lista de perguntas questiona uma pessoa de contato para segurança, quem deve ser em nossa empresa

O contacto é um cargo, não um nome no questionário

Indique a pessoa que é internamente responsável pelas medidas de segurança, não necessariamente o proprietário ou o director. Na prática, é a pessoa que também está envolvida em o processo de deteção e correção de vulnerabilidades e em o procedimento para o tratamento de incidentes de segurança — frequentemente, portanto, a mesma pessoa que internamente é o ponto de contacto em caso de algo correr mal. Numa pequena empresa, é frequentemente o próprio empresário ou o administrador de TI; numa empresa maior, um responsável de segurança ou alguém com uma função semelhante. Mais importante do que o título é que esta pessoa seja acessível e saiba o que se passa, porque o cliente usa este contacto principalmente em caso de incidente ou auditoria.

Prefira indicar uma caixa de correio de função ou de cargo em vez de um nome privado, se for possível: isto evita que o questionário fique desactualizado assim que alguém muda de função. Um endereço como "security@" ou "ciso@" é tão útil para o cliente como um nome e é mais estável. Se a empresa ainda não tem uma função separada para isso, é habitual indicar o responsável geral pela TI ou operações — desde que essa pessoa seja realmente contactável sobre o assunto, não apenas por nome.

Origem: artigo 21 e o papel da governação

O artigo 21, n.º 2, da Directiva NIS2 não menciona um contacto como requisito separado, mas as dez medidas aí enumeradas — incluindo gestão de riscos, tratamento de incidentes e continuidade operacional — pressupõem que alguém as assuma internamente e seja responsável. Os clientes que fazem esta pergunta estão, portanto, a avaliar basicamente se se existe política para análise de risco e proteção de sistemas de informação e se essa política tem um proprietário. A ISO/IEC 27001 concretiza isto melhor: o Anexo A contém medidas sobre funções e responsabilidades na segurança da informação, e um contacto designado é frequentemente a prova visível disso. A Lei da Cibersegurança Holandesa, que transpõe a Directiva NIS2 e entra em vigor em 15 de agosto de 2026, não acrescenta um requisito separado neste ponto para além do que já está na Directiva.