perguntam quem é nosso CISO mas não temos ninguém com esse título

Sem CISO necessário, mas um ponto de contacto para segurança

Pode geralmente preencher aqui simplesmente com "não", sem que isto represente uma lacuna. Nenhuma das dez medidas no artigo 21.º, n.º 2 da Diretiva NIS2 prescreve um título de função. A diretiva estabelece obrigações a nível organizacional — governação, gestão de riscos, tratamento de incidentes — não como as distribui internamente ou como essa função se designa. Um CISO ("Chief Information Security Officer") é uma forma de cumprir isto, especialmente em organizações maiores, mas não é obrigatório. No ISO/IEC 27001 é igual: o Anexo A exige responsabilidades documentadas para segurança da informação, não um título específico na folha de pagamento.

O que o seu cliente realmente quer saber é quem é internamente responsável e contactável em caso de incidente. Numa empresa mais pequena, é frequentemente o próprio proprietário, o gestor de TI, ou alguém que faz segurança além de outro papel. Preencha isto como resposta à questão subjacente: nome, função e eventualmente como contactar essa pessoa. Isto também corresponde a quem responde se ocorrer um incidente de segurança — é geralmente a mesma pessoa ou a mesma equipa. Duvida se o seu cliente aceita "sem CISO, mas com um responsável"? Não confirme essa resposta automaticamente com "sim" — essa é uma avaliação que cabe ao apresentante, não a um dossier preenchido automaticamente.

Onde isto aparece: artigo 21.º, n.º 2 e Anexo A

O artigo 21.º, n.º 2 da Diretiva NIS2 menciona dez categorias de medidas, incluindo gestão de riscos, tratamento de incidentes e política de acesso, mas nenhuma designação de função. A Lei de Cibersegurança holandesa, que transpõe esta diretiva e entra em vigor em 15 de agosto de 2026, segue a mesma estrutura. O ISO/IEC 27001 Anexo A exige na secção sobre organização de segurança da informação responsabilidades atribuídas, não um título de função. Se quer verificar se a sua empresa está sujeita às obrigações NIS2, essa é uma questão separada e independente desta — para isso, consulte se a organização está abrangida pela Diretiva NIS2.