter um CISO não é um problema

A pergunta sobre um CISO não diz respeito a um título num cartão de visita, mas sim à função: quem é responsável pela segurança da informação e pela cibersegurança, e quem pode o cliente contactar se algo acontecer. Em empresas mais pequenas, essa função situa-se frequentemente no director, no gestor de TI ou em alguém que o faz "como parte das suas funções". Esta é uma resposta válida, desde que consiga indicar quem é e o que essa pessoa faz.

Responda à pergunta indicando a função que efetivamente desempenha a função, não com "n.a.". Preenchimento típico: "a função de CISO é desempenhada por [função], responsável por [tarefas]". Isto está de acordo com o que os clientes testam na prática: não o título, mas se há supervisão sobre análise de riscos e proteção de sistemas de informação e se a medidas de segurança são testadas periodicamente. A governação é o tema subjacente, não uma questão de pessoal.

A governação é independente do título da função

O artigo 21.º, n.º 2 da Diretiva NIS2 (Diretiva (UE) 2022/2555) enumera dez categorias de medidas, incluindo políticas relativas à análise de riscos e à segurança de sistemas de informação — um título de CISO não consta desta lista. A ISO/IEC 27001 funciona com a mesma lógica: o Anexo A solicita responsabilidades atribuídas para a segurança da informação (frequentemente no A.5, organização da segurança da informação), não um nome de função específico. O questionário do cliente traduz normalmente este requisito como "quem é o CISO" porque este é o termo comum em organizações maiores, mas a pergunta subjacente permanece: foi atribuída a responsabilidade. Assim que isto for documentado — mesmo que seja numa descrição de função do director — existe uma base factual para uma resposta, mesmo sem o título em si.